Se c’è un argomento che ha tenuto occupati sia i CISO che i CIO negli ultimi tre anni, caratterizzati dal Covid e dagli ambienti di lavoro aziendali ibridi del periodo post-Covid, è proprio il ransomware.
Una forza lavoro tecnologica distribuita — che utilizza servizi software distribuiti — si è rivelata incapace di tenere testa ai bot di ransomware altamente automatizzati e al malware che sferra attacchi di crittografia. Ma quest’anno, proprio come alla fine di “La guerra dei mondi”, i bot attaccanti potrebbero improvvisamente tacere.
Il ransomware è ormai superato? E se questo aspetto venisse messo da parte, quale sarà la principale preoccupazione dei dirigenti in materia di sicurezza informatica per il 2023?
Ci dispiace, il ransomware è tornato con una variante cibernetica
Abbiamo effettivamente assistito alla scomparsa di un tipo di profilo di ransomware, man mano che le catene di attacchi crittografici provenienti dal dark web e i riscatti in criptovaluta hanno iniziato a diventare elementi ben noti all’ Community di sicurezza. Inoltre, molte delle piattaforme di scambio di criptovalute che un tempo avrebbero riciclato Monero e BTC ottenuti tramite riscatto convertendoli in valuta tradizionale stanno fallendo o vengono sequestrate dalle autorità.
Ciononostante, il ransomware sta prendendo piede solo ora. Il gruppo NCC ha segnalato un aumento del 41% degli attacchi ransomware (si apre in una nuova scheda) nel solo mese di novembre 2022, poiché l’avvicinarsi delle festività ha lasciato molte aziende a corto di personale per farvi fronte.
Questo aggressore sta inoltre riapparendo in una nuova forma cibernetica, per metà umana e per metà a base di silicio. Persino degli script kiddie inesperti possono utilizzare ChatGPT (si apre in una nuova scheda) o altre routine di chatbot basate sull’intelligenza artificiale per scrivere ed eseguire codice di attacco sofisticato.
Ciò che rende particolarmente insidioso questo approccio è la capacità dei chatbot odierni di interagire come intelligenza artificiale conversazionale e la loro disponibilità a prestare aiuto, fungendo da complici delle loro controparti umane. ChatGPT è in grado di adattare soluzioni automatizzate (si apre in una nuova scheda) attingendo da un vasto repertorio di codice esistente e script di shell.
I chatbot basati sull’intelligenza artificiale sono inoltre in grado di redigere un dialogo commerciale credibile, basandosi su precedenti conversazioni del servizio clienti, tale da ingannare i dipendenti e ottenere, attraverso tecniche di ingegneria sociale, l’accesso a privilegi relativi ad account o alla rete per distribuire malware — che potrebbero aver contribuito a sviluppare.
La maggior parte di questi attacchi non ricorre nemmeno più al vecchio metodo di crittografare i dati e chiedere un riscatto per sbloccarli, per cui nessuno dovrebbe credere che un hacker mantenga le promesse di eliminare la minaccia. I criminali informatici stanno apertamente estorcendo un secondo o un terzo pagamento per evitare la futura distruzione dei dati o delle infrastrutture.
La catena di approvvigionamento del software avrà i propri responsabili
Le catene di fornitura del software (si apre in una nuova scheda) comprendono sia processi di distribuzione del software gestiti da persone che automatizzati. Ogni riga di codice e ogni componente che viene creato o copiato, nonché ogni strumento che configura e impacchetta una build software in vista della sua immissione in produzione, costituisce un potenziale vettore di attacco alla catena di fornitura.
L’exploit “ Log4j ” (si apre in una nuova scheda) su dicembre 2021 ha trasformato la finestra di scripting della shell di un’utilità di registrazione Java molto diffusa in una vulnerabilità su larga scala riscontrata all’interno di migliaia di sistemi aziendali e governativi sensibili.
Gli sviluppatori cercano sempre di massimizzare la produttività, pertanto è del tutto naturale che copino frammenti di codice da Stack Overflow e includano i pacchetti di componenti software NPM più diffusi nelle loro strutture di compilazione, prima di condividerli su GitHub o su altri repository. È molto più semplice utilizzare ciò che funziona per gli altri, piuttosto che scrivere da zero il proprio codice di configurazione.
In quest’epoca caratterizzata da forti tensioni politiche, gli autori di attacchi a livello di Stato nazionale sono ben consapevoli del potere delle vulnerabilità zero-day presenti nei software e nei firmware di uso comune. Questi malintenzionati si dimostrano particolarmente subdoli quando sfruttano le catene di approvvigionamento del software, poiché i loro obiettivi non consistono in semplici e palesi tentativi di arricchimento.
Inserendo malware o chiamate dannose, gli autori degli attacchi possono talvolta rimanere in agguato senza essere individuati per anni, raccogliendo informazioni sensibili o attendendo l’occasione giusta per sferrare un attacco distruttivo. I vertici aziendali ne hanno preso atto: oltre il 82% dei CIO aziendali (si apre in una nuova scheda) ha dichiarato di ritenere che le proprie catene di approvvigionamento del software siano vulnerabili, nonostante stiano aumentando il ricorso a pacchetti software di terze parti.
È proprio per questo motivo che quest’anno vedremo l’ Community e della sicurezza mobilitarsi a difesa delle catene di approvvigionamento del software e, probabilmente, assisteremo persino al coinvolgimento delle nazioni, che nomineranno i propri “zar” delle catene di approvvigionamento tecnologiche e creeranno reti di condivisione delle informazioni in stile Interpol, coinvolgendo anche le principali imprese in questo sforzo volto a segnalare e contrastare questa minaccia emergente.
L'uso delle tecnologie open source a fini bellici
In quanto substrato fondamentale delle catene di approvvigionamento del software, il software open source (o OSS) è diventato forse il più grande generatore di valore di tutti i tempi. Considerando i 22 miliardi di dollari di software che, secondo la fondazione Apache , essa stessa dichiara di pubblicare, la sua valutazione di mercato supererebbe ormai facilmente i mille miliardi di dollari, se si valutasse l’open source alla stregua di qualsiasi altra impresa.
Persino i fornitori di software un tempo proprietario stanno entrando nel mondo dell’OSS, poiché i loro migliori ingegneri desiderano partecipare a progetti open source; inoltre, le aziende che dimostrano leadership nell’ Community e di sviluppo globale sono in grado di servire meglio i clienti finali con servizi differenziati basati sull’OSS, ampliando così i propri mercati di riferimento.
Purtroppo, gli autori degli attacchi hanno notato questa tendenza di grande diffusione e hanno iniziato a setacciare i repository di codice open source facilmente accessibili per inserirvi punti d’appoggio per il malware. Anche il team di sviluppo Community ha raccolto questa sfida, mettendo a disposizione esperti di ricerca delle vulnerabilità “white hat” per anticipare gli exploit zero-day prima che possano essere sfruttati a fini malevoli.
Con un numero così elevato di pacchetti open source scaricati dai team distribuiti dai repository (secondo alcune stime, si registra un ritmo di oltre un miliardo di download Git a settimana), le aziende dovranno assumersi la responsabilità delle proprie catene di fornitura del software attraverso un ciclo continuo di audit e revisione SBOM (software bill of materials) (si apre in una nuova scheda) che offra una rendicontazione completa, basata sul rischio, di ogni elemento e versione open source in uso.
Il punto di vista di Intellyx
La superficie di attacco umana rappresenterà sempre un rischio per la sicurezza maggiore rispetto all’automazione innovativa. Si tratta di una megatendenza nel mondo del cyber che non scomparirà mai.
La maggior parte dei malware e dei furti di credenziali continua a verificarsi per mano di dipendenti in buona fede, attraverso e-mail di phishing , e attacchi di ingegneria sociale particolarmente convincenti, oppure tramite sviluppatori che scaricano pacchetti apparentemente utili consigliati dai propri colleghi.
Semmai, siamo tornati al punto di partenza, in una nuova realtà in cui gli esseri umani e i sistemi automatizzati intelligenti lavorano fianco a fianco sia per attaccare che per difendere le nostre applicazioni e i nostri dati critici.
Rimanga aggiornato sulle ultime informazioni relative alle minacce informatiche fornite da nel nostro blog con la rassegna settimanale, disponibile qui. (si apre in una nuova scheda)
©2023 Intellyx LLC. Intellyx è responsabile dal punto di vista editoriale di questo contenuto. Al momento della stesura del presente documento, Tanium è un cliente di Intellyx.
