Approfondimenti sulle moderne campagne di phishing del 2019

Il mondo della cibersicurezza è dominato dalle notizie relative a malware, ransomware, violazioni di dati, vulnerabilità delle applicazioni, minacce portate sull’Internet delle cose e attacchi botnet. Ma il phishing è stato una seria minaccia sin dai primi anni 2000 ed è ampiamente considerato il vettore di attacco più utilizzato dai cibercriminali.

Attualmente, non si tratta di una questione di volumi, ma questo tipo di minacce di posta elettronica si è specializzato con successo nell’indurre fraudolentemente dei bersagli di elevato valore a compiere determinate azioni: fare clic su un collegamento dannoso, aprire un file contenente del malware, fornire una password o autorizzare transazioni finanziarie.

Nell’attuale corsa ai ciberarmamenti gli autori delle minacce stanno cercando costantemente di aggirare i sistemi di sicurezza. Per quanto riguarda la posta elettronica come vettore delle minacce, il phishing si è evoluto in attacchi di tipo spear-phishing, impersonazione e compromissione delle email aziendali (BEC). Si tratta di messaggi con obiettivi altamente specifici e notevole impegno sul versante dell’ingegneria sociale per scegliere e studiare accuratamente le vittime.

Volume globale di phishing in calo, con attacchi più mirati

I nostri ricercatori di Capture Labs che si occupano delle minacce hanno registrato 26 milioni di attacchi di phishing su scala mondiale, con un calo del 4,1% rispetto al 2017, secondo i dati pubblicati nel Rapporto SonicWall 2019 sulle ciberminacce. Durante tale periodo, il cliente medio SonicWall si è trovato a dover affrontare 5.488 attacchi di phishing.

Volume globale di attacchi di phishing nel 2018

Dato che le imprese stanno diventando sempre più capaci di bloccare gli attacchi via email, mettendo i dipendenti in grado di individuare e cancellare i messaggi sospetti, i cibercriminali stanno cambiando tattica. I nuovi dati indicano che stanno riducendo il volume complessivo di attacchi e lanciando attacchi di phishing molto più mirati (es., attacchi Black Friday e Cyber Monday).

Vediamo quali sono le cinque tattiche più comuni utilizzate dai phisher per sottrarre credenziali, installare malware, infiltrare le reti e danneggiare i marchi.

  1. URL dannosi e siti web falsi o spoofing dei siti web
    Per via dei miglioramenti delle soluzioni di sicurezza della posta elettronica che riducono il phishing, i cibercriminali stanno cercando metodi innovativi per eseguire attacchi mirati, come utilizzare URL come arma nei messaggi di posta elettronica per installare contenuti dannosi o creare siti web di phishing con false pagine di login per acquisire credenziali di accesso degli utenti. Alla fine del 2017 è stato riferito che ogni mese sono stati creati 1,5 milioni di siti di phishing. Rilevare i siti di phishing è diventato sempre più difficile poiché i phisher dissimulano gli URL di phishing con tutta una serie di reindirizzamenti e di URL abbreviati.Inoltre circa la metà dei siti di phishing utilizza certificati HTTPS e SSL, che facilitano ai cibercriminali il compito d’ingannare le loro vittime.
    Fonte: “PhishPoint: New SharePoint Phishing Attack Affects an Estimated 10% of Office 365 Users,” Avanan, August 2018.

    Secondo il rapporto di Security Intelligence di Microsoft “per gli attacchi vengono usati con sempre maggiore frequenza i siti di condivisione dei documenti e di collaborazione più noti per distribuire contenuti dannosi e falsi moduli d’accesso allo scopo di sottrarre le credenziali degli utenti”.

  2. Gli attacchi di phishing prendono di mira applicazioni ed utenti di Office 365
    Saas e servizi webmail stanno diventando il bersaglio sempre più ambìto delle campagne di phishing. Stando a quanto riferisce l’Anti-Phishing Working Group (APWG), gli attacchi di phishing ai danni di SaaS e servizi webmail sono raddoppiati nel quarto trimestre del 2018. Non sorprende che di pari passo con la crescente diffusione di Office 365 come piattaforma di posta elettronica per cloud  presso le aziende di ogni dimensione e quelle verticali Microsoft sia il marchio più impersonato.“Man mano che aumenta la quota di Microsoft nel mercato dei gateway di posta elettronica sicura (SEG), gli autori degli attacchi intelligenti prendono di mira in modo specifico le difese Microsoft” sostiene Gartner.La cosa non è assurda perché chiunque possieda una carta di credito può sottoscrivere un abbonamento ad Office 365, il che ne rende le caratteristiche di sicurezza decisamente accessibili ai cibercriminali, e, in linea teorica, consente ai gruppi criminali di mettere a punto campagne di phishing in grado di aggirare le difese Microsoft native. In effetti, in un altro studio i ricercatori hanno riscontrato che il 25% delle email di phishing aggirano la sicurezza di Office 365.
  3. Compromissione delle credenzialiA gennaio del 2019 i ricercatori di Troy Hunt hanno scoperto “Collection 1”, un lotto di 773 milioni di indirizzi di posta elettronica e 21 milioni di password in vendita su Hacker Forum. Queste combinazioni di ID e password compromesse vengono utilizzate per condurre attacchi dall’interno. Un attacco tipico comprende la sottrazione di account, che consiste nella compromissione delle credenziali aziendali di un dipendente da parte degli autori dell’attacco lanciando una campagna di phishing delle credenziali contro un’azienda o acquistando le credenziali stesse sul Darkweb a seguito di sottrazioni di dati ad opera di terzi. Gli autori dell’attacco possono utilizzare le credenziali sottratte per ottenere nuovi accessi o ulteriori privilegi. Le credenziali compromesse possono non venire scoperte per mesi e persino anni.
  4. Impersonazione, frodi a carico dei CEO e compromissione della posta elettronica aziendale (BEC)
    Secondo l’FBI la compromissione della posta elettronica aziendale (BEC) è uno scam ai danni di aziende che utilizzano fornitori esteri e/o effettuano regolarmente bonifici internazionali. Questi scam sofisticati vengono perpetrati dai criminali compromettendo gli account di posta elettronica con tecniche d’ingegneria sociale o d’intrusione informatica per effettuare bonifici non autorizzati. Si tratta di attacchi difficili da bloccare perché non contengono collegamenti o allegati dannosi ma un messaggio alla vittima che sembra provenire da un mittente affidabile che chiede di effettuare un bonifico.L’FBI Internet Complaint Center (IC3) ha reso noto l’estate scorsa che da ottobre 2013 a maggio 2018 il totale mondiale delle perdite dovute a scam BEC di cui si è venuti a conoscenza ha raggiunto i 12,5 miliardi di dollari.
  5. Allegati dannosi costituiti da file PDF e documenti Office
    Gli allegati ai messaggi di posta elettronica sono un sistema molto diffuso per l’installazione di contenuti dannosi come ransomware e malware fino a quel momento sconosciuti. I ricercatori di SonicWall Capture Labs hanno recentemente osservato un aumento sostanziale dei file PDF dannosi o fraudolenti. Questa campagna fraudolenta sfrutta la fiducia dei destinatari nei confronti dei file PDF, considerati documenti in formato sicuro ampiamente utilizzati e ritenuti affidabili nelle operazioni commerciali. Consiglio di leggere “New PDF Fraud Campaign Spotlights Shifting Cybercriminal Phishing Tactics”, scritto da Dmitriy Ayrapetov, Executive Director of Product Management, per conoscere ulteriori aspetti di questi tipi di campagne di phishing ed imparare a bloccarli.

Porte non standard sotto attacco

Nei film di supereroi a un certo punto si vedono dei personaggi che parlano di proteggere la loro identità con l’anonimato. Ad eccezione di Iron Man, nascondere la propria identità conferisce ai supereroi una sorta di protezione. La sicurezza delle reti è qualcosa di simile.

“La sicurezza nell’oscurità” è un’affermazione che viene apprezzata ma anche criticata. Se si guida un’auto su strade secondarie anziché in autostrada per evitare incidenti, ci si può sentire sicuri? Si arriva a destinazione in tempo? È possibile, ma ciò non significa poter sempre evitare i problemi.

Differenza tra porte standard e non

Le porte dei firewall vengono assegnate dalla Internet Assigned Numbers Authority (IANA) per fini o servizi specifici.

A fronte delle oltre 40.000 porte registrate, solo poche vengono comunemente utilizzate. Si tratta delle cosiddette porte “standard”. Ad esempio, HTTP (pagine) utilizza 80 porte, HTTPS (siti web che utilizzano codifiche) utilizza la porta 443 ed SMTP (email) la porta 25.

I firewall configurati per dialogare con queste porte sono disponibili per la ricezione del traffico. I cibercriminali lo sanno, per cui molti attacchi prendono di mira le porte comunemente utilizzate. Ovviamente, le aziende normalmente rafforzano queste porte contro le minacce.

In risposta alla moltitudine di attacchi che prendono come bersaglio le porte standard alcune organizzazioni hanno deciso di utilizzare porte “non standard” per i loro servizi. Le porte non standard vengono utilizzate per scopi diversi da quelli prestabiliti. Un esempio è l’uso della porta 8080 al posto della porta 80 per il traffico web.

Si tratta della cosiddetta strategia di “sicurezza nell’oscurità”. Anche se per qualche tempo i cibercriminali restano disorientati, non si tratta di una soluzione a lungo termine. Inoltre essa può rendere più difficile per gli utenti collegarsi ai server web dal momento che i browser sono preconfigurati per utilizzare la porta 80.

Attacchi contro porte non standard

I dati del Rapporto SonicWall 2019 sulle ciberminacce indicano che il numero di attacchi rivolto contro le porte non standard è aumentato. Nel 2017 SonicWall ha riscontrato che più del 17,7% degli attacchi malware è passato attraverso porte non standard.

A fronte del dato del 2018, 19,2%, si è avuto un aumento dell’8,7%. Nel solo mese di dicembre del 2018 la percentuale è salita addirittura al 23%.

Che cosa fare per proteggere le porte non standard?

La miglior difesa contro i ciberattacchi sferrati contro i servizi attraverso porte standard e non, consiste nell’adottare una strategia di difesa multilivello.

La ”sicurezza nell’oscurità” è solo uno di essi. Fare eccessivo affidamento su di essa non garantisce comunque il necessario livello di sicurezza. Può essere d’aiuto contro la scansione delle porte, ma non ferma i ciberattacchi più mirati.

Per questo occorre adottare azioni più incisive, come il cambio frequente delle password, l’uso dell’autenticazione a due fattori e l’installazione di patch e aggiornamenti. E si può anche decidere di utilizzare un firewall in grado di analizzare determinati aspetti anziché tutto il traffico (ad esempio un approccio basato su proxy).

 

L’apocalisse del cryptojacking: La disfatta dei Quattro Cavalieri del cryptomining

Nonostante le fluttuazioni dei prezzi del bitcoin e delle altre criptovalute, il cryptojacking continua ad essere una grave minaccia – spesso sottovalutata – per le grandi aziende, le PMI ed il consumatore in genere.

Il tipo più subdolo di queste minacce è costituito dal cryptomining tramite browser, nel quale le forme più diffuse di malware cercano di trasformare i dispositivi in mining bot di criptovalute a tempo pieno denominato cryptojacker.

Per cercare di farvi capire in che cosa consiste questa minaccia, vi presento una sintesi dei miei classici insegnamenti sull’argomento, prendendomi la libertà di enfatizzare la situazione. Se ritenete che l’avanzata del cryptojacking sia stata un’apocalisse come credono alcuni di coloro che ne sono rimasti vittima, i Quattro Cavalieri costituiscono altrettante minacce per i vostri endpoint e le vostre aziende:

  • Cavallo bianco: L’energia consumata e sprecata
  • Cavallo rosso: La perdita di produttività dovuta alle risorse limitate
  • Cavallo nero: I danni che possono provocare al sistema
  • Cavallo verdastro: Implicazioni di sicurezza dovute alle vulnerabilità introdotte

Diversamente dal ransomware, che è pensato per essere visibile (per richiedere il pagamento), il lavoro del cryptojacker si svolge in modo invisibile dietro le quinte (anche se il diagramma delle prestazioni della CPU o la ventola del dispositivo possono indicare un’attività anomala).

Negli ultimi due anni gli autori di ransomware hanno cambiato marcia, nel senso di un maggiore ricorso al cryptojacking, poiché l’efficacia turbativa del ransomware e il ritorno sull’investimento diminuiscono man mano che lo stesso finisce sui canali di scansione pubblici come VirusTotal.

Come tutti coloro che gestiscono un’attività decisamente redditizia, i cibercriminali devono trovare sempre nuovi metodi per realizzare i loro obiettivi finanziari. Il cryptojacking viene utilizzato esattamente per tale scopo.

Ad aprile del 2018 SonicWall ha iniziato a tenere sotto controllo le tendenze del cryptojacking, soprattutto l’uso di Coinhive nel malware. Nel corso dell’anno abbiamo visto che il cryptojacking ha avuto alti e bassi. Durante tale periodo SonicWall ha registrato circa 60 milioni di attacchi di cryptojacking, di cui 13,1 milioni nel solo mese di settembre 2018. Come è stato pubblicato nel Rapporto SonicWall 2019 sulle ciberminacce, il volume degli attacchi è calato nell’ultimo trimestre del 2018.

Attacchi di cryptojacking a livello globale da aprile a settembre del 2018

L’attrattiva del cryptomining

Le operazioni di cryptomining sono diventate sempre più diffuse, tanto da rappresentare circa la metà dei consumi mondiali di energia elettrica. Nonostante le notevoli oscillazioni di prezzo, circa il 60% del costo delle attività legittime di mining dei bitcoin è costituito dalla bolletta energetica. In effetti, al momento della redazione di queste, il prezzo di un bitcoin è inferiore al costo delle sue legittime attività di mining.

Con simili costi e rischi zero rispetto a dover acquistare e mantenere le apparecchiature, i cibercriminali sono fortemente incentivati a generare criptovalute utilizzando risorse altrui. Infettare 10 macchine con un cryptominer può produrre guadagni netti fino a 100 dollari al giorno, per cui la sfida per i cryptojacker è triplice:

  1. Individuare gli obiettivi, vale a dire organizzazioni che dispongono di numerosi dispositivi sulla stessa rete, soprattutto scuole e università.
  2. Infettare il maggior numero di macchine possibile.
  3. Restare nascosti più a lungo possibile (diversamente dal ransomware, con modalità più simili al malware tradizionale).

I cryptojacker utilizzano tecniche simili a quelle del malware per intrufolarsi negli endpoint: download drive-by, campagne di phishing, sfruttamento delle vulnerabilità dei browser e plugin dei browser, per citarne solo qualcuno. E, ovviamente, fanno affidamento sull’anello debole della catena, le persone, sfruttando tecniche di social engineering.

Come si fa a sapere se si è vittime dei cryptominer?

I cryptominer sono interessati a sfruttare la potenza di elaborazione delle loro vittime ed i cryptojacker devono trovare il giusto equilibrio tra anonimato e profitti. Di quante risorse della vostra CPU si impossesseranno dipende dai loro obiettivi.

Se sottraggono meno potenza diventa più difficile per gli utenti ignari accorgersi di loro. Rubarne di più fa crescere i prodotti. In entrambi i casi le prestazioni ne risentono, ma se la soglia è abbastanza bassa potrebbe essere difficile distinguere tra un miner e un software legittimo.

Gli amministratori aziendali possono tenere conto dei processi sconosciuti nei loro ambienti, mentre gli utenti finali in Windows dovrebbero far girare un Sysinternals Process Explorer per vedere che cosa c’è in esecuzione. Per la stessa ragione gli utenti Linux e macOS dovrebbero tenere sotto controllo rispettivamente l’uso del System Monitor e dell’Activity Monitor.

Come difendersi dai cryptominer

Il primo passo per difendersi dai cryptominer consiste nel bloccare questo tipo di malware sul gateway, tramite firewall o email security (sicurezza perimetrale), che è uno dei metodi più efficaci per sventare le minacce note basate su file.

Poiché si tende a riutilizzare vecchio codice, un altro primo semplice passo consisteva anche nello stanare cryptojacker come Coinhive. Ma a febbraio del 2019, Coinhive ha reso noto pubblicamente che avrebbe cessato l’attività l’8 marzo. I responsabili hanno dichiarato che “non era più conveniente economicamente” continuare il servizio e che l’attività aveva fortemente risentito del crollo delle criptovalute.

Nonostante ciò, SonicWall prevede che vi saranno sempre nuove varianti e nuove tecniche di cryptojacking per colmare il vuoto. Il cryptojacking potrebbe ancora diventare uno dei metodi preferiti per i cibercriminali per il fatto di essere nascosto; i danni limitati e indiretti per le vittime ne diminuiscono la possibilità di essere scoperto e prolungano il tempo durante il quale gli attacchi andati a buon fine producono benefìci.

Se il ceppo del malware è sconosciuto (nuovo o aggiornato), è in grado di superare i filtri statici del perimetro di sicurezza. Se un file è sconosciuto, viene reindirizzato ad una sandbox per la verifica della sua natura.

L’ambiente sandbox Capture Advanced Threat Protection (ATP) multi-engine di SonicWall è stato progettato espressamente per identificare e bloccare malware evasivo in grado di ingannare un engine ma non gli altri.

Se un endpoint non si trova dietro a questa configurazione tipica (ad esempio, se sta effettuando il roaming all’aeroporto o in albergo), si deve installare un prodotto di sicurezza endpoint che comprende la funzione di rilevamento comportamentale.

I cryptominer possono agire nei browser o essere consegnati tramite attacchi senza file, per cui le soluzioni tradizionali preinstallate sui computer non sono in gradi di vederli.

Gli antivirus di tipo comportamentale come SonicWall Capture Client sono in grado di rilevare se il sistema intende effettuare il mining delle valute e quindi interrompere il funzionamento. Gli amministratori possono facilmente mettere in quarantena e cancellare il malware o, se si tratta di qualcosa in grado di danneggiare i file di sistema, riportare quest’ultimo all’ultima configurazione funzionante prima che venisse eseguito il malware.

Abbinando tutta una serie di difese perimetrali all’analisi comportamentale le organizzazioni possono contrastare le nuove forme di malware, indipendentemente da quelle che sono le loro tendenze o finalità.