Nella rassegna di questa settimana, CTI esamina l’ultimo rapporto sul Cyber Threat Index pubblicato da Coalition, fornendo approfondimenti sulla sicurezza in rete, sulle tendenze relative ai rischi informatici e sulle vulnerabilità. Successivamente, il CTI indaga su una campagna di phishing in corso denominata “ ” ( ), che prende di mira vittime residenti in Messico con esche di natura fiscale. Infine, CTI conclude con una panoramica del rapporto annuale di Proofpoint sullo stato delle minacce di phishing per il 2024.
1. I ricercatori prevedono un aumento del 25% delle vulnerabilità CVE
Coalition ha pubblicato il suo ultimo rapporto “ ” (Indice delle minacce informatiche) per il 2024° (si apre in una nuova scheda), fornendo approfondimenti sulla sicurezza di Internet, sulle tendenze dei rischi e sulle vulnerabilità più recenti.
Tra i risultati principali, l’azienda prevede un aumento del 25% delle vulnerabilità e delle esposizioni comuni (CVE) nel 2024. Coalition prevede circa 2.900 vulnerabilità al mese, in aumento rispetto a una media compresa tra 2.321 e 2023.
Informazioni sui dati relativi agli honeypot di Coalition
La Coalizione gestisce diversi honeypot che presentano molteplici vulnerabilità. Utilizzano intenzionalmente software obsoleto, il che consente loro di farsi un’idea di ciò che gli autori delle minacce stanno cercando di ottenere.
Sebbene Coalition abbia rilevato un volume significativo di traffico inoffensivo diretto verso i propri honeypot, ha anche segnalato una quantità non trascurabile di traffico dannoso. Il traffico RDP ha registrato una crescita significativa nel 2023 , con un aumento del 59% degli indirizzi IP univoci impegnati nella scansione dei servizi RDP.
Servizi esposti su Internet
Coalition esamina regolarmente le esposizioni più rischiose presenti sulla rete Internet pubblica. L'azienda ha riscontrato che le porte aperte continuano a rappresentare uno dei rischi principali. Inoltre, la porta 7547 era la più alta rilevata tra le porte 2023.
È stato osservato che alcuni soggetti malintenzionati effettuavano scansioni alla ricerca di determinati servizi web, quali Apache, Nginx e IIS, e che sfruttavano strumenti di gestione remota configurati in modo errato. Com’era prevedibile, gli autori delle minacce hanno cercato anche database esposti.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
I risultati emersi dalla Coalizione confermano ulteriormente la necessità, , di applicare tempestivamente le patch — una necessità che assume ogni anno sempre maggiore importanza.
L'azienda prevede un aumento dei CVE per il 2024. Tuttavia, sebbene sia importante comprendere il rischio rappresentato dalle vulnerabilità, è altrettanto importante rendersi conto che esse non costituiscono l’unica minaccia che le organizzazioni devono affrontare oggi.
2. TimbreStealer si diffonde tramite e-mail di phishing
Una campagna di phishing denominata “ ” (si apre in una nuova scheda) sta prendendo di mira attivamente vittime in Messico con esche di natura finanziaria. La campagna è in corso almeno dal novembre 2023 e mira a diffondere un malware finora sconosciuto denominato TimbreStealer. L'autore dell'attacco ricorre a sofisticate tecniche di offuscamento e utilizza il geofencing per individuare gli utenti di suo interesse.
Informazioni sulla campagna
In questa campagna, le e-mail di phishing indirizzano le vittime verso un sito compromesso che ospita un payload dannoso. Le e-mail mirano a convincere le vittime a eseguire contenuti dannosi.
La campagna è attualmente rivolta esclusivamente agli utenti che si trovano in Messico e si avvale, a tal fine, di tecniche di geofencing. Con questa tecnica, a qualsiasi utente che tenti di accedere al sito dannoso e che non si trovi in Messico verrà visualizzato un documento PDF vuoto anziché il vero documento dannoso.
Che cos’è TimbreStealer?
TimbreStealer è un programma di furto di informazioni di tipo “ ” recentemente identificato che utilizza una serie di tecniche per eludere il rilevamento e mantenere la persistenza. Tra queste tecniche figurano l’aggiramento del monitoraggio convenzionale delle API, lo sfruttamento della tecnica “Heaven’s Gate” e l’utilizzo di caricatori personalizzati. Cisco Talos ritiene che, poiché tali funzionalità sono piuttosto sofisticate, l’autore della minaccia all’origine del malware debba essere esperto.
- Una volta estratto lo strato iniziale, il malware effettuerà una verifica per stabilire se valga la pena prendere di mira il sistema e se sia in esecuzione all’interno di una sandbox.
- Estrarrà quindi numerosi sottomoduli incorporati nel payload. È importante sottolineare che, nel proprio rapporto, Cisco Talos fornisce approfondimenti tecnici molto dettagliati sui diversi livelli del malware.
- L’aspetto interessante di questo malware è che esegue chiamate a una funzione utilizzata per rimuovere i punti di ripristino del sistema presenti sul dispositivo. Secondo Cisco Talos, tale attività è solitamente tipica dei malware di tipo ransomware, ma non è stata ancora rilevata alcuna attività di ransomware sui dispositivi infetti.
I ricercatori hanno individuato diverse stringhe all’interno delle funzioni incaricate di eseguire la scansione di file e directory sul computer della vittima. È emerso inoltre che il malware incorporasse la libreria SQLite , necessaria per i file di archiviazione delle credenziali di diversi browser.
TimbreStealer esegue una scansione delle directory alla ricerca di file, ma lo scopo esatto di tale operazione non è ancora noto. Le cartelle sottoposte a scansione includono elementi relativi ad AdwCleaner, Avast Scanner, la quarantena di 360 Antivirus e altro ancora. Hanno inoltre individuato una serie di stringhe quali “.Spotlight-V100” ” e “.fseventsd” correlate a macOS.
Il malware sfrutta WMI e le chiavi di registro per raccogliere informazioni dal computer della vittima. Le informazioni raccolte comprendono dati relativi al sistema operativo, al BIOS ( SMB ), all’hardware, al dominio di rete e alle applicazioni.
Campagna precedente correlata
Cisco Talos ha osservato che il presunto autore della minaccia sta conducendo nuove campagne almeno dal mese di settembre 2023. In “ settembre 2023”, l’attore stava diffondendo una variante di Mispadu, un trojan bancario. Questa precedente campagna ha utilizzato siti compromessi per distribuire, in ultima analisi, un file .url finalizzato all’esecuzione di un file ospitato esternamente. Il file utilizzava un percorso WebDAV e tutti i server WebDAV erano soggetti a restrizioni geografiche tali da consentire la connessione solo da indirizzi IP situati in Messico.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Sulla base dei risultati emersi da Cisco Talos, questo autore di minacce distribuiva in precedenza il trojan bancario Mispadu, prima di passare a questo nuovo malware denominato TimbreStealer. A parte l’evoluzione del malware, il resto delle TTP è rimasto relativamente simile.
Detto questo, non sarebbe sorprendente se, nel prossimo futuro, questo attore si orientasse ancora una volta verso un altro malware. Sebbene questa campagna sia mirata specificatamente agli utenti residenti in Messico, utilizza un tema di phishing molto diffuso in questo periodo dell’anno: le tasse.
Se non altro, questa attività ci ricorda di prestare attenzione durante il periodo delle dichiarazioni dei redditi e di stare in guardia dalle esche di natura fiscale.
3. Proofpoint pubblica il suo 2024 ° rapporto “State of the Phish”
Proofpoint ha pubblicato il proprio rapporto annuale sulle minacce “: State of the Phish (si apre in una nuova scheda)” per il 2024°. Il rapporto si basa su un’indagine condotta su 7.500 utenti finali e 1.050 professionisti della sicurezza in diversi paesi, integrata dai dati propri di Proofpoint raccolti tramite i propri prodotti, dai risultati delle ricerche condotte dai propri esperti in materia di minacce e da messaggi di phishing simulati.
Il rapporto sottolinea come «le persone siano una componente fondamentale di qualsiasi buona difesa, ma possano anche rappresentare la parte più vulnerabile».
Principali risultati emersi dal rapporto di Proofpoint
Proofpoint ha rilevato e bloccato in media 66 milioni di attacchi di tipo “Business Email Compromise” (BEC) al mese. Il loro rapporto ribadisce inoltre che i casi di ransomware sono in aumento e che Microsoft rimane il marchio più spesso oggetto di furti d’identità.
Un dato statistico interessante diffuso da Proofpoint, tratto da un’indagine condotta tra gli utenti finali, rivela che il “71% degli adulti che lavorano ha ammesso di aver compiuto un’azione rischiosa, come riutilizzare o condividere una password, cliccare su link provenienti da mittenti sconosciuti o fornire le proprie credenziali a una fonte non affidabile. «E il 96% di loro lo ha fatto sapendo di correre un rischio.»
Tendenze in materia di sensibilizzazione alla sicurezza
Sebbene il 99% delle organizzazioni intervistate disponga di un programma di sensibilizzazione alla sicurezza, molte di esse non riescono in realtà a promuovere un cambiamento comportamentale. Uno dei principali fattori alla base di questa situazione è legato agli argomenti trattati nelle sessioni di formazione sulla sensibilizzazione alla sicurezza, poiché spesso non coprono l’intera gamma dei rischi.
Proofpoint sta inoltre rilevando una tendenza al rialzo nella formazione offerta dalle organizzazioni a figure professionali o reparti specifici (fino al 41%, rispetto al 28% dell’anno precedente), il che rappresenta un approccio alla formazione molto più mirato.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Proofpoint ha inserito nel proprio rapporto numerose altre statistiche interessanti, il che lo rende una lettura consigliata. Riassumono le loro conclusioni in un unico punto: «Anche le migliori misure di protezione tecniche possono essere vanificate se gli utenti non adottano le precauzioni di base, quali evitare i link sospetti, verificare l’identità del mittente, impostare una password complessa e non rivelarla a nessuno».
In sintesi, i programmi di formazione e sensibilizzazione sono fondamentali e non possono rimanere immutati. Devono essere aggiornati regolarmente con le minacce più recenti, affinché gli utenti sappiano a cosa prestare attenzione e comprendano i potenziali rischi. Inoltre, una formazione mirata e personalizzata sulla sensibilizzazione alla sicurezza è fondamentale per portare il programma della vostra organizzazione a un livello superiore.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium e avvii una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su .
