Nella rassegna di questa settimana, CTI esamina le principali vulnerabilità individuate da Kaspersky nel primo trimestre del 2024. Successivamente, CTI analizza il malware modulare noto come HijackLoader, che ha continuato a evolversi sin dalla sua comparsa lo scorso anno. Infine, CTI conclude con i risultati principali tratti dal rapporto “ 2024 State of Pentesting” di Cobalt.
1. Kaspersky releases the top exploit and vulnerability trends in Q1 2024
L’ultimo rapporto di Kaspersky, intitolato “ ”, esamina le principali vulnerabilità registrate dal 2023 al primo trimestre del 2024.
I ricercatori di Kaspersky hanno analizzato quali di queste vulnerabilità fossero state sfruttate con maggiore frequenza, al fine di individuare le tendenze relative agli obiettivi più comuni delle APT.
Vulnerabilità registrate
Secondo Kaspersky, le vulnerabilità registrate come CVE sono in aumento di anno in anno.
- Uno dei fattori che contribuiscono a tale fenomeno è la diffusione delle piattaforme di bug bounty, che hanno contribuito a identificare e individuare le vulnerabilità.
- Un altro fattore determinante è la continua creazione di applicazioni e l’aggiornamento di quelle esistenti, che comportano a loro volta delle vulnerabilità.
Oltre al numero di CVE, che cresce di anno in anno, sta aumentando anche la percentuale di vulnerabilità critiche.
Ulteriori risultati emersi dal rapporto di Kaspersky
Kaspersky ha analizzato fonti pubbliche, i CVE registrati e i propri dati di telemetria per trarre conclusioni e elaborare statistiche relative allo sfruttamento delle vulnerabilità. Hanno riscontrato che il numero di utenti di Windows che hanno subito lo sfruttamento di vulnerabilità è rimasto stabile, mentre gli utenti di Linux hanno registrato un aumento dei casi di sfruttamento di vulnerabilità.
Analizzando le vulnerabilità che sono state sfruttate, hanno individuato alcune categorie che rivestivano particolare interesse per gli autori delle minacce. Tra questi figurano i browser, i sistemi operativi, Microsoft , Exchange, Microsoft , SharePoint e la suite Office Microsoft .
Considerando esclusivamente le vulnerabilità critiche, quelle più sfruttate riguardavano i sistemi operativi, che rappresentavano il 50%.
Sfruttamento delle vulnerabilità negli attacchi APT
Kaspersky ha riscontrato che molte APT sfruttano le vulnerabilità nei propri attacchi. Le vulnerabilità più sfruttate nel primo trimestre del 2024 sono state la CVE-2023-38831 (WinRAR), la CVE-2017-11882 (MS Office) e la CVE-2017-0199 (MS Office).
Kaspersky ha inoltre scoperto che i punti di accesso più comuni includono servizi di accesso remoto vulnerabili, funzionalità di controllo degli accessi vulnerabili e applicazioni Office vulnerabili.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
L'aumento degli attacchi che sfruttano le vulnerabilità è stato costante e non sembra destinato a rallentare nel breve termine.
Il rapporto di Kaspersky evidenzia che gli autori delle minacce e gli APT cercano spesso di sfruttare i servizi di accesso remoto, le funzionalità di controllo remoto e le applicazioni di Office Microsoft . Questa tendenza ribadisce quanto sia fondamentale avere una buona comprensione del proprio ambiente e della propria infrastruttura per poter gestire in modo efficiente un programma di gestione delle vulnerabilità.
2. HijackLoader si evolve con nuove tecniche di elusione
Secondo Zscaler, il malware modulare di tipo “ ”, noto come HijackLoader , è in continua evoluzione sin dalla sua comparsa nel 2023.
L'ultima versione del malware include moduli aggiuntivi che introducono un'esclusione per l'antivirus di Windows Defender, aggirano l'UAC, eludono l'hooking delle API in linea e utilizzano la tecnica del process hollowing.
Il malware viene ora diffuso tramite un file immagine PNG che, una volta decriptato, avvia la fase successiva dell'attacco.
La prima fase di HijackLoader
La prima fase del malware è responsabile della decrittografia e della decompressione dei vari moduli di HijackLoader. Inoltre, decifrerà ed eseguirà la seconda fase.
Nella prima fase, effettuerà la risoluzione dinamica delle API e verificherà la presenza di una connessione a Internet. Una volta confermata la connessione, il codice shell verrà decriptato ed eseguito per svolgere diverse funzioni. Questo shellcode richiamerà ulteriori API e verificherà la presenza di processi inseriti nella lista dei blocchi.
La seconda fase di HijackLoader
Successivamente, il malware caricherà una copia di se stesso in memoria e leggerà il proprio file di configurazione. Questa seconda fase viene caricata in uno dei due modi seguenti: viene scaricato un file PNG che viene utilizzato per caricare la seconda fase, oppure viene incorporato un file PNG che viene utilizzato per caricare la seconda fase.
Il secondo stadio è responsabile dell’iniezione del modulo principale, ma utilizzerà anche moduli aggiuntivi per eludere l’analisi, tra cui modCreateProcess ( modCreateProcess64), modUAC ( modUAC64), modWriteFile ( modWriteFile64) e WDDATA.
Malware diffuso
Zscaler ha analizzato 50 campioni di HijackLoader nell’ambito dell’ marzo 2024; tutti presentavano un file PNG incorporato.
Hanno analizzato tali campioni per ottenere un elenco delle famiglie di malware diffuse da HijackLoader e hanno confermato che sono stati distribuiti i seguenti malware: Amadey, Lumma Stealer, Racoon Stealer v2, Remcos RAT, Meta Stealer e Rhadamanthys.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Sebbene HijackLoader sia in circolazione solo dallo scorso anno, è stato utilizzato per diffondere alcune famose famiglie di malware quali Racoon Stealer, Lumma Stealer, Amadey e Remcos RAT.
La sua ultima evoluzione accresce il livello di minaccia rappresentato da HijackLoader e lo rende probabilmente ancora più allettante per gli autori delle minacce, soprattutto a causa delle tecniche di elusione aggiuntive. L'utilizzo di un file PNG incorporato per la distribuzione è meno comune e ha maggiori probabilità di sfuggire al rilevamento.
3. Cobalt pubblica il suo rapporto “ 2024 State of Pentesting”
Cobalt ha pubblicato il proprio rapporto “ : 2024 State of Pentesting” ( ), che analizza in dettaglio le principali tendenze emerse dal rapporto 2023. Il presente rapporto si basa sui dati raccolti nel corso di oltre 4.000 test di penetrazione, nonché sulle risposte fornite da professionisti della sicurezza nell’ambito di un sondaggio.
Oltre a illustrare alcune osservazioni fondamentali, il rapporto esamina anche l’impatto che la crescente diffusione dell’intelligenza artificiale sta avendo sul panorama del settore.
Applicazioni di intelligenza artificiale: una nuova superficie di attacco
Nel corso del 2023, Cobalt ha effettuato diversi test di penetrazione su sistemi di intelligenza artificiale, registrando un aumento significativo del numero di clienti che richiedevano questo tipo di test.
Per eseguire questi test, si avvalgono della classifica OWASP Top 10 dedicata alle applicazioni LLM, alla ricerca di esposizione di informazioni e di una gestione non sicura dei risultati. Nel corso di uno di questi test, si sono imbattuti in un modello di linguaggio di grandi dimensioni (LLM) che, quando gli veniva richiesto, era in grado di fornire accesso a informazioni sensibili a cui non avrebbe dovuto avere accesso.
Hanno inoltre individuato diversi chatbot che avrebbero dovuto impedire gli abusi grazie a vari controlli di sicurezza, ma sono riusciti ad aggirare facilmente tali controlli.
Cobalt ha individuato tre tipi di vulnerabilità che si sono verificati con maggiore frequenza, tra cui l’iniezione di prompt “ ”, il denial of service di tipo “model” e la fuga di prompt.
Aumento delle vulnerabilità
La maggior parte dei rapporti sulle tendenze 2023 ha segnalato un aumento delle vulnerabilità. Anche Cobalt ha registrato un aumento del 21% nel numero di risultati rilevati per ogni attività di pentest, su base annua.
Cobalt ha individuato oltre 39.000 vulnerabilità nel corso di 4.068 test di penetrazione; la tipologia di vulnerabilità più frequente è stata quella relativa a configurazioni errate della sicurezza dei server.
Tempo medio di riparazione (MTTR)
Cobalt ha rilevato un aumento dell’MTTR rispetto agli anni precedenti, con un MTTR medio dell’ superiore a 20 giorni. La maggior parte di essi è stata classificata come di media gravità, mentre una piccola percentuale ha raggiunto un livello critico.
Risultati del sondaggio
Cobalt ha condotto un sondaggio su circa 1.000 professionisti della sicurezza per comprendere perché i risultati dei test di penetrazione non sempre vengano risolti o perché occorra del tempo prima che vengano risolti. Da quanto emerso dalle risposte al sondaggio, unitamente alle loro ricerche, è emerso che gran parte di questa situazione era riconducibile a squadre di sicurezza a corto di personale e sovraccariche di lavoro.
Il 81% degli intervistati nel sondaggio ha riscontrato “notevoli difficoltà nella gestione del carico di lavoro” a causa dei licenziamenti, dei cambiamenti di gestione e delle dimissioni, mentre il 44% ha dichiarato di soffrire attualmente di burnout.
2024 dati
Finora, nel 2024, il 62% delle organizzazioni ricorre ai test di penetrazione per individuare vulnerabilità specifiche e il 58% effettua tali test proprio per migliorare la sicurezza nel cloud.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Cobalt ha fornito alcune statistiche interessanti sul ruolo che l’intelligenza artificiale sta assumendo nel panorama delle minacce. Ad esempio, dalla loro indagine è emerso che il 75% dei team di sicurezza ha già adottato nuovi strumenti basati sull’intelligenza artificiale. È interessante notare che Cobalt è riuscita a classificare le vulnerabilità più comuni presenti in questi strumenti di intelligenza artificiale in tre categorie: iniezione di prompt, denial of service del modello e fuga di prompt. Ciò fornisce alle organizzazioni alcune indicazioni su quali aspetti prendere in considerazione nella valutazione di potenziali strumenti di intelligenza artificiale.
Cobalt ha inoltre rilevato che oltre la metà degli intervistati riteneva che il proprio team di sicurezza non fosse in grado di stare al passo con tali strumenti e non fosse attrezzato per testarne la sicurezza. Si tratta di una sfida che assumerà sempre maggiore rilevanza man mano che l’intelligenza artificiale continuerà a evolversi, e alla quale le organizzazioni dovrebbero iniziare a cercare una soluzione.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti raccolte di informazioni sulle minacce informatiche .
