Microsoft

Databse Exchange smontato senza apparenti motivi : errore 665

Caso pratico occorso a un infrastruttura Exchange 2016 mono-istanza installata su una macchina virtuale Windows 2016.

Sintomo: i client di Outlook risultano disconnessi e non sincronizzati, non arrivano ne partono mail. Al contempo però la Vm Server risulta up & running, senza criticità di performance o di storage. Superati i controlli superficiali si verifica lo stato del DB tramite EMC, il DB risulta Smontato.

Per prima cosa si procede con il tentativo manuale di mount, il DB resta montato per qualche secondo poi torna in stato di errore.

A questo punto andando a seguire vari case studies sono stato fuorviato dai vari tentativi di verificare e sanificare il DB con l’eseutil, questi tentativi che ho parzialmente percorso sono risultati però inutili in quanto il problema non era nel DB; analizzando i log di sistema infatti ci si è imbattuti in questo errore :

Il log parla di errori di I/O tali da non consentire il failover e poi prosegue:

segnalando l’errore di sistema 665 – che Microsoft identifica come File System limitatiton. Piu nello specifico l’errore spiega che i DB non sono corrotti ma sono stati smontati per limitarne la crescita eccessiva determinata dalla frammentazione del file system NTFS. Esiste infatti un parametro di crescita che una volta superato provoca questo errore e di conseguenza l’impossibilità di proseguire le attività sul disco.

A questo punto, appurato la sanità dei DB e la loro consistenza, la strada unica da percorrere è la seguente :

  1. Aggiungere un nuovo .vmdk alla macchina virtuale, grande a sufficienza per contenere il DB.
  2. Stoppare tutti i servizi inerenti Exchange;
  3. Copiare tramite robocopy tutti i files contenuti nel disco delle mailbox nel nuovo disco appeso alla vm; (in questa fase ricordarsi di utilizzare l’attributo /sec per la copia sicura ) ;
  4. A copia ultimata, assegnare la lettera dell’unità del vecchio disco a quello nuovo;
  5. Riattivare i servizi inerenti a Exchange;
  6. Riavviare la vm e testare il funzionamento.

Essendo il DB sano, questa procedura dovrebbe essere efficace nel 99% dei casi. Una volta testata la ricezione/invio e la solidità del nuovo DB, è poi possibile eliminare il vecchio disco in modo da liberare lo spazio.

app, Informatica Generale, online, privacy, Sicurezza Informatica

Virus Wathsapp 2019 : tutte le info.

Il 14 maggio 2019 in una nota ufficiale Facebook ha dichiarato che all’inizio del mese ha scoperto l’esistenza di uno spyware che sfrutta una vulnerabilità della funzione di chiamate vocali di WhatsApp; nello stesso momento, ha anche assicurato di aver trovato il bug e di averlo sanato rilasciando un aggiornamento dell’applicazione.

Spyware

uno spyware è un tipo di software che raccoglie informazioni riguardanti l’attività online di un utente (siti visitati, acquisti eseguiti in rete etc) senza il suo consenso, trasmettendole tramite Internet ad un’organizzazione che le utilizzerà per trarne profitto, solitamente attraverso l’invio di pubblicità mirata, ma anche con fini di spionaggio.

Il codice malevolo viene inviato sullo smartphone che si vuole prendere di mira attraverso una telefonata. Non importa se l’utente abbia risposto oppure no, basta il contatto, essendo una chiamata che sfrutta la connessione dati, perché l’hacker abbia tutti gli strumenti per poter installare il trojan, entrare nelle chat criptate, monitorare le chiamate, attivare il microfono e la fotocamera, accedere alle foto, ai contatti e a qualunque altra informazione che si trova sul telefono.

Lo spyware, secondo le firme rinvenute, pare essere stato sviluppato da una società informatica israeliana. Un portavoce della società ha parlato di «una società nota per lavorare con i governi per fornire spyware che hanno la capacità di controllare i sistemi operativi dei telefoni cellulari». Questo spyware, in realtà, non è nuovo, ma un aggiornamento di un’altra tecnologia sviluppata dalla stessa società israeliana una decina di anni fa; un software talmente potente che il ministero della Difesa israeliano aveva deciso di regolarne la vendita.
Tale software viene di norma fornito ai governi ed alle agenzie internazionali con l’obiettivo di aiutare la lotta al crimine e al terrorismo. Secondo alcuni ricercatori dell’università di Toronto, il software è stato in generale usato in 45 Paesi diversi per spiare dissidenti, giornalisti o civili.

Il nuovo Pegasus, lo spyware denunciato da Facebook il 14 maggio, può colpire l’app di WhatsApp per qualunque sistema operativo.

Le versioni coinvolte sono:
— WhatsApp per Android precedenti alla 2.19.134
— WhatsApp Business per Android precedenti alla 2.19.44
— WhatsApp per iOS precedenti alla 2.19.51
— Whatsapp Business per iOS precedenti alla 2.19.51
— WhatsApp per Windows Phone precedenti alla 2.18.348
— WhatsApp per Tizen precedenti alla 2.18.15

E’ fondamentale è assicurarsi di aver aggiornato l’applicazione, andando sullo Store (Google Play o App Store) e controllando se la versione di WhatsApp attualmente installata sul nostro smartphone è l’ultima disponibile. Il secondo passo è sul sistema operativo: anche questo deve sempre essere aggiornato all’ultima versione possibile.

Dobbiamo sempre ricordare inoltre che la tecnologia viaggia di pari passo con lo sviluppo del mondo del cyber-crime e che certi strumenti diventano per noi “vitali” nella stessa misura in cui, i criminali, si ingegnano per renderli sempre meno sicuri.

Per qualsiasi domanda o approfondimento, sono a dispozione.

Informatica Generale, Microsoft, ransomware, Sicurezza Informatica

Nuova truffa “Microsoft like”

E’ in atto una nuova ondata di truffe ai danni di utenti che, navigando su normali web-site, si trovano improvvisamente davanti ad un messaggio di Warning all’apparenza proveniente da Microsoft:


“Security warning: Il tuo computer è stato bloccato. Errore #DW6VB36. Per favore chiamaci immediatamente al numero +39 0694804XXX. Non ignorare questo avviso critico. Se chiudi questa pagina, l’accesso del tuo computer sarà disattivato per impedire ulteriori danni alla nostra rete. Il tuo computer ci ha avvisato di essere stato infestato con virus e spyware. Sono state rubate le seguenti informazioni: Accesso Facebook, Dettagli carta di credito, Accesso account e-mail, Foto conservate su questo computer.
Devi contattarci immediatamente in modo che i nostri ingegneri possano illustrarti il processo di rimozione per via telefonica. Per favore chiamaci entro i prossimi 5 minuti per impedire che il tuo computer venga disattivato. Chiama per ricevere supporto: +390694804XXX.”


Falsi avvisi di questo tipo sono apparsi anche in passato e sotto altre forme. 
E’ importante sottolineare che a fronte della visualizzazione del messaggio non vi è alcun furto di dati personali né infezione da virus. Chiudendo la navigazione, infatti, il computer continua a funzionare normalmente.
Chiamando, invece, il numero indicato e seguendo le istruzioni telefoniche del presunto operatore, il computer viene messo disposizione del truffatore tramite assistenza remota consentendogli, in questo modo, di installare programmi illeciti e virus.
Il costo dell’intervento per il finto “sblocco” ammonta intorno ad un centinaio di euro.


La Polizia Postale e delle Comunicazioni raccomanda di ignorare avvisi di questo tipo anche quando esercitano una forte pressione psicologica. Se avvisi di questo tipo si ripetono costantemente, è opportuno effettuare una scansione con un antivirus aggiornato per rimuovere un eventuale malware pubblicitario (adware).
Infine, è sempre necessario installare un antivirus ed aggiornarlo costantemente su tutti i dispositivi. 
E’ bene ricordare che quando la rete presenta una situazione inaspettata, è sempre necessario documentarsi prima di prendere ogni decisione.

A disposizione per qualsiasi richiesta o chiarimento.

Informatica Generale, ransomware, Recensioni, Sicurezza Informatica

Yoroi rende disponibile al pubblico ‘Yomi’

Una delle aziende con cui collaboro ormai da diversi anni e che ho scelto come partner aziendale in ambito security è Yoroi: azienda italiana con sede a Cesena è senza dubbio fiore all’occhiello d’eccellenza in ambito di Cyber Security in Italia.

Yoroi ha recentemente deciso di rendere gratuitamente pubblico ‘Yomi, uno dei suoi innovativi e potenti strumenti atti a rilevare, analizzare e bloccare i software dannosi. Come dice il nome, “Yomi: The Malware Hunter“, è infatti una piattaforma online per la rilevazione e la gestione in sicurezza di malware informatici.; basato su tecnologia open source italiana da oggi può essere usata anche dai singoli individui, gratuitamente.

Ma che cos’è Yomi?

Già soprannominata dalla stampa come “Il cimitero dei virus” all’epoca del suo lancio in versione beta, la piattaforma Yomi, ulteriormente perfezionata, è una pagina web in grado di “digerire” e detonare nel suo recinto di sabbia (sandbox) documenti dannosi, file eseguibili, installatori e script senza alcun pericolo. La “detonazione” avviene infatti in una maniera controllata, registrando il comportamento di ogni file potenzialmente dannoso dentro un ambiente personalizzato e progettato per sconfiggere le tecniche di evasione più avanzate messe in atto da chi diffonde il malware.

Detto in parole povere, se ci ritroviamo un file sospetto e vogliamo verificarlo, possiamo caricarlo gratuitamente dentro Yomi che lo “eseguirà” in una zona protetta e restituirà in output un report dettagliato sul tipo di minaccia e il suo comportamento.

“Compito di Yomi è di contribuire a rendere il cyberspace più sicuro per tutti – ha detto Marco Ramilli di Yoroi -, e per questo ne facciamo dono alla comunità italiana di info-security.”

Il malware rappresenta un potente strumento per il cybercrime in tutto il mondo e, con oltre 856 milioni di campioni identificati durante l’ultimo anno è, senza dubbio, uno dei principali tipi di minaccia che aziende e organizzazioni affrontano ogni giorno per gestire la propria attività con grande impegno di tempo, risorse e denaro, mettendo a rischio la propria reputazione e gli asset dei loro clienti.

Le minacce malware hanno sviluppato in questi anni la capacità di eludere ogni rilevamento, scavalcando le barriere di sicurezza e rimanendo in silenzio fino a scatenare il loro potenziale malevolo, consentendo ad hacker malvagi, cyber-criminali e spie di rubare segreti, dati, beni digitali e denaro, compromettendo processi aziendali e persino vite umane quando colpiscono le infrastrutture critiche. Per divertimento e profitto.

Per tutti questi motivi ‘Yomi’ è il contributo italiano alla battaglia contro il malware dedicato ai professionisti della sicurezza, alle comunità di intelligence, ai CERT e ai CSIRT che vorranno usarlo.

Il software di Yomi è in grado di condurre un’analisi multilivello sui software malevoli: statica, dinamica e comportamentale, per aiutare gli analisti umani a comprendere la dinamica dell’esecuzione del codice dannoso risparmiando tempo e denaro, può analizzare una grande varietà di tipi di file, per ogni tipo di esigenza, sia privata che aziendale, per realtà di piccole e di grandi dimensioni, compresi i pericoli che preoccupano di più i gli utenti comuni e che derivano dal trattamento di documenti PDF, Office, Powerpoint, Word o Excel, anche nei formati compressi.

Yomi è anche capace di ispezionare gli indirizzi e i domini di rete e presenta funzionalità di analisi SSL, per consentire ai cacciatori di malware di riconoscere le minacce nascoste che sfruttano la protezione crittografica.

La piattaforma creata da Yoroi presenta diverse caratteristiche innovative nel panorama dell’analisi delle minacce informatiche. Mentre è possibile condividere con la comunità le proprie scoperte ‘Yomi’ rende anche possibile decidere – per questioni di privacy o di segretezza – di richiedere report privati per i campioni analizzati attraverso la sua piattaforma.

Per provare “Yomi: The Malware Hunter” clicca qui.

Oppure contattami pure per una demo-training sul suo utilizzo.

Bollettino Sicurezza, ransomware, Sicurezza Informatica

Bollettino di sicurezza 04/19

Proseguono le attività di Spamming a scopo estorsivo.

“Ciao Xx X, Ti scrivo perché ho installato un malware sul sito web pornografico che hai visitato. Il mio virus ha preso le tue informazioni personali e ha acceso la tua fotocamera che ti ha ripreso; se non paghi 580,00 € in Bitcoin diffonderò il video ai tuti i tuoi contatti….”

Si presenta all’incirca così il messaggio di spam che viene recapitato, nell’ambito del nuovo fenomeno di “estorsione”, perpetrato attraverso il massivo invio di email a ignari malcapitati, e finalizzato a infondere panico ed indurre a pagare in cryptovaluta il prezzo della “non pubblicazione del video”.

Si tratta di “fake porn extortion e-mail” ed è una trovata che nell’ultimo anno ha portato ad arricchirsi svariati hacker del deep-web.

Chiaramente i criminali non hanno nulla in mano ma fanno leva sulla costante paura che tutti abbiamo di essere realmente spiati e quindi è assolutamente consigliato di cestinare la mail senza cedere alla richiesta e senza nemmeno interagire con la mail (si cederebbero all’attaccante delle informazioni di ritorno come IP, server di uscita, ecc). La cose da fare, prettamente a titolo cautelativo resta comunque il cambio della password per accedere alla Posta Elettronica e se possibile abilitare un meccanismo di doppia autenticazione.

Gootkit : campagna di diffusione del Trojan tramite finta mail I.N.A.I.L.

E’ in corso una campagna di malspam perpetrata attraverso l’invio di Posta Elettronica Certificata e avente come oggetto “I.N.A.I.L.. Comunica XXXXXXXX” o ”Tribunale di Napoli Procedura esecutiva immobiliare nr xx/xxx” . Lo scopo dei cybercriminali è quello di “inoculare” nel dispositivo dei malcapitati il trojan horse Gootkit; ciò avviene dopo l’apertura, da parte del destinatario della PEC, dell’allegato in formato PDF presente nella stessa.

Articolo correlato Gootkit

Campagna di Phishing “Fake Bartolini”

In questi giorni potrebbe giungere sul vostro smartphone una comunicazione, tramite email o SMS, da parte dell’azienda Bartolini – Corriere espresso S.p.A..: nel testo del messaggio si invita il cliente a cliccare su dei link “fasulli”. L’azienda, con un comunicato sul proprio sito, si dissocia da tale attività e sta valutando le opportune azioni legali da mettere in atto.

Evitate quindi di cliccare sul link proposto e assolutamente non fornite informazioni personali, benchè meno IBAN o Carte di Credito.

Informatica Generale, online, Recensioni, Sicurezza Informatica, social network

Comunicazione = Conoscienza + Credibilità + Contenuti

Dopo quasi 11 anni nel mondo Informatico diviso tra Azienda e libera professione ho deciso di ricominciare a dedicare del tempo all’accrescimento delle mie skills arricchendo il mio bagaglio culturale con nuove prospettive.

Ho passato quindi gli ultimi 5 anni a studiare i fenomeni che gravitano attorno alla Sicurezza Informatica specializzandomi nel settore.
Ho superato con profitto un corso di Alta Formazione per conseguire la qualifica di Ethical Hacking in modo da comprendere a fondo le azioni che vengono intraprese dagli “offenders” stando dalla parte opposta della barricata.

Ho analizzato le motivazioni che spingono a queste azioni, andando a studiare non solo i fenomeni relativi agli attacchi Informatici ma anche quelli verso la persona come il Cyberbullismo, il Revenge Porn, il Digital Stalking e via dicendo.

Ho iniziato a collaborare in modo pro-attivo con la Polizia Postale e delle Comunicazioni del Friuli Venezia Giulia condividendo nuove scoperte e esperienze on-field.

Tutto questo mi ha portato ad interessarmi da vicino alle dinamiche psicologiche che attraversano le menti di questi individui cercando, in ottica di prevenzione, di imparare a leggere tra le righe della ordinaria comunicazione, imparando a distinguere i messaggi evocativi che si nascondono dietro a un immagine, a un Like, a una richiesta di contatto. Tutte le azioni che compiamo sono finalizzate a comunicare qualcosa.

Analizzare il comportamento della gente online significa catalogare un mondo infinito di personalità diverse, milioni di puzzle da comporre ma anche un altrettanto esercito di anime da proteggere, perchè sì la comunicazione è veicolo di divulgazione ma è anche arma, e sui social siamo tutti potenziali vittime e carnefici.

La commistione di queste mie curiosità ha dato alito di vita a una passione che ben presto si è tradotta in una pseudo-attività professionale utile nel mondo della comunicazione social di massa.

Raggiungere un obiettivo utilizzando i Social Network come strumento, sfruttando le conoscenze maturate sulla personalità degli individui online, unite alle skills in ambito informatico, il tutto sapendo muoversi in modo organico, legittimo e trasparente in un mondo in cui ritagliarsi un minimo di credibilità è impresa davvero audace.

Non esiste il Copy Writer perfetto, non esiste il Social Media Manager perfetto e non esiste il perfetto Security Expert, quello che può però fare la differenza è uno studio delle fattispecie, unito alla conoscenza di determinati comportamenti ed unito ad una strategia comunicativa consolidata; questa formula chimica complessa non deve necessariamente tradursi in una sola figura, ma anche in un team.

Volendo esplicitare tutto questo in una formula la tradurrei in C.C.C. (Conoscenza, Credibilità e Contenuti).

La Conoscenza è pilastro fondamentale:

  • bisogna conoscere gli strumenti con cui ci si appresta a lavorare, e per conoscere intendo padroneggiarli al punto di saperli spiegare individuandone pregi e difetti e sapendo calcolare, nel computo delle variabili in gioco, i rischi e gli effetti negativi che una campagna social inevitabilmente genera. Conoscere non è solo “saper usare“;
  • bisogna conoscere in modo approfondito il comportamento medio delle persone che utilizzano i Social, bisogna essere in grado di calarsi nei panni del maggior numero di personalità differenti in modo da poter elaborare una strategia comunicativa che copra il maggior numero di casi.
    Sì, bisogna essere anche un pò esperti della mente per saper comunicare con efficacia, bisogna studiare affinché con una sola frase si riesca a raggiungere il maggior numero di persone possibile, più corta è la frase più possibilità ho di farcela;

Per far capire qualcosa all’uditorio del web bisogna innanzitutto sapere cosa la gente del web è disposta a capire, cosa vuole capire.
La consapevolezza di ciò che stiamo comunicando può portarci a stimare, ad esempio, che la foto di un determinato prodotto creerà una certa copertura, ma la conoscenza di cui parlo sopra ci può portare ad avere informazioni in più, ci farà sapere che la copertura sarà ancora maggiore nella foto che ritrae lo stesso prodotto in compagnia di un animale ed ancora maggiore se si tratta di un gatto o di un cane.
Sono dati che stanno lì, nella più grande banca dati dell’universo : il web.
Capire cosa si celi dietro a questo assioma però non basta, bisogna conoscere a fondo le dinamiche che stanno a monte di ciò, per conoscerle bisogna documentarsi;

  • bisogna conoscere quello che c’è stato fino a prima in rete, sapendo individuare gli errori da non fare, analizzando a fondo le campagne di mal-informazione cercando in qualche modo di capire cosa attira le persone a tal punto da indurle a cadere nei tranelli; la conoscenza è la via che ci porta alla Credibilità, altro requisito fondamentale per una corretta comunicazione.
  • bisogna conoscere cosa si deve fare ma sopratutto sapere cosa NON si deve fare; è il punto di partenza verso il raggiungimento della Credibilità.

Ora, so’ che cosa devo comunicare.
So che cosa cerca un determinato target di persone e so in che modo devo dirglielo e sopratutto so come NON devo dirglielo.
Se anche i Contenuti che gli porto sono validi allora ho raggiunto il mio obiettivo, ovvero quello di creare Engagement.

Sì, perché la comunicazione ha sempre un fine ultimo e questo è ottenere qualcosa dalla persona con cui comunichiamo, sia anche solo il trasferimento corretto di un concetto o, come nel caso del Social Media Marketing, l‘ottenimento di un potenziale profitto da cliente.

Il reclutamento di potenziali clienti, da qui la parola “Engagement” dall’inglese “to engage” che vuol dire “reclutare”.

Non è una scienza esatta, è un percorso che si costruisce mattone per mattone.

A breve con nuovi contenuti.

Informatica Generale, Microsoft, ransomware, Sicurezza Informatica

Vulnerabilità 0-day su sistemi Microsoft Windows

Nell’ottica di garantire un servizio di informazione reattivo e sicuro mi preme riferire relativamente alla recente scoperta di una importante vulnerabilità all’interno dei moderni sistemi operativi Microsoft Windows. La criticità è nota con l’identificativo CVE-2019-0797.

La problematica è originata da degli errori di gestione degli oggetti in memoria del componente Win32k che un attaccante, con accesso locale alla macchina, può sfruttare al fine di ottenere privilegi amministrativi su di essa, prendendone in completo controllo ed evadendo restrizioni e policy di sicurezza. Un cosiddetto attacco di “privilege-escalation“.

La vulnerabilità è stata ribattezzata “The fourth horseman” (il quarto cavaliere) per via del fatto che è la quarta vulnerabilità di privilege escalation scoperta nell’ultimo anno su Microsoft Windows.

Ricercatori di terze parti hanno rilevato lo sfruttamento di questa vulnerabilità in recenti attacchi ai danni di sistemi operativi Windows 10, operati da parte di attori malevoli attivi nell’area Mediorientale e Asiatica.

Questo il loro rimando tecnico dettagliato

Microsoft è corso subito ai ripari ammettendo la problematica e confermandola attraverso un apposito bollettino di sicurezza, ove risultano afflitte le versioni 32 e 64 bit di Microsoft Windows Server 2012, 2012 R2, 2016, 2019, Microsoft Windows 8.1 e 10, anche per architetture ARM64.

Per via dei correnti abusi registrati in-the-wild e del rischio di ulteriori sfruttamenti anche in scenari di attacco basati su malware, mi sento di suggerire la pianificazione e l’applicazione del pacchetto di sicurezza “March 2019 Security Updates”, rilasciato da Microsoft in questi giorni, all’interno del Vostro parco macchine Microsoft Windows.

Come al solito sono a disposizione per ulteriori chiarimenti o perplessità.

Bollettino Sicurezza, Microsoft, ransomware, Sicurezza Informatica

BOLLETTINO DI SICUREZZA 03/19

Vulnerabilità 0-Day in Google Chrome

Numerose le segnalazioni degne di nota per il mese di Marzo, partiamo dal rilevamento di numerosi PDF che sfruttano una vulnerabilità 0-day di Google Chrome. La falla in questione permette di tracciare gli utenti e, nel caso la vittima usi Chrome come lettore PDF, esfiltrare informazioni quali IP pubblico, versione del sistema operativo e l’intero percorso del PDF sul PC dell’utente. Il comportamento malevolo, infatti, non si verifica utilizzando altri strumenti per PDF come Adobe Reader, ma solo ed esclusivamente con Chrome PDF Viewer. Sebbene sembra che i primi attacchi risalgano all’ottobre 2017 e che Google sia stata avvertita lo scorso dicembre, la patch per la vulnerabilità dovrebbe arrivare solo il prossimo aprile.

Tentativo di frode a nome Alitalia

Proseguiamo con la scoperta della diffusione di una campagna di phishing che ha interessato un account di Alitalia lo scorso Mercoledì 27 Febbraio. In data 27/02/2019, alle ore 10:31, è stato segnalato un caso di phishing avente come mittente una casella di posta elettronica Alitalia, appartenente al Com. Marco Massone (marco.massone@alitalia.com). Dalla suddetta email sono state inviate circa 3.213 singole email, ciascuna con 98 destinatari diversi, per un totale di 300.000 singoli indirizzi email. In aggiunta, in alcuni casi sono stati utilizzati dei gruppi di distribuzione, con ulteriore fattore moltiplicativo. La maggioranza delle email hanno destinatari esterni, un insieme ridotto è stato indirizzato a destinatari Alitalia. Tuttavia alcune email sono state inviate a gruppi di distribuzione CRM, con conseguente diffusione massiva. Prestate quindi attenzione se avete ricevuto una insolita mail dalla compagnia aerea, si tratta di malware.

Pacha Group : nuovi attacchi.

Riemerge anche l’attore cyber crime noto come Pacha Group, probabilmente localizzato in Cina, che pare stia distribuendo un miner per sistemi Linux chiamato Antd.

Antd – esito di un riuso parziale di codice del miner XMRig per Monero – è noto almeno dal settembre 2018 e si presenta come una minaccia piuttosto sofisticata; la variante distribuita in questo caso ha ricevuto il nome GreedyAntd. La catena d’infezione è avviata con la compromissione di un server vulnerabile esposto online; si ipotizzano attacchi di brute forcing o l’impiego di exploit contro servizi come WordPress, PhpMyAdmin o JBOSS. In seguito viene scaricato ed eseguito il payload di primo livello che garantisce la persistenza nei sistemi, termina eventuali altri miner e scarica, talvolta via proxy, ulteriori componenti. Questi ultimi vanno a costituire una struttura modulare piuttosto articolata mirata ad eludere l’analisi dinamica. L’analisi dei server che ospitano GreedyAntd ha consentito di scoprire su un server di terze parti compromesso anche una componente irrelata rispetto a questa operazione che viene sfruttata per scaricare una configurazione di xmr-stak json. Questo codice sembra realizzato mediante riuso di codice di HelloBot, un bot di origine cinese scoperto nel gennaio 2019.

QakBot, distribuzione Trojan attraverso One Drive

Nell’ultimo mese è stata diffusa una variante del Trojan QakBot diffuso tramite mail. L’infezione è stata originata dalla seguente URL :

https://onedrive[.]live[.]com/redir?resid=234C9055AF39ACB4%211859&authkey=%21AII Tn9Z_vwswsP8&page=Download

Il trojan ha la capacità di:

  • annullare tentativi di disinfezione da parte della client AntiVirus;
  • autenticarsi in locale con le credenziali dell’Amministratore di Dominio;
  • bloccare in breve tempo molteplici account, forzando tramite scripting gli accessi;
  • effettuare dei movimenti laterali.

Prestare estrema attenzione ai link che si cliccano nelle e-mail in quanto veicolo usato per diffondere malware.

Vulnerabilità in Win Rar

La già nota vulnerabilità degli archivi WinRAR CVE-2018-20250 continua ad essere sfruttata da attori diversi, fra cui vi sono anche alcuni APT. L’exploit viene generalmente utilizzato dagli attaccanti nelle prime fasi della compromissione. In alcuni dei casi analizzati, i file all’interno dell’archivio malevolo – che comprendono numerose immagini per adulti – non possono essere visualizzati in anteprima, così i target sono costretti a decomprimerlo e ne vengono infettati. Dopo lo sfruttamento della vulnerabilità, viene impiegata una back-door scritta in C#, che si presenta come OfficeUpdateService.exe, per la gestione delle minacce da remoto e per la sottrazione di informazioni. In altre situazioni il WinRAR contiene diversi PDF sul tema delle offerte di lavoro in Arabia Saudita; in questo caso le macchine sono infettate dopo l’exploit con uno script VBS e poi viene eseguita direttamente in memoria (tecnica “fileless”) una backdoor PowerShell. Il terzo scenario rilevato consiste nell’uso di un archivio ACE protetto da password, il cui filename è in cirillico; poiché la password risulta ignota, gli analisti non sono stati in grado di analizzarne il contenuto.

Il consiglio è di evitare l’apertura di archivi, in quanto essendo occultato il contenuto, l’utente deve per forza eseguire l’apertura, compromettendosi.

Informatica Generale, Sicurezza Informatica

Carte Contact Less : la facilità nel clonarle

La tecnologia “contactless” sta diventando sempre più comune come mezzo per effettuare pagamenti o inviare informazioni.
Lo sviluppo rapido di questo processo è reso possibile grazie ad uno sviluppo tecnologico noto come Near Field Communication (NFC) e funziona tramite un chip wireless sul quale sono memorizzati i dettagli della carta di pagamento dell’utente, chip che può essere presente sia in un telefono cellulare che in una carta di credito o bancomat.

Tale tecnologia consente agli utenti di poter effettuare pagamenti fino ad un massimo di 25 € presso negozi e altri punti vendita semplicemente avvicinando lo smartphone o la carta ad un apposito lettore di schede, senza dover inserire fisicamente la carta stessa o digitare il PIN.
Pur essendo un comodo sistema per effettuare i pagamenti, gli utenti che utilizzano questa tecnologia sono esposti a potenziali problemi legati alla sicurezza.

Quali sono i rischi?

  • Pagare inconsapevolmente l’acquisto effettuato da un altro utente a causa della troppa vicinanza dello smartphone o della carta al lettore di schede;
  • Possibilità che il segnale wireless della carta o dello smartphone venga intercettato e le informazioni “finanziarie” rubate.

Questo secondo rischio è facilmente spiegato :

Nella contactless non c’è nient’altro che un chip RFID (Radio Frequency Identification) che contiene sotto forma di TAG i dati necessari alle transazioni.
Accostando la carta al lettore, avviene uno scambio di energia per induzione, e il chip della carta viene alimentato.
In quella frazione di secondo, tutti i dati presenti, possono essere modificati, aggiornati e soprattutto letti.
È in quel momento che la carta contactless può essere clonata.

Visto in questi termini, un malintenzionato potrebbe teoricamente rubare i dati necessari, semplicemente avvicinando un lettore alla nostra carta.

Siamo abituati a dei lettori POS che richiedono di accostare tantissimo la carta perché la comunicazione possa avvenire, ma non vuol dire che siano gli unici. In realtà per chi vuole frodare, con poche centinaia di euro, può acquistare un’antenna RFID con una portata che può arrivare anche a 12 m.
Quindi, non è necessario accostarsi più di tanto alla vittima perché questa si ritrovi con la carta contactless clonata.

Il side-channel, ossia il possibile attacco di pirati informatici nel tentativo di intercettare segnali utili da cui estrapolare i dati, avviene grazie alla tecnica del power-glitch.

Questa consiste nell’interruzione momentanea dell’alimentazione tra carta e lettore, così da guadagnare tempo e leggere più volte la comunicazione nel tentativo di rintracciare la chiave segreta.
Un truffatore, potrebbe tranquillamente sostare all’esterno di un’attività commerciale con un’antenna in borsa, mentre questa raccoglie i dati delle carte da utilizzare in seguito, magari per acquisti online, se la carta di origine non è protetta da password, oppure come carta di credito contact-less clonata, per piccoli acquisti.

Attualmente la chiave segreta di protezione è modificata frequentemente, nel tentativo di ridurre così le probabilità di furto di dati.
Sono allo studio anche nuovi microchip in grado di auto alimentarsi, vanificando così il power-glitch, ma in attesa che questa nuova tecnologia anti truffa sia migliorata, stiamo attenti al nostro estratto conto e controlliamo eventuali transazioni che non ricordiamo di aver fatto.

I consigli

  • Se si utilizza uno smartphone dotato di NFC, assicurati che sia sempre bloccato, quando non in uso, tramite un PIN, che è necessario cambiare regolarmente;
  • Presta particolare attenzione a non perdere o danneggiare lo smartphone/carta perché, in effetti, è un altro portafoglio;
  • Proteggi le tue carte di pagamento contactless custodendole in particolari custodie in modo che non possano essere intercettati i dati trasmessi;
  • Assicurati di leggere attentamente i termini e le condizioni della tua banca o del circuito che rilascia la carta di credito in relazione alla responsabilità in caso di pagamento errato o violazione della sicurezza;
  • Controlla frequentemente i tuoi movimenti bancari e della tua carta di credito
Informatica Generale, Microsoft, ransomware, Sicurezza Informatica

Occhio alle mail DHL, sono vettori di LokiBot

Nel corso delle attività di routine volte allo studio e all’analisi del traffico mail e delle evoluzioni tecnologiche nel cybercrime, è stata recentemente rilevata una campagna di phishing tesa a diffondere il pericoloso trojan noto come LokiBot.

LokiBot, è un trojan bancario, nato per i dispositivi mobili, con anche funzionalità di ransomware, nella seconda metà del 2018 la sua pericolosità è aumentata in quanto si sono manifestate infezioni e propagazioni anche in ambiente Windows, quindi l’habitat di propagazione della minaccia si è esteso ai PC.

In maniera analoga ad altri trojan del settore, come BankBot, LokiBot prende di mira un gran numero di applicazioni bancarie, mostrando all’utente false schermate di login mediante le quali cattura le credenziali di autenticazione e le invia ai server C&C controllati dai cybercriminali, è in grado di “falsificare” più di 100 app bancarie, oltre ad alcune app di ampia diffusione quali Facebook, Messenger, Google Play Games, Microsoft Outlook, PayPal, Skype, WhatsApp e Viber.

Le caratteristiche sono piuttosto comuni e già viste in altri trojan bancari, oltre ad alcune specifiche di questa nuova famiglia.

Questo malware è infatti in grado di:

  • Aprire un browser mobile, caricare un URL specifico e installare un proxy SOCKS5 mediante il quale redirigere il traffico di rete in uscita (analogamente a SockBot);
  • Rispondere automaticamente agli SMS e inviare SMS di spam a tutti i contatti della vittima allo scopo di diffondere l’infezione;
  • Mostrare false notifiche apparentemente provenienti da app legittime. (Quest’ultima funzione consente al malware di indurre l’utente ad aprire l’app della propria banca facendogli credere, ad esempio, di aver ricevuto un accredito sul proprio conto corrente. Quando l’utente apre la notifica, LokiBot mostra la falsa schermata per l’inserimento delle credenziali)

La diffusione rilevata avviene tramite false notifiche DHL in lingua inglese. Con sofisticate tecniche di ingegneria sociale, gli attaccanti cercano di indurre le vittime a cliccare su un link presente nel corpo del testo che rinvia ad un’immagine sfocata. Se l’utente fa doppio click sull’immagine (quasi un riflesso incondizionato quando si vuole ingrandire una foto), si avvia il download di un archivio .iso contenente un file eseguibile. Questo procede al lancio del software legittimo di Windows “RegAsm.exe” dentro il quale verrà poi iniettato il codice di LokiBot.

regasm.exe

Lo strumento di registrazione di assembly legge i metadati all’interno di un assembly e aggiunge al Registro di sistema le voci necessarie per consentire ai client COM di creare classi di .NET Framework in modo trasparente. (fonte Microsoft)

Lo scopo principale della minaccia è quello di esfiltrare password dai più popolari browser (Explorer, Firefox, Chrome, Opera, Safari, Yandex ecc), da client mail (Outlook, Thunderbird, ecc) e client FTP (BlazeFTP, ClassicFTP, FileZille ecc).

Vi invito quindi a fare estrema attenzione alle e-mail provenienti da mittenti DHL o altri vettori / corrieri, aprendo gli allegati solo ed esclusivamente se si è certi della provenienza.

Nel prossimo articolo riprenderò il tema dell’ingegneria sociale applicata al cybercrime.