Attacchi da tutti i fronti: Report sulla cybersecurity del primo semestre 2021

Il ransomware ha continuato a evolversi come una delle minacce informatiche più pericolose, accumulando oltre 7 milioni di rilevamenti totali di minacce in email, URL e file. I cybercriminali si sono mossi rapidamente e in modo aggressivo con attacchi a settori critici come quello bancario, governativo e manifatturiero. Gli attori delle minacce si sono mossi rapidamente e in modo aggressivo con attacchi a settori critici come quello bancario, governativo e manifatturiero.

Anche se alcune delle strategie dei malintenzionati, come la loro propensione a prendere di mira settori cruciali, sono rimaste costanti, molte delle loro tattiche si sono evolute drasticamente e rapidamente. Le varianti di spicco di ransomware hanno alzato la posta in gioco mentre le nuove famiglie di questo tipo di attacchi hanno aggravato i rischi. Alcuni attori delle minacce si sono affrettati a cogliere l'opportunità e hanno finto di essere bande dedite al ransomware, come nel caso di una falsa campagna DarkSide.

Famiglie ransomware di rilevo

Tali incidenti hanno stimolato discussioni sulle delicate questioni del pagamento del riscatto, dell'assicurazione contro i rischi informatici e della potenziale legislazione. Ci sono stati anche sforzi aggressivi da parte delle autorità e dei ricercatori della sicurezza per colpire le bande dedite al ransomware, che hanno portato a una serie di arresti di alto profilo come nei casi delle operazioni sugli utilizzatori di Egregor e Clop.

Tecniche raffinate

Gli operatori del ransomware hanno ampliato il loro uso di strumenti legittimi. Hanno anche alzato la posta delle loro tecniche di estorsione, dalla crittografia all'esposizione di dati rubati, all'incorporazione di attacchi DDoS (Distributed Denial-Of-Service), alle molestie dirette nei confronti dei clienti e delle parti interessate delle organizzazioni vittime.

Tecniche di multi-estorsione legate al ransomware

Anche le APT hanno dato segni di attività poiché nella prima metà di quest'anno sono state protagoniste di diverse campagne.

I gruppi di malintenzionati dietro a queste APT hanno utilizzato sia tecniche collaudate che tattiche innovative. Le prime includeva l'uso di email di spear-phishing e script malevoli, mentre le seconde hanno ha coinvolto nuove piattaforme legittime, varianti di malware e strumenti di accesso remoto (Remote Access Tool, RAT) come il caricatore PlugX.

APT di rilevo

APT notevoli del primo semestre 2021

Il flusso di attacco dell'operazione Earth Wendigo

Vulnerabilità di rilevo sono salite agli onori delle cronache quando i ricercatori si sono affrettati a correggere i sistemi interessati prima che questi difetti potessero rappresentare un pericolo e interrompere le configurazioni di lavoro, comprese quelle remote.

ProxyLogon

Un attacco hacker attribuito al gruppo Hafnium ha visto lo sfruttamento di quattro vulnerabilità zero-day nelle versioni locali di Microsoft Exchange Server. Queste vulnerabilità sono CVE-2021-26855, CVE-2021-26857, CVE-2021-26858 e CVE-2021-27065, denominate collettivamente ProxyLogon.

Vulnerabilità di Microsoft SharePoint

Cinque notevoli vulnerabilità di esecuzione di codice remoto (RCE) hanno interessato anche Microsoft SharePoint, una piattaforma di gestione e archiviazione di documenti online che può essere utilizzata anche in configurazioni di lavoro remoto.

Vulnerabilità RCE di Microsoft SharePoint del primo semestre 2021

Vulnerabilità VPN

Finché le configurazioni per il lavoro da remoto (WFH) continuano a essere largamente utilizzate, le reti private virtuali (VPN) rimangono uno strumento vitale per garantire la sicurezza. I rilevamenti relativi a queste vulnerabilità hanno continuato a proliferare, con alcuni picchi rispetto allo stesso periodo dell'anno scorso.

Rilevamenti per vulnerabilità VPN per il primo semestre 2020 e il primo semestre 2021

PrintNightmare

"PrintNightmare" è il nome attribuito a CVE-2021-1675, una vulnerabilità critica di Windows Print Spooler che consente l'esecuzione di codice arbitrario con privilegi a livello di sistema. La pubblicazione accidentale di un codice exploit proof-of-concept ha innescato una corsa per correggere questa vulnerabilità il prima possibile.

Nel complesso, il numero di rilevamenti di vulnerabilità ha mostrato una piccola diminuzione, con un notevole calo delle vulnerabilità critiche.

Confronto semestrale della ripartizione della gravità, basato sul CVSS delle vulnerabilità divulgate tramite il nostro programma Zero Day Initiative (ZDI).
Fonte: Programma ZDI di Trend Micro

Anche in mezzo a una pandemia, l'attività per molti attori delle minacce prosegue come al solito con l'obiettivo di scatenare nuove minacce o rinnovare quelle attuali. Alcuni cyber criminali hanno approfittato direttamente della pandemia, sfruttando l'incertezza e il disagio causati dalla situazione come munizioni di ingegneria sociale, per portare a compimento le loro truffe.

Minacce legate al Covid-19

Mentre i programmi di vaccinazione continuano a essere in corso in tutto il mondo, anche le minacce legate ai vaccini contro il Covid-19 non smettono di proliferare. Si tratta di file dannosi, email, messaggi di testo, siti di disinformazione e pagine di phishing. Gli obiettivi abituali sono i settori delle telecomunicazioni, quello bancario, quello della vendita al dettaglio, gli enti pubblici e il settore finanziario.

Minacce attive

XCSSET

XCSSET prende di mira gli utenti Mac e infetta i progetti Xcode. A pochi mesi dall'inizio dell'anno, gli attori delle minacce hanno aggiornato XCSSET con funzionalità che gli consentono di adattarsi sia ai Mac basati su ARM64 che a quelli basati su x86_x64. Il malware ha anche acquisito la capacità di raccogliere informazioni sensibili da alcuni siti web, comprese le piattaforme di trading di criptovaluta.

PandaStealer

PandaStealer è un nuovo sistema per il furto di informazioni in grado di prelevare dati sensibili come chiavi private e registrazioni delle transazioni passate dai portafogli di valuta digitale di un bersaglio. Può anche prelevare credenziali da altre applicazioni, acquisire schermate ed estrarre dati dai browser. Viene propagato principalmente tramite email di spam che richiedono preventivi aziendali.

Le circostanze determinate dalla pandemia hanno catalizzato l'adozione di sistemi online basati su tecnologie come cloud e IoT. Tuttavia, questi settori presentano il loro specifico insieme di minacce e rischi.

Cloud

Alcune delle principali minacce di quest'anno includono gli attacchi di TeamTNT. All'inizio dell'anno, abbiamo scoperto che gli attori delle minacce dietro TeamTNT stavano prendendo di mira alcuni sistemi cloud:

• Credenziali AWS. TeamTNT ha sottratto le credenziali AWS tramite un codice binario contenente uno script shell hard-coded. Sono state compromesse oltre 4.000 istanze.
• Cluster Kubernetes. TeamTNT ha compromesso i cluster Kubernetes non protetti. Sono stati coinvolti quasi 50.000 indirizzi IP su più cluster.

L'IoT

Abbiamo scoperto rischi in vari aspetti dell'IoT, tra cui Long Range Wide Area Network (LoRaWAN), 5G e router.

LoRaWAN

Sebbene utili nelle imprese e nella realizzazione delle smart city, i dispositivi LoRaWAN non sono immuni alla compromissione. Dopo aver identificato vulnerabilità sfruttabili in questi dispositivi, abbiamo creato lo strumento LoRaPWN per valutare la sicurezza delle comunicazioni LoRaWAN.

5G

La creazione di reti campus 4G/5G per le imprese comporta dei rischi. Per studiare questi pericoli, abbiamo identificato diversi scenari di attacco tra cui dirottamento DNS, dirottamento MQTT, dirottamento Modbus/TCP, download o ripristino di controller logici programmabili (PLC) non protetti, desktop remoto e scambio di SIM.

Router

I router sono sempre stati afflitti da problemi di sicurezza. Abbiamo analizzato le infezioni dei router e abbiamo identificato VPNFilter, una botnet IoT, come una delle minacce più importanti. Per compromettere router e dispositivi di archiviazione, VPNFilter utilizza account backdoor e diversi exploit.

40.956.909.973

Numero complessivo di minacce bloccate durante il primo semestre 2021

Scarica il nostro report completo per ottenere informazioni sulle pressanti minacce cyber e sui rischi che hanno afflitto il primo semestre 2021 e per ulteriori informazioni sui nostri consigli di sicurezza da parte degli esperti, per utenti e aziende.