Sicurezza Informatica
APT29 e Nobellium colpiscono la Francia e la sua diplomazia
Tempo di lettura: 2 minuti. I recenti attacchi russi contro la Francia, con un focus su Nobelium e APT29, e le implicazioni per la sicurezza nazionale francese.
Negli ultimi mesi, le entità diplomatiche in Francia sono state oggetto di una serie di attacchi cyber condotti da attori statali con legami con la Russia come APT29 e Nobellium. I report di ANSSI (Agenzia Nazionale della Sicurezza dei Sistemi Informativi) e CERT-FR (Computer Emergency Response Team) hanno dettagliato le tattiche, tecniche e procedure utilizzate da questi gruppi, rivelando un quadro preoccupante delle attività di spionaggio informatico dirette verso la Francia.
Nobelium e Midnight Blizzard: Chi Sono?
Nobelium, noto anche come Midnight Blizzard, è un gruppo di cyber attacco sponsorizzato dallo Stato russo, noto anche come APT29 e Cozy Bear, legato al Servizio di Intelligence Estera della Russia (SVR). Questo gruppo è stato responsabile dell’attacco alla supply chain di SolarWinds nel 2020 e di numerose altre campagne di spionaggio mirate contro entità diplomatiche e governative.
Attività Recenti
Gli attacchi recenti attribuiti a Nobelium includono l’uso di email di phishing inviate da account compromessi di personale diplomatico per colpire organizzazioni pubbliche francesi. Ad esempio, nel maggio 2023, diverse ambasciate europee a Kyiv sono state bersaglio di una campagna di phishing condotta da Nobelium. L’ambasciata francese a Kyiv è stata una delle vittime, ricevendo email con l’esca di una “vendita di auto diplomatica”.
Un altro attacco, sempre nel maggio 2023, ha preso di mira l’ambasciata francese in Romania, ma è stato respinto con successo.
Obiettivi e tecniche
Nobelium utilizza una varietà di strumenti e infrastrutture per eseguire i suoi attacchi, tra cui:
- Phishing con Account Compromessi: Utilizzo di email di phishing inviate da account compromessi per infiltrarsi nelle reti delle vittime.
- JetBrains TeamCity: Sfruttamento delle vulnerabilità nei server di JetBrains TeamCity.
- Strumenti di Accesso Remoto: Tentativi di implementare strumenti come Cobalt Strike per ottenere l’accesso remoto ai sistemi bersaglio.
ANSSI ha osservato che le tecniche impiegate da Nobelium, come la creazione di documenti esca falsificati e la persistenza degli attacchi, indicano che il gruppo opera quasi certamente per conto di uno Stato.
Implicazioni per la Sicurezza Nazionale
Le attività di spionaggio di Nobelium rappresentano una seria minaccia per la sicurezza nazionale della Francia. Gli attacchi mirati contro entità diplomatiche e IT potrebbero rafforzare le capacità offensive di Nobelium, facilitando operazioni future. La raccolta di informazioni durante gli attacchi recenti contro il settore IT potrebbe fornire a Nobelium un vantaggio strategico nei confronti delle sue future operazioni.
Contesto Storico e Politico
Le tensioni tra Francia e Russia non sono una novità. In passato, la Francia ha già affrontato campagne di disinformazione e attacchi cyber da parte della Russia. Nel 2017, la campagna elettorale del presidente Emmanuel Macron è stata presa di mira da attacchi informatici russi che hanno cercato di influenzare l’elettorato francese, sebbene senza successo significativo.
Recentemente, il ministro degli Affari Europei della Francia, Jean-Noel Barrot, ha accusato la Russia di aver orchestrato una campagna di disinformazione per destabilizzare il governo francese.
Le recenti rivelazioni sui cyber attacchi russi contro la Francia sottolineano la necessità di una vigilanza continua e di misure di sicurezza rafforzate. Gli attacchi sponsorizzati dallo Stato, come quelli condotti da Nobelium, rappresentano una minaccia significativa non solo per la sicurezza nazionale, ma anche per la stabilità politica e la fiducia pubblica.
Sicurezza Informatica
Kimsuky sfrutta TRANSLATEXT contro l’Accademia Sudcoreana
Tempo di lettura: 2 minuti. Kimsuky utilizza TRANSLATEXT per prendere di mira l’accademia sudcoreana, rubando dati sensibili tramite un’estensione Chrome malevola.
Il gruppo di hacker nordcoreano Kimsuky ha recentemente utilizzato una nuova estensione del browser Chrome chiamata TRANSLATEXT per prendere di mira il settore accademico sudcoreano. Secondo l’analisi condotta da Zscaler, questa campagna ha utilizzato metodi sofisticati per distribuire malware e raccogliere dati sensibili.
Dettagli tecnici dell’attacco
Kimsuky ha consegnato un file archivio denominato “한국군사학논집 심사평서 (1).zip”, che tradotto significa “Revisione di una Monografia sulla Storia Militare Coreana”. L’archivio conteneva due file esca: documenti HWP (un formato di file popolare in Corea del Sud) e un eseguibile Windows camuffato da documenti correlati. Quando l’utente lancia l’eseguibile, il malware recupera uno script PowerShell dal server del cyber-attore.
Questo script PowerShell carica informazioni generali sulla vittima e crea un collegamento Windows che recupera un ulteriore script PowerShell dallo stesso server. Durante le ricerche di Zscaler, è stato scoperto un altro script PowerShell e un account GitHub utilizzato dall’attore della minaccia per caricare i dati delle vittime e un’estensione Chrome precedentemente eliminata.
Fase | Descrizione |
---|---|
File iniziale | “한국군사학논집 심사평서 (1).zip” con documenti esca e un eseguibile Windows |
Script PowerShell | Recuperato dal server del cyber-attore, carica informazioni generali sulla vittima |
Estensione Chrome TRANSLATEXT | Registrata nel registro di Windows per forzare l’installazione senza il permesso dell’utente |
Analisi di TRANSLATEXT
TRANSLATEXT è stata caricata su GitHub con il nome “GoogleTranslate.crx” e mascherata da estensione di Google Translate. In realtà, conteneva quattro file Javascript malevoli progettati per aggirare le misure di sicurezza, rubare indirizzi email, credenziali, cookie, catturare schermate del browser e esfiltrare dati rubati.
File Javascript | Funzione |
---|---|
auth.js | Iniettato nelle pagine di login di Naver e Kakao per aggirare le misure di sicurezza |
gsuit.js | Iniettato nella pagina di login di Gmail per aggirare le misure di sicurezza |
content.js | Iniettato in tutte le pagine web per monitorare e rubare informazioni |
background.js | Gestisce la comunicazione con il server di comando e controllo (C2) |
La presenza di vari file Javascript suggerisce che TRANSLATEXT sia stata progettata per colpire una vasta gamma di piattaforme di login, raccogliendo dati sensibili e inviandoli al server C2 attraverso richieste HTTP POST.
Misure di Sicurezza e Collaborazione
Durante l’analisi, Zscaler ha notificato i team di sicurezza di Google e Naver riguardo a queste vulnerabilità di sicurezza, collaborando strettamente per mitigare il problema. L’obiettivo principale dell’attacco era raccogliere dati sensibili dagli accademici sudcoreani, con l’estensione TRANSLATEXT che fungeva da strumento principale per la raccolta di queste informazioni.
L’utilizzo di TRANSLATEXT da parte di Kimsuky per prendere di mira l’accademia sudcoreana dimostra il livello di sofisticazione raggiunto dagli attacchi di questo gruppo. La collaborazione tra Zscaler, Google e Naver è essenziale per contrastare queste minacce e proteggere i dati degli utenti. È cruciale per gli utenti essere consapevoli delle minacce e adottare misure di sicurezza appropriate per proteggere i propri dati personali e professionali.
Sicurezza Informatica
Cina, preoccupazioni su dati personali e sicurezza: aziende cinesi e il caso TEMU
Tempo di lettura: 2 minuti. Indagine sulle aziende cinesi per presunto sfruttamento dei dati personali e causa contro TEMU per malware
La sicurezza dei dati personali è una questione di crescente preoccupazione, con indagini e accuse che coinvolgono aziende cinesi e , recentemente, l’amministrazione Biden ha avviato un’indagine sulle aziende di telecomunicazioni cinesi come China Mobile, China Unicom e China Telecom per presunto sfruttamento dei dati personali degli utenti statunitensi ma, contemporaneamente, il procuratore generale dell’Arkansas ha citato in giudizio TEMU, un popolare app di shopping online, accusandola di essere un malware pericoloso.
Indagine su China Mobile, China Unicom e China Telecom
Le aziende cinesi China Mobile, China Unicom e China Telecom sono sotto indagine da parte del Dipartimento del Commercio degli Stati Uniti. L’indagine riguarda il presunto sfruttamento dei dati personali degli utenti statunitensi raccolti attraverso i loro servizi cloud e internet. Secondo fonti anonime, queste aziende potrebbero consegnare le informazioni raccolte al governo cinese, un’accusa che ha portato alla convocazione delle aziende da parte del Dipartimento del Commercio.
Le aziende cinesi non hanno commentato ufficialmente queste accuse. Un portavoce dell’ambasciata cinese a Washington D.C. ha dichiarato che gli Stati Uniti dovrebbero smettere di sopprimere le aziende cinesi sotto falsi pretesti, aggiungendo che la Cina continuerà a difendere i diritti e gli interessi delle sue aziende. Reuters, dopo un’indagine indipendente, non ha trovato prove che le tre aziende abbiano fornito dati personali degli utenti statunitensi al governo cinese.
Azienda | Servizi Offerti in USA | Accusa |
---|---|---|
China Mobile | Servizi cloud e routing internet | Presunto sfruttamento dei dati degli utenti |
China Unicom | Servizi cloud e routing internet | Presunto sfruttamento dei dati degli utenti |
China Telecom | Servizi cloud e routing internet | Presunto sfruttamento dei dati degli utenti |
Causa Legale Contro TEMU
TEMU, una popolare app di shopping online cinese, è stata citata in giudizio dal procuratore generale dell’Arkansas, Tim Griffin, con l’accusa di essere un malware pericoloso che spia gli utenti. La causa sostiene che l’app TEMU accede segretamente a quasi tutti i dati sul cellulare di un utente, inclusi fotocamera, posizione specifica, contatti, messaggi di testo e documenti. Inoltre, la causa afferma che TEMU può ricompilarsi, modificare le proprietà e ignorare le impostazioni di privacy dei dati dell’utente, rendendo difficile rilevare il malware anche per utenti esperti.
TEMU ha negato tutte le accuse, definendole infondate e basate su disinformazioni diffuse online. Nonostante le accuse, TEMU è stata l’app di shopping più scaricata nel 2023, con oltre 337 milioni di download. Le teorie suggeriscono che i prezzi estremamente bassi offerti da TEMU siano il risultato della pressione sui produttori per abbassare ulteriormente i prezzi, spesso lasciando i produttori con pochi o nessun profitto.
Accusa | Dettaglio |
---|---|
Malware e Spionaggio | Accesso a fotocamera, posizione, contatti, messaggi di testo, documenti |
Modifica delle Proprietà | Capacità di ricompilarsi, modificare proprietà e ignorare le impostazioni di privacy |
Impatto sui Consumatori | Presunti rischi per la privacy e la sicurezza dei dati degli utenti |
Le preoccupazioni sulla sicurezza dei dati personali raccolti dalle aziende cinesi e il caso legale contro TEMU evidenziano la necessità di una vigilanza continua e di regolamentazioni rigorose per proteggere gli utenti. Le indagini e le azioni legali in corso mirano a garantire che le aziende rispettino le norme sulla privacy e la sicurezza dei dati, proteggendo gli utenti da potenziali abusi.
Sicurezza Informatica
TeamViewer bucato: è stato APT29
Tempo di lettura: < 1 minuto. TeamViewer comunica i dettagli sull’incidente di sicurezza del 26 giugno, attribuito ad APT29: Nessun accesso ai dati dei clienti.
TeamViewer ha recentemente comunicato i dettagli di un incidente di sicurezza avvenuto il 26 giugno che sembrerebbe essere ad opera di APT29. Un team dedicato, composto da esperti di sicurezza di TeamViewer e specialisti globali di cyber sicurezza, ha lavorato 24 ore su 24 per investigare l’incidente utilizzando tutti i mezzi disponibili ed è in costante contatto con fornitori di intelligence sulle minacce e autorità competenti per aggiornare l’indagine.
Dettagli dell’incidente
L’indagine ha rivelato che l’attacco ha coinvolto le credenziali di un account standard di un dipendente all’interno dell’ambiente IT aziendale di TeamViewer. Grazie al monitoraggio continuo della sicurezza, il team ha identificato comportamenti sospetti relativi a questo account e ha immediatamente attivato le misure di risposta agli incidenti. In collaborazione con il supporto esterno per la risposta agli incidenti, TeamViewer attribuisce questa attività al noto attore di minacce APT29, anche conosciuto come Midnight Blizzard.
Contenimento e protezione dei Dati
Secondo le scoperte attuali dell’indagine, l’attacco è stato contenuto all’interno dell’ambiente IT aziendale e non ci sono prove che l’attore di minacce abbia avuto accesso all’ambiente di produzione o ai dati dei clienti. TeamViewer utilizza una forte segregazione tra l’IT aziendale, l’ambiente di produzione e la piattaforma di connettività TeamViewer. Questo significa che tutti i server, le reti e gli account sono mantenuti rigorosamente separati per prevenire accessi non autorizzati e movimenti laterali tra i diversi ambienti. Questa segregazione è una delle molteplici misure di protezione nel nostro approccio di ‘difesa in profondità’.
Impegno per la Trasparenza
La sicurezza è di fondamentale importanza per TeamViewer ed è profondamente radicata nella nostra cultura aziendale e continuerà ad aggiornare lo stato delle nostre indagini nel nostro Trust Center man mano che saranno disponibili nuove informazioni. Il prossimo aggiornamento è previsto entro la fine della giornata odierna, CEST.
- Smartphone1 settimana fa
Aggiornamenti di sicurezza Galaxy S21 FE e A55
- Smartphone1 settimana fa
Realme GT 6 vs POCO F6: quale scegliere?
- Smartphone1 settimana fa
Honor 200 Pro vs. Google Pixel 8 Pro: quale scegliere?
- Smartphone1 settimana fa
Galaxy A42 5G, S20 FE e A52s si aggiornano: One UI 6.1.1 arriva presto
- Smartphone1 settimana fa
Samsung Galaxy A53 5G, S23 FE e One UI 6.1.1: novità e aggiornamenti
- Smartphone7 giorni fa
Samsung dice addio a A51, A41 e M01: resiste l’S21 Ultra
- Smartphone1 settimana fa
Samsung Galaxy Z Fold 6, Z Flip 6 e S25 Ultra: novità e specifiche
- Tech1 settimana fa
Prezzi di Samsung Galaxy Buds 3, Watch 7 e Watch Ultra Online. Sono dolori