Nella rassegna settimanale dedicata alla Cyber Threat Intelligence, un aggiornamento sui nuovi modelli di machine learning (ML) di (si apre in una nuova scheda) e sul motivo per cui la comunità della sicurezza informatica Community è divisa sul fatto che essi contribuiscano o meno agli sforzi in materia di sicurezza informatica. Successivamente, il team CTI esamina la comparsa di una nuova piattaforma di " proxy " denominata Black Proxies, attualmente promossa presso gli autori delle minacce come soluzione volta ad aiutarli a nascondere o a mascherare i propri indirizzi IP di origine. Infine, concludiamo con una panoramica dei piani del Cyber Safety Review Board (CSRB), di recente istituzione, che intende dedicare la seconda revisione in assoluto del comitato all’analisi delle tattiche, delle tecniche e delle procedure (TTP) impiegate dal famigerato gruppo Lapsus$ – uno degli attori di minaccia più prolifici e di alto profilo dell’anno – nel tentativo di aiutare le organizzazioni a proteggersi da attività dannose simili.
1. I modelli di apprendimento automatico: un nuovo e pericoloso vettore di attacco o una tecnologia fondamentale per la sicurezza informatica?
I ricercatori nel campo della sicurezza sono divisi riguardo alla comparsa di nuovi e potenti modelli di apprendimento automatico (ML), che costituiscono i sistemi decisionali alla base della maggior parte delle attuali soluzioni di intelligenza artificiale (IA).
Una fazione di ricercatori nel campo della sicurezza sta promuovendo il ML come il salvatore della sicurezza informatica, mentre l’altra è preoccupata per la sua capacità di generare esche di phishing convincenti, facilitare la diffusione di malware e aiutare gli autori delle minacce a muoversi lateralmente all’interno delle reti aziendali.
Tutti gli occhi sono puntati su ChatGPT
Considerati una componente fondamentale del più ampio movimento del deep learning (si apre in una nuova scheda), i modelli di ML sono spesso disponibili al pubblico e, secondo l’ultima indagine globale di McKinsey , nel 2021 un numero sorprendente di aziende stava ampliando l’uso dell’IA basata sull’apprendimento automatico. (si apre in una nuova scheda)
OpenAI, un’azienda specializzata in intelligenza artificiale con sede a San Francisco e fondata da Elon Musk, è considerata da molti il leader attuale in questo settore. L’azienda è responsabile del rivoluzionario strumento di intelligenza artificiale DALL-E 2 (si apre in una nuova scheda), un generatore di immagini all’avanguardia lanciato quest’anno. Tuttavia, lo strumento di OpenAI che sta attualmente facendo notizia è ChatGPT, un prototipo di chatbot basato sulla tecnologia linguistica di OpenAI GPT-3,5 , descritto come «un grande modello di intelligenza artificiale realizzato da OpenAI che è stato addestrato (si apre in una nuova scheda) su un’enorme quantità di dati testuali provenienti da una varietà di fonti» in un post sul blog (si apre in una nuova scheda) sull’argomento pubblicato da Forbes.
Alcuni altri dati salienti su ChatGPT:
- ChatGPT è un software di chatbot basato sull'intelligenza artificiale, programmato per simulare le interazioni umane.
- ChatGPT è ancora in fase di revisione scientifica ed è stato reso disponibile al pubblico su 30 novembre 2022, tramite il sito web di OpenAI (si apre in una nuova scheda). Gli utenti possono registrarsi e provarlo gratuitamente.
- Il chatbot è caratterizzato da un formato dialogico che consente agli utenti di fornire una gamma incredibilmente ampia di istruzioni, sia semplici che complesse, che ChatGPT è stato addestrato a eseguire e alle quali è in grado di fornire una risposta dettagliata. OpenAI sostiene che il bot sia in grado anche di rispondere a domande di approfondimento, nonché di riconoscere e ammettere i propri errori. Come qualsiasi soluzione di intelligenza artificiale basata sull’apprendimento automatico, o qualsiasi software in generale, ChatGPT presenta dei limiti. Il chatbot fornisce occasionalmente risposte errate, utilizza frasi ripetitive e talvolta ha difficoltà a rispondere a una domanda posta più volte, finché la formulazione della domanda non viene leggermente modificata.
È importante tenere presente che ChatGPT è molto più di un semplice interlocutore virtuale di livello superiore alla media. È inoltre in grado di scrivere codice, individuare errori nel codice e molto altro ancora. ChatGPT tiene inoltre presente il contesto relativo a un determinato argomento, pertanto gli utenti possono fare riferimento a qualcosa che hanno menzionato in precedenza e ChatGPT non avrà alcuna difficoltà a seguire il filo della conversazione.
Sono proprio questi fattori — oltre ad alcuni altri — a destare preoccupazione tra i professionisti della sicurezza informatica.
A proposito di opinioni divergenti
È del tutto possibile che ChatGPT abbia contribuito a dividere le opinioni di coloro che hanno sperimentato le capacità del chatbot più di qualsiasi altro strumento di intelligenza artificiale basato sull’apprendimento automatico.
Kevin Rose del New York Times (si apre in una nuova scheda) ha affermato quanto segue: «ChatGPT è, molto semplicemente, il miglior chatbot basato sull’intelligenza artificiale mai reso disponibile al grande pubblico».
Kevin non è il solo a condividere questa convinzione. Il prodotto di OpenAI ha registrato un’impennata di popolarità nelle ultime settimane. Ad esempio, un articolo molto diffuso (si apre in una nuova scheda) definisce la tecnologia alla base di ChatGPT, ovvero GPT-3, «impressionante in alcuni ambiti, ma ancora chiaramente inferiore a quella umana in altri». L'articolo riporta una frase in cui un ricercatore lamenta la mancanza di umanità dell'intelligenza artificiale, dilungandosi in considerazioni poetiche sulla sua incapacità di amare, di apprezzare l'arte, la bellezza o l'umorismo. Il paragrafo successivo rivela che il testo precedente è stato in realtà generato da ChatGPT: il risultato di una richiesta inviata al chatbot che conteneva alcune parole che esprimevano scetticismo nei confronti dell’intelligenza artificiale. In risposta, ChatGPT ha prodotto un lungo e sconclusionato monologo sull’improbabilità che i computer possano mai diventare veramente intelligenti.
Cosa sostengono i pessimisti
Per ogni utente affascinato da questa tecnologia, ci sono probabilmente cinque ricercatori nel campo della sicurezza che lanciano l’allarme, avvertendo chiunque sia disposto ad ascoltarli della minaccia alla sicurezza informatica rappresentata da strumenti come ChatGPT.
Ad esempio, un articolo di DarkReading intitolato “ ” ( ) (si apre in una nuova scheda) descrive i modelli di apprendimento automatico (ML) come un nuovo vettore di attacco in rapida crescita e pericoloso:
“I ricercatori hanno scoperto che gli autori delle minacce possono dirottare i modelli di apprendimento automatico (ML) su cui si basa l’intelligenza artificiale (IA) per distribuire malware e spostarsi lateralmente all’interno delle reti aziendali.” «Questi modelli, che spesso sono disponibili al pubblico, fungono da nuovo punto di partenza per una serie di attacchi che possono anche compromettere la catena di approvvigionamento di un’organizzazione — e le imprese devono prepararsi».
Un post sul blog “” (si apre in una nuova scheda) pubblicato lo stesso giorno dal team SAI di HiddenLayer sostiene che i suoi ricercatori abbiano sviluppato un attacco “proof-of-concept” (POC) che dimostra come un autore di minacce possa utilizzare modelli di apprendimento automatico (ML) per infiltrarsi nelle reti aziendali.
Secondo quanto riferito, l’attacco si basa su una combinazione di diverse tecniche, tra cui «la steganografia per nascondere payload dannosi e vulnerabilità nella deserializzazione dei dati che possono essere sfruttate per eseguire codice arbitrario».
Il post sottolinea che il modello utilizzato per l’attacco elude gli attuali sistemi di rilevamento antivirus e le soluzioni di protezione di tipo “ EDR ”, aggiungendo: «Attualmente, le soluzioni anti-malware più diffuse offrono un supporto limitato o nullo nella scansione delle minacce basate sull’intelligenza artificiale».
Un’altra preoccupazione importante — e forse la più evidente — per i professionisti della sicurezza è la potenziale capacità dei modelli di apprendimento automatico (ML) di generare campagne di phishing di tipo “ ” estremamente sofisticate e convincenti.
Diversi ricercatori dell’ hanno già testato (si apre in una nuova scheda)la capacità di ChatGPT di generare messaggi di phishing e esche convincenti, ottenendo risultati sorprendentemente positivi.
Alcuni utenti intraprendenti hanno già sviluppato interfacce di facile utilizzo per aiutare gli utenti a sfruttare la capacità di ChatGPT di generare e-mail.
Vi sono inoltre preoccupazioni riguardo al potenziale impatto dei modelli di apprendimento automatico sulle catene di approvvigionamento. Le organizzazioni con risorse IT limitate ricorrono spesso a repository open source per la condivisione dei modelli nell’ambito dell’implementazione dei modelli di apprendimento automatico. Tali archivi sono spesso privi di un’adeguata supervisione e di controlli di sicurezza completi.
Ciò comporta un duplice effetto: da un lato amplia la superficie di attacco e, dall’altro, espone gli utenti a un livello di rischio maggiore derivante dalla loro dipendenza da modelli che potrebbero benissimo essere compromessi o utilizzati a fini malevoli. Lo stesso vale per le aziende che si affidano a terzi per i modelli.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«Sebbene sia innegabile che la probabilità che questi vari POC abbiano successo in contesti reali sia probabilmente bassa, è importante tenere presente che questa tecnologia è ancora relativamente agli albori e che gli autori delle minacce ne stanno certamente seguendo l’evoluzione con attenzione.»
"Detto questo, vi sono motivi per nutrire un cauto ottimismo. Da troppo tempo ormai, le espressioni “ML” e “AI” sono state per lo più solo parole alla moda, utilizzate a sproposito nelle sale riunioni e durante le chiamate su Zoom sia dai fornitori che dai professionisti della sicurezza informatica. Tuttavia, l’apprendimento automatico potrebbe rivelarsi una tecnologia davvero fondamentale per la sicurezza informatica. "Le soluzioni basate sull'intelligenza artificiale (ML) hanno il potenziale di analizzare le tendenze e trarne insegnamenti per prevenire gli attacchi in una fase precoce e reagire più rapidamente agli autori delle minacce che modificano il proprio comportamento."
"Inoltre, ciò può consentire ai team di sicurezza informatica di adottare un approccio più proattivo nei propri piani di risposta globali, contribuendo a mitigare le minacce in corso in tempo reale e consentendo ai SOC di liberare tempo e risorse da dedicare ad altre opportunità e attività."
2. I "Black Proxies" stanno diventando sempre più popolari tra gli hacker
I ricercatori della società di analisi di Internet Domain Tools hanno individuato sul mercato una nuova piattaforma di proxy, denominata “ Black Proxies” (si apre in una nuova scheda). Il servizio viene promosso presso gli autori di minacce informatiche esaltandone l’affidabilità, la portata e il vasto numero di indirizzi IP disponibili. Black Proxies afferma di disporre di oltre 1.000.000 indirizzi IP residenziali e di altro tipo proxy in tutto il mondo, dai quali gli autori delle minacce potrebbero lanciare le proprie operazioni.
Come funzionano le reti “ proxy ”
Un " proxy " consente a un autore di minacce di svolgere attività in modo anonimo, nascondendo o occultando l'indirizzo IP da cui ha origine la sua operazione. Il termine tecnico utilizzato nel settore per indicare questi proxy è “retiproxy ” o, più genericamente, “serviziproxy ”; tali soluzioni consentono alle attività degli autori delle minacce di mimetizzarsi, in sostanza, nel traffico legittimo.
Le reti proxy si sono evolute nel corso degli anni, proprio come il resto del panorama delle minacce. In passato, una vittima veniva indotta con l’inganno a scaricare malware sul proprio computer; il dispositivo veniva quindi utilizzato per infettare altre vittime, e l’indirizzo IP dell’host originale e di tutti i dispositivi compromessi successivamente veniva poi utilizzato dall’autore dell’attacco per proxy ulteriori attività dannose.
Questo metodo è in uso già da parecchio tempo, ma la sua efficacia è limitata al numero di vittime che l’autore della minaccia è in grado di compromettere, nonché alla sua capacità di mantenere la persistenza sul sistema.
L'evoluzione delle tattiche dell' proxy
Nel corso degli anni si è registrata una crescente attenzione verso gli indirizzi IP proxy in quanto vettori di diffusione e tattiche utilizzate dagli aggressori. Gli autori delle minacce si stanno rendendo conto che espandere una rete aggiungendo un solo indirizzo IP alla volta non è più sufficiente. I professionisti della sicurezza bloccano spesso gli indirizzi IP non appena vengono identificati come dannosi, costringendo così gli autori delle minacce a ricorrere a un flusso costante di nuovi indirizzi IP.
Per questo motivo, i servizi dannosi di tipo “ proxy ” si sono evoluti al fine di creare un’infrastruttura IP più estesa. Tra le due nuove tattiche osservate figurano l’ottenimento fraudolento dell’accesso a nuovi intervalli di indirizzi IP e la riassegnazione di interi blocchi di ASN.
- RESNET: RESNET (si apre in una nuova scheda) era un servizio che utilizzava tattiche fraudolente per ottenere l’accesso a blocchi di indirizzi IP da parte di operatori di telefonia mobile negli Stati Uniti. Nel 2019 , RESNET controllava oltre 70.000 indirizzi IP, secondo quanto riportato da Krebs (si apre in una nuova scheda) in materia di sicurezza. L'offerta iniziale di RESNET consisteva nell'accesso agli "sneakerbot", che consentivano agli utenti del servizio di tentare l'acquisto di scarpe da ginnastica molto ricercate. I gestori di RESNET si sono chiaramente resi conto che, al di là degli “sneakerbot”, esisteva un mercato più ampio e redditizio a cui rivolgersi e hanno presto deciso di orientarsi verso l’offerta di servizi di “ proxy ”. Il servizio è stato infine chiuso dalle forze dell'ordine.
- INSORG: INSORG era un altro popolare servizio di proxy che adottava tattiche ancora più aggressive rispetto a RESNET. INSORG ha stilato un elenco degli spazi di indirizzi IP e degli ASN di proprietà delle società sottoposte ad amministrazione controllata. È riuscita a riassegnare in modo fraudolento interi intervalli di indirizzi spacciandosi per curatori fallimentari e presentando la documentazione presso i registri IP. INSORG è stata infine smantellata dalle autorità (si apre in una nuova scheda) alla fine del 2020.
All’inizio di quest’anno, l’FBI ha diffuso un avviso in merito all’aumento del numero di proxy utilizzati dai criminali informatici per facilitare gli attacchi di tipo “credential stuffing”. La nota informativa conteneva raccomandazioni volte a ridurre i rischi organizzativi connessi a tale attività, ma alla fine è servita a mettere in evidenza la crescente minaccia rappresentata dai proxy malevoli.
I "Black Proxies" hanno fatto il loro ingresso nel mercato dei servizi di " proxy " a fini illeciti, intervenendo per soddisfare la crescente domanda di tali servizi. Come indicato in precedenza, Black Proxies vanta oltre 1.000.000 indirizzi IP residenziali e di altro tipo proxy provenienti da tutto il mondo, a disposizione degli autori di minacce in qualsiasi momento. I ricercatori hanno esaminato il servizio e hanno riscontrato che un insieme di indirizzi IP elencati da Black Proxies nell’autunno del 2022 ammontava a poco più di 180.000 indirizzi IP. Sebbene tale cifra sia di gran lunga inferiore alla cifra di 1.000.000 dichiarata dal servizio, è comunque notevolmente superiore allo spazio IP offerto dai servizi più tradizionali.
Il servizio di Black Proxies soddisfa le esigenze dei propri clienti includendo funzionalità che potrebbero risultare di particolare interesse per i criminali informatici.
I ricercatori di Bleeping Computer hanno scoperto il modello di determinazione dei prezzi di Black Proxies. Il costo per l'utilizzo del servizio è di 14 dollari al giorno, 39 dollari alla settimana o 89 dollari al mese. A quanto pare è disponibile anche un’opzione di prova, al prezzo di soli 4,90 dollari. Bleeping Computer ha inoltre accertato che un indirizzo IP presente nell’infrastruttura di Black Proxies era stato precedentemente collegato ad altri servizi sospetti.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«L’utilizzo delle reti e dei servizi “ proxy ” da parte di soggetti malintenzionati coinvolti in attività dannose, pur non essendo affatto un fenomeno nuovo, ha registrato un costante aumento di diffusione nel corso degli anni. "Stiamo ora assistendo alla nascita di vari servizi di tipo ‘ proxy ’ chiaramente concepiti fin dall’inizio con l’intento di aiutare i criminali informatici a facilitare le loro operazioni."
DomainTools lo riassume piuttosto bene:
Le reti criminali di tipo “ proxy ” sono ormai una realtà consolidata nel mondo della criminalità informatica. I malintenzionati ne fanno uso per occultare le proprie attività nascondendosi dietro indirizzi IP dirottati, creando così una parvenza di legittimità per mascherare le proprie operazioni. Queste reti erano state originariamente create nell’ambito della realizzazione di botnet, ma la natura redditizia di tali servizi le ha trasformate in vere e proprie organizzazioni criminali a sé stanti.
3. Il Comitato per la sicurezza informatica del DHS esaminerà le tattiche di hacking del gruppo Lapsus$
Un 2 dicembre 2022, comunicato stampa diffuso dal Dipartimento per la Sicurezza Interna degli (si apre in una nuova scheda) (DHS) ha annunciato che il Cyber Safety Review Board (si apre in una nuova scheda) (CSRB) — istituito ai sensi dell’Ordine Esecutivo (EO) n. 14028 del Presidente Biden sul miglioramento della sicurezza informatica nazionale — esaminerà i recenti attacchi informatici attribuiti al gruppo di hacker globale Lapsus$, specializzato in estorsioni.
Lapsus$ è responsabile della violazione dei sistemi di numerose aziende di grande rilievo avvenuta all’inizio di quest’anno. Numerosi incidenti hanno comportato la fuga di dati riservati, codice sorgente e altre informazioni altamente sensibili, il che ha infine contribuito a diverse violazioni di dati su vasta scala.
Lapsus$: un ripasso
Come riportato da BleepingComputer, il gruppo Lapsus$ è balzato ripetutamente agli onori della cronaca a seguito di una serie di attacchi informatici sorprendentemente efficaci e devastanti ai danni di importanti aziende tecnologiche.
Characterized as one of the most prolific cyber criminals of 2022, (opens in a new tab) Lapsus$ has set itself apart from its financially-motivated/extortion-focused peers by eschewing more traditional TTPs, such as the ransomware model; instead deploying more human-focused methods involving fairly sophisticated social engineering to gain access to target environments.
Le due principali teorie contrastanti riguardo al metodo preferito da Lapsus$ per ottenere l’accesso iniziale sembrano essere le violazioni derivanti dalla compromissione di fornitori di servizi di terze parti (in particolare quelli che forniscono servizi di autenticazione, come Okta ) e il reclutamento e l’ingegneria sociale di personale interno all’interno di aziende di alto profilo.
Lapsus$ rappresenta inoltre una sorta di pecora nera per quanto riguarda l’attenzione, o meglio la mancanza di attenzione, del gruppo alla sicurezza operativa (OPSEC). Non essendo certo uno che rifugge dalla pubblicità, Lapsus$ ha pubblicizzato apertamente le proprie attività tramite un canale pubblico su Telegram.
Il CSRB effettuerà una seconda analisi sulle tattiche di Lapsus$
L’obiettivo dichiarato dell’analisi condotta dal CSRB sulle attività di hacking del gruppo Lapsus$ è quello di fornire alle organizzazioni, sia pubbliche che private, consigli mirati alla difesa contro le tattiche di tale gruppo e contro quelle di qualsiasi altro gruppo che possa essere stato influenzato dal sorprendente livello di successo raggiunto da Lapsus$ utilizzando TTP di base.
"Con la sua analisi sul caso Lapsus$, il Consiglio si baserà sugli insegnamenti tratti dalla sua prima analisi e formulerà raccomandazioni concrete per aiutare il settore privato e quello pubblico a rafforzare la propria resilienza informatica", ha affermato il Segretario del DHS Alejandro N. Mayorkas.
È importante sottolineare che la formulazione dei titoli diffusi da numerosi media di settore è estremamente fuorviante. Diversi siti sostengono che il CSRB condurrà la sua seconda analisi delle tattiche di Lapsus$. Ciò non è vero. Il CSRB sta infatti conducendo solo il suo secondo ciclo di revisione (il primo era incentrato sulle vulnerabilità individuate alla fine del 2021 nella libreria software open source Log4j , ampiamente utilizzata).
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
«È incoraggiante che il CSRB stia conducendo ricerche attive su Lapsus$.» "La potente combinazione di audacia (nella scelta degli obiettivi), sfrontatezza (nel provocare le vittime e nel mantenere in generale un’ persona distaccata online) e ricorso a TTP e metodi di ingegneria sociale che sono praticamente impossibili da prevenire con soluzioni automatizzate costituisce un mix che dovrebbe destare preoccupazione in qualsiasi organizzazione."
"Sebbene diversi membri di Lapsus$ siano stati presumibilmente arrestati dalle forze dell’ordine, le tattiche del gruppo hanno suscitato grande scalpore tra gli attori criminali del panorama delle minacce informatiche. "Gli attacchi ricorrono sempre più spesso all'ingegneria sociale, alle minacce interne, alle tattiche, tecniche e procedure (TTP) di tipo 'living-off-the-land' e così via."
"Il team del CTI attende con interesse le ulteriori conclusioni del CSRB e continuerà a indagare sulle attività di Lapsus$ anche in futuro."
Potete consultare qui altre edizioni della nostra rubrica “ ” dedicata alle informazioni sulle minacce informatiche.
