Sicurezza Informatica
Il malware delle forze dell’ordine
Tempo di lettura: 5 minuti. Mikko Hyppönen è un esperto di sicurezza informatica da oltre due decenni ed è responsabile delle indagini presso la società F-Secure in Finlandia. Da molti anni Mikko commenta e scrive pubblicamente su malware, hacktivisti e governi. È anche membro del comitato consultivo per la sicurezza di Internet presso Europol.
Mikko Hyppönen è un esperto di sicurezza e autore. In un estratto del suo nuovo libro “If It’s Smart, It’s Vulnerable” parla del malware governativo e delle tecniche delle forze dell’ordine. Rivela inoltre come è venuto a conoscenza del malware delle forze dell’ordine tedesche e come il Chaos Computer Club si è assicurato che tutti potessero individuarlo.
Lo scorso agosto è uscito il suo nuovo libro If It’s Smart, It’s Vulnerable. Ne pubblichiamo un estratto.
Malware per le forze dell’ordine
L’idea che le forze dell’ordine utilizzino virus e altre minacce informatiche per infettare i computer dei cittadini può sembrare inverosimile. Tuttavia, si tratta di una tecnica comunemente utilizzata in tutto il mondo.
Alla fine, si tratta di decidere quali diritti noi cittadini vogliamo concedere alle autorità. Se riteniamo che il compromesso tra sicurezza e privacy sia equilibrato, concederemo diritti speciali alle autorità. Se invece il compromesso è unilaterale, non lo faremo. Quando i telefoni fissi sono diventati comuni, le forze dell’ordine volevano il diritto di controllarli. Dopo la comparsa dei telefoni cellulari, la polizia è stata autorizzata ad ascoltare la rete mobile. Poi sono arrivate le autorizzazioni a tracciare i messaggi di testo e le e-mail. Tuttavia, quando i potenti sistemi di crittografia sono diventati la norma, tracciare il traffico non era più sufficiente, poiché quasi tutto il traffico online intercettato dalla polizia era crittografato – il che ha portato al diritto di installare malware sui dispositivi dei sospetti. Questo aggira la crittografia, in quanto i messaggi vengono letti prima di essere crittografati o dopo essere stati decifrati.
Ma come viene installato il malware sul dispositivo di un sospetto, una volta che le forze dell’ordine sono autorizzate a utilizzare tale software? Sono disponibili molte tecniche, ma la maggior parte di esse sono molto diverse da quelle utilizzate dai criminali informatici. La polizia può richiedere un mandato per introdursi nell’abitazione del sospettato e infettare fisicamente i dispositivi, oppure può collaborare con un operatore Internet locale per modificare il software che il sospettato scarica da Internet.
Sembra un po’ strano che gli stessi agenti di polizia che noi di F-Secure aiutiamo a catturare i criminali informatici utilizzino anche il malware nel loro lavoro. Ne ho discusso con gli agenti, dicendo che, pur comprendendo la loro necessità di utilizzare il malware, cercheremo comunque di impedirlo. Ho anche detto loro di non aspettarsi il nostro aiuto se utilizzano il malware. Non possiamo ignorare i virus scritti dalle autorità, a prescindere dalle buone intenzioni. Se le forze dell’ordine vogliono usare il malware, sono affari loro.
Caso R2D2
La prima volta che ci siamo imbattuti in un malware per le forze dell’ordine è stato nell’ottobre 2011: un malware noto come R2D2 o 0zapft, creato dal governo federale tedesco. Quando abbiamo pubblicato l’aggiornamento per il rilevamento di questo malware, ne ho parlato nel nostro blog, affermando con tono sornione che ci era stato inviato un campione “dal campo”. Ora posso rivelare la verità. Sono stato contattato dal Chaos Computer Club (CCC), un’associazione tedesca che promuove la libertà di parola in materia di tecnologia. I loro esperti stavano aiutando una persona accusata di violazioni doganali. L’accusato sospettava che il suo computer portatile fosse stato infettato dalle guardie di frontiera tedesche all’aeroporto di Monaco, al momento del suo arrivo in Germania.
I tecnici di CCC hanno trovato un complesso malware in esecuzione in background sul computer e hanno monitorato il funzionamento di quattro programmi: Skype, Firefox, MSN Messenger e ICQ chat. Il club non era sicuro di cosa sarebbe successo quando il caso sarebbe diventato pubblico, in particolare se il software antivirus avrebbe identificato il malware, che non era un software criminale. Anzi, era l’esatto contrario.
I rappresentanti di CCC mi hanno chiamato perché, in un discorso pubblico, ho detto chiaramente che dobbiamo proteggere i nostri utenti, indipendentemente dall’origine del malware. La nostra definizione di malware è tecnica, non politica o sociale. Il malware è un software che l’utente non vuole sul proprio computer e R2D2 risponde a questa definizione. Il CCC voleva assicurarsi che, quando il caso R2D2 fosse diventato pubblico, una soluzione antivirus nota e affidabile non avrebbe esitato ad aggiungerne il riconoscimento, rendendo più facile per altre aziende del settore seguirne l’esempio. Abbiamo fatto proprio questo. Quando la stampa tedesca ha saputo del caso, nel giro di un’ora è diventato una notizia internazionale. Avevamo creato il nostro aggiornamento di rilevamento in tempo utile e lo avevamo pubblicato in contemporanea con il mio post sul blog, in cui presentavo le motivazioni per bloccare il malware anche se scritto dalle forze dell’ordine. Tre ore dopo, il software antivirus Avast ha iniziato a rimuovere il malware. Un’ora dopo, McAfee ha fatto lo stesso, seguito da Kaspersky. Entro la sera dello stesso giorno, praticamente tutti avevano fatto lo stesso. La tattica di CCC aveva funzionato.
Cracking delle password
Quando un sospetto viene arrestato e i suoi dispositivi sono bloccati con una password sconosciuta, rimane solo un’opzione: craccare le password. Sebbene il traffico di dati protetto dalla moderna crittografia sia praticamente impenetrabile, si può tentare di decifrare i file o i file system provando tutte le password possibili. Spesso questo tentativo può essere accelerato distribuendo il compito tra decine o addirittura centinaia di computer.
Le autorità dispongono di sistemi di decrittazione piuttosto impressionanti a questo scopo. Un edificio per uffici dell’Aia, ad esempio, dispone di un hardware di decodifica delle dimensioni di un supercomputer, che necessita di una propria centrale elettrica. Un hardware del genere consente di testare milioni di opzioni di password al secondo. Ciononostante, l’apertura di un singolo file criptato può richiedere mesi.
I sistemi di decodifica automatica utilizzano una tattica intelligente per accelerare questa operazione. Se un file protetto da password viene trovato sul disco rigido di un sospetto, tutti i file presenti sul disco vengono indicizzati e tutte le singole parole vengono raccolte da ciascun file per essere testate come password. Se nessuna funziona, tutte le parole scoperte vengono testate al contrario; se non funziona, l’unità viene analizzata per individuare eventuali aree inutilizzate e file eliminati, e le parole al loro interno vengono provate. In un numero sorprendente di occasioni, questa operazione decifra i file.
Quando un hacker ha versato il suo caffè
I criminali informatici esperti sanno quando sono braccati. Molti di loro si sono preparati a un eventuale arresto, costruendo sistemi per distruggere le prove.
Un criminale russo di botnet gestiva un centro di calcolo nel suo appartamento di due stanze a San Pietroburgo. Ha fatto cambiare la sua porta con una robusta porta di metallo attaccata a un pesante telaio metallico. Quando la polizia locale è arrivata per arrestarlo, Igor ha avuto tutto il tempo di iniziare a cancellare i file da tutti i suoi server. Non riuscendo a passare attraverso la porta, la polizia fece un buco nel muro accanto ad essa. Igor è stato trovato nella sua cucina. Sul fornello caldo c’era un bollitore e nel bollitore c’erano le schede di memoria e le SIM dei suoi telefoni cellulari. Il loro contenuto non potrà mai essere ripristinato.
La tattica migliore è quella di distrarre un criminale, impedendogli di distruggere o bloccare i suoi dispositivi al momento dell’arresto. In un arresto coordinato da EUROPOL, il sospetto era seduto in un bar con un computer portatile quando un’agente sotto copertura si è seduta allo stesso tavolo, rovesciando il caffè pochi istanti dopo. Il sospetto si è alzato, a quel punto un agente maschio che lo attendeva dietro di sé si è fatto avanti e ha portato via il computer sbloccato per l’analisi forense.
Estratto con il permesso dell’editore, Wiley, da If It’s Smart, It’s Vulnerable di Mikko Hypponen. Copyright © 2022 di Mikko Hypponen. Questo libro è disponibile ovunque si vendano libri ed eBook. Tutti i diritti sono riservati.
Sicurezza Informatica
Intelligenza artificiale e malware: LLM per offuscare codice JavaScript dannoso
Tempo di lettura: 2 minuti. Gli LLM stanno trasformando la sicurezza informatica: come i modelli linguistici avanzati offuscano JavaScript dannoso e come Palo Alto Networks contrasta la minaccia.
Un recente studio condotto da Palo Alto Networks mostra come i modelli linguistici avanzati (LLM) possano essere utilizzati per offuscare il codice JavaScript dannoso, rendendo più difficile la sua rilevazione da parte degli strumenti di sicurezza. Questo approccio sottolinea sia le potenzialità che le sfide della generazione di codice basata sull’intelligenza artificiale.
LLM e malware: un’arma a doppio taglio
Sebbene gli LLM non siano in grado di generare malware complessi da zero, si sono dimostrati particolarmente efficaci nel riscrivere codice già esistente. Utilizzando tecniche come il rinominare variabili, inserire codice morto e riformattare stringhe, i criminali informatici possono creare varianti del codice che mantengono le stesse funzionalità dannose ma evitano il rilevamento.
Ad esempio, uno script JavaScript malevolo destinato al phishing può essere trasformato in modo da passare inosservato dai principali strumenti di analisi, inclusi quelli su piattaforme come VirusTotal. In un test, l’algoritmo di riscrittura sviluppato da Palo Alto Networks ha ridotto la rilevazione del codice originale dal 100% a meno dell’1%.
Difesa contro l’offuscamento basato su LLM
Per contrastare queste tecniche, Palo Alto Networks ha utilizzato un approccio basato sulla “data augmentation”. Gli esperti hanno creato un dataset contenente migliaia di varianti di JavaScript riscritte da LLM e lo hanno usato per addestrare nuovamente i modelli di rilevazione. Questa strategia ha migliorato la capacità di identificare codice dannoso reale di circa il 10%.
Implicazioni per il futuro
L’uso di LLM per offuscare il malware rappresenta una minaccia crescente, ma offre anche opportunità per rafforzare le difese. Sistemi di sicurezza più avanzati, come il nuovo rilevatore di JavaScript di Palo Alto Networks, possono ora identificare migliaia di attacchi a settimana.
Mentre i criminali informatici sfruttano l’IA per evadere la rilevazione, le stesse tecnologie possono essere utilizzate per migliorare le difese. La ricerca e l’innovazione rimangono essenziali per mantenere un vantaggio sui metodi di attacco in evoluzione.
Sicurezza Informatica
Vulnerabilità critiche nei plugin WordPress WPLMS
Tempo di lettura: < 1 minuto. Vulnerabilità critiche nei plugin WordPress WPLMS: aggiornamenti obbligatori per proteggere i siti da attacchi RCE, SQL injection e escalation di privilegi.
Due plugin richiesti dal tema premium WordPress WPLMS, utilizzato da oltre 28.000 utenti, sono stati identificati con una serie di vulnerabilità critiche che potrebbero compromettere gravemente la sicurezza dei siti web. Le falle, scoperte dai ricercatori di Patchstack, consentono attacchi che spaziano dall’esecuzione remota di codice all’escalation di privilegi, fino a iniezioni SQL dannose.
Dettagli delle vulnerabilità in WPLMS e VibeBP
I problemi principali riguardano i plugin WPLMS e VibeBP, componenti chiave per il funzionamento del tema. Tra le vulnerabilità identificate:
- CVE-2024-56046 (CVSS 10.0): Permette a un attaccante non autenticato di caricare file malevoli, aprendo la strada all’esecuzione di codice remoto (RCE).
- CVE-2024-56043 (CVSS 9.8): Consente la registrazione come utente con ruoli privilegiati, incluso Amministratore, senza autenticazione.
- CVE-2024-56042 (CVSS 9.3): Permette l’iniezione di query SQL malformate per compromettere il database o estrarre dati sensibili.
Analogamente, il plugin VibeBP presenta falle come:
- CVE-2024-56040 (CVSS 9.8): Attaccanti non autenticati possono registrarsi come utenti con privilegi elevati.
- CVE-2024-56039 (CVSS 9.3): SQL injection da parte di utenti non autenticati attraverso input non sanitizzati.
Risoluzione e aggiornamenti
Gli sviluppatori di Vibe Themes, in collaborazione con Patchstack, hanno rilasciato aggiornamenti che risolvono le falle. Si raccomanda agli utenti di aggiornare immediatamente:
- WPLMS alla versione 1.9.9.5.3 o successiva.
- VibeBP alla versione 1.9.9.7.7 o successiva.
Raccomandazioni di sicurezza
- Implementare controlli rigorosi per i caricamenti di file.
- Sanitizzare gli input SQL per prevenire attacchi.
- Rafforzare i controlli basati sui ruoli per limitare l’accesso non autorizzato.
Le vulnerabilità nei plugin WPLMS e VibeBP evidenziano l’importanza di mantenere aggiornati i plugin WordPress e di adottare misure preventive per proteggere i dati sensibili. Gli amministratori di siti che utilizzano WPLMS dovrebbero agire immediatamente per evitare rischi.
Sicurezza Informatica
Operazione “Old School”: la Polizia Postale contro la pedopornografia online
Tempo di lettura: < 1 minuto. Operazione “Old School”: la Polizia Postale arresta quattro persone per pedopornografia online, grazie a una collaborazione internazionale.
La Polizia di Stato ha concluso con successo l’operazione “Old School”, arrestando quattro persone e denunciandone una quinta per produzione, diffusione e detenzione di CSAM. L’indagine è stata condotta dal Centro operativo per la Sicurezza cibernetica di Genova, in collaborazione con il Centro nazionale per il contrasto del CSAM e l’organizzazione britannica no profit Child Rescue Coalition.
Indagini e metodologia dell’operazione
L’operazione è stata avviata monitorando account sospetti su piattaforme online utilizzate per condividere e scaricare materiale pedopornografico. Attraverso tecniche avanzate di investigazione digitale, gli agenti hanno identificato gli utenti responsabili di tali attività.
Le perquisizioni personali e informatiche sono state eseguite in tutto il territorio ligure, portando alla scoperta di un ingente quantitativo di materiale illegale, detenuto dagli indagati. Questa azione sottolinea il costante impegno della Polizia Postale nel combattere la diffusione di contenuti illeciti e nel proteggere i minori da abusi online.
Collaborazione internazionale
Il coinvolgimento della Child Rescue Coalition ha giocato un ruolo cruciale, fornendo strumenti e dati utili per localizzare gli account coinvolti. Questa collaborazione rafforza l’importanza di un approccio globale nella lotta contro la pedopornografia, integrando risorse tecnologiche e investigazioni tradizionali.
-
Economia1 settimana ago
Sanzioni per violazioni del GDPR per Meta e Netflix
-
Sicurezza Informatica5 giorni ago
Minacce npm, firewall Sophos e spyware su Android
-
L'Altra Bolla1 settimana ago
ChatGPT su WhatsApp, policy di YouTube e Discord a 64 bit
-
Sicurezza Informatica5 giorni ago
Aggiornamenti Fortimanager e CISA per ICS e vulnerabilità note
-
Sicurezza Informatica1 settimana ago
NodeStealer e phishing via Google Calendar: nuove minacce
-
Sicurezza Informatica1 settimana ago
HubPhish, targeting politico e vulnerabilità critiche
-
Sicurezza Informatica1 settimana ago
Windows, rischi Visual Studio Code, file MSC e kernel
-
Sicurezza Informatica1 settimana ago
Nvidia, SonicWall e Apache Struts: vulnerabilità critiche e soluzioni