Uno dei gruppi di ransomware più prolifici e di “successo” del mondo sta ora eseguendo la scansione di reti per verificare la presenza di software per carte di credito e punti vendita (PoS) in quello che sembra essere un ulteriore metodo per guadagnare denaro dagli attacchi.

Sodinokibi – noto anche come REvil – è emerso nell’aprile 2019 ed è diventato oggi una delle famiglie di ransomware più dannose al mondo.

Già un certo numero di organizzazioni di alto profilo sono state colpite e crittografate nelle campagne di Sodinokibi, con gli aggressori che chiedevano il riscatto di centinaia di migliaia – e talvolta milioni – di euro in cambio della chiave di decrittazione.

In una percentuale significativa di casi, la vittima si sente come se non avesse altra scelta che cedere alla domanda per ripristinare la funzionalità.

Ma ora i ricercatori di Symantec hanno individuato un nuovo elemento nei recenti attacchi: gli aggressori scansionano reti compromesse in cerca di software PoS.

È possibile che gli aggressori stiano cercando di raccogliere queste informazioni come mezzo per guadagnare denaro aggiuntivo dagli attacchi, sia utilizzando direttamente le informazioni di pagamento stesse per razziare i conti correnti, sia vendendole ad altri sui forum del dark web.

Non sarebbe la prima volta che gli hacker dietro Sodinokibi hanno cercato di sfruttare i dati che hanno collezionato durante i loro attacchi; insieme al gruppo ransomware Maze, hanno minacciato di rilasciare informazioni rubate alle vittime se non pagano il riscatto – e ora stanno vendendo all’asta al miglior offerente.

“La scansione dei sistemi delle vittime per il software PoS è interessante, dal momento che questo non è in genere qualcosa che si vede accadere insieme agli attacchi ransomware mirati”, hanno scritto i ricercatori Symantec.

“Sarà interessante vedere se questa è stata solo un’attività unica in questa campagna, o se è impostata per essere una nuova tattica adottata da bande di ransomware.”

La nuova tecnica di scansione PoS di Sodinokibi è stata individuata in una campagna rivolta ai settori dei servizi, dell’alimentazione e della sanità. I ricercatori descrivono le due vittime nel settore alimentare e dei servizi come grandi organizzazioni multi-sito che gli aggressori potrebbero considerare in grado di pagare un grande riscatto.

L’organizzazione sanitaria è descritta come molto più piccola e i ricercatori suggeriscono che gli aggressori potrebbero aver scansionato le informazioni di pagamento in questo caso come mezzo per cercare di capire se c’era un altro modo per guadagnare soldi dall’attacco in caso la vittima non avesse pagato.

Qualunque sia la ragione per cui Sodinokibi sta attualmente eseguendo la scansione di informazioni su carte di credito e pagamenti, rimane ancora una forma altamente efficace di ransomware e le aziende ne sono ancora vulnerabili.

“Una cosa che è chiara è che coloro che usano Sodinokibi sono sviluppatori qualificati e non mostrano alcun segno che la loro attività possa diminuire presto”, hanno detto i ricercatori.

Sodinokibi si diffonde sfruttando una vulnerabilità zero-day di Windows che è stata effettivamente corretta nell’ottobre 2018.

Pertanto, uno dei modi migliori in cui un’organizzazione può impedire di cadere vittima di Sodinokibi – e di molti altri attacchi ransomware o malware – è garantire che la rete sia patchata con gli aggiornamenti di sicurezza più recenti per proteggere dalle vulnerabilità note.

Se stai usando Zoom, specialmente durante questo periodo difficile per far fronte al tuo impegno scolastico, aziendale o sociale, assicurati di eseguire l’ultima versione del software di videoconferenza molto popolare su computer Windows, macOS o Linux.

Non si tratta dell’arrivo della funzionalità di crittografia end-to-end più attesa, che apparentemente, secondo le ultime notizie, ora sarebbe disponibile solo per gli utenti a pagamento. Invece, questo ultimo avviso riguarda due vulnerabilità critiche recentemente scoperte.
I ricercatori di Cybersecurity di Cisco Talos hanno rivelato oggi di aver scoperto due vulnerabilità critiche nel software Zoom, ciò avrebbe potuto consentire ad aggressori di hackerare i sistemi dei partecipanti alla chat di gruppo o di un singolo destinatario da remoto.
Entrambi i difetti in questione possono essere sfruttati per scrivere o inserire file arbitrari sui sistemi che eseguono versioni vulnerabili del software di videoconferenza per eseguire codice dannoso.

Secondo i ricercatori, lo sfruttamento riuscito di entrambi i bug richiede una scarsa o minima interazione da parte dei partecipanti alla chat vittima e può essere eseguito semplicemente inviando messaggi appositamente predisposti tramite la funzione di chat a un individuo o un gruppo.

La prima vulnerabilità di sicurezza ( CVE-2020-6109 ) risiedeva nel modo in cui Zoom sfrutta il servizio GIPHY, recentemente acquistato da Facebook, per consentire ai suoi utenti di cercare e scambiare GIF animate durante la chat.
I ricercatori hanno scoperto che l’applicazione Zoom non ha verificato se una GIF condivisa si sta caricando o meno dal servizio Giphy, consentendo a un utente malintenzionato di incorporare GIF da un server controllato da un aggressore di terze parti, che eseguono lo zoom in base alla cache di progettazione sul sistema dei destinatari in una cartella specifica associata all’applicazione.
Oltre a ciò, poiché l’applicazione non stava anche controllando i nomi dei file, avrebbe potuto consentire agli aggressori di ottenere l’attraversamento delle directory, inducendo l’applicazione a salvare file dannosi mascherati da GIF in qualsiasi posizione sul sistema della vittima, ad esempio la cartella di avvio.

La seconda vulnerabilità legata all’esecuzione di codice in modalità remota ( CVE-2020-6110 ) risiedeva nel modo in cui le versioni vulnerabili degli snippet di codice del processo di applicazione Zoom vengono condivise tramite la chat.
“La funzionalità di chat di Zoom si basa sullo standard XMPP con estensioni aggiuntive per supportare la ricca esperienza utente. Una di quelle estensioni supporta una funzione che include frammenti di codice sorgente con supporto completo per l’evidenziazione della sintassi. La funzione per inviare frammenti di codice richiede l’installazione di un plug-in aggiuntivo, ma non li riceve. Questa funzionalità è implementata come estensione del supporto per la condivisione di file “, hanno detto i ricercatori .

Questa funzione crea un archivio zip dello snippet di codice condiviso prima dell’invio, quindi decomprime automaticamente il file sul sistema del destinatario.
Secondo i ricercatori, la funzione di estrazione del file zip di Zoom non convalida il contenuto del file zip prima di estrarlo, consentendo all’aggressore di installare binari arbitrari su computer target.
“Inoltre, un problema del percorso consente al file zip appositamente predisposto di scrivere file all’esterno della directory generata in modo casuale “, hanno detto i ricercatori.
I ricercatori di Cisco Talos hanno testato entrambi i difetti sulla versione 4.6.10 dell’applicazione client Zoom e hanno riferito in modo responsabile alla società.
Rilasciato proprio il mese scorso, Zoom ha corretto entrambe le vulnerabilità critiche con la versione 4.6.12 del suo software di videoconferenza per computer Windows, macOS o Linux.

Samsung ha lanciato un nuovo chip Secure Element (SE) per proteggere i dati privati ​​e sensibili sui dispositivi mobili.

Il chip, soprannominato S3FV9RR, sarà offerto insieme a un software di sicurezza, ha affermato Samsung.

Common Criteria, che certifica il livello di sicurezza dei prodotti IT da EAL0 a EAL7 con sette come il più sicuro, ha conferito al chip di sicurezza una certificazione 6+ di Common Criteria Evaluation Assurance Level (CC EAL).

Con la certificazione 6+, Samsung ha dichiarato che il chip SE ha il punteggio più alto fino ad oggi per un componente mobile.

Secondo Samsung, il nuovo chip fornisce protezione per dispositivi mobili come smartphone e tablet durante l’avvio, la memorizzazione isolata, il pagamento mobile, tra le altre applicazioni.

Può anche essere utilizzato per passaporti elettronici e portafogli hardware di criptovaluta e per supportare autenticazioni basate su hardware e l’autenticazione del dispositivo stesso. Il chip è anche versatile, ha aggiunto Samsung, in quanto può funzionare indipendentemente dalle prestazioni di sicurezza del processore principale di un dispositivo.

La società ha distribuito per la prima volta un chip SE simile a febbraio per la serie Galaxy S20, che era certificata CC EAL 5 + .

I profitti di Samsung sono rimasti stabili per il primo trimestre del 2020, ma hanno affermato che si prevede che i profitti e le vendite degli smartphone subiranno un rallentamento nel secondo trimestre a causa della pandemia di COVID-19.

Candid Wüest, Vice Presidente Cyber Protection Research di Acronis commenta l’accaduto.

“Non è ancora chiaro quale sia stato il metodo di attacco. Molto probabilmente si tratta di una violazione dei dati attraverso servizi cloud che non sono stati adeguatamente protetti come per Le Figaro in Francia. O di una violazione dei dati attraverso un sito Web compromesso, come nel caso di British Airways, ma è meno probabile. Può anche essere stata una violazione dei dati causata da un attacco mirato specifico alle loro reti, come abbiamo visto in passato con molti attacchi ransomware. Le conseguenze: multe GDPR, e probabili e-mail di truffa che creeranno danni ancora maggiori in quanto possono utilizzare impropriamente i dati trapelati per e-mail di phishing personalizzate.

Nel tentativo di proteggersi dai criminali informatici e dai sofisticati attacchi ransomware durante la crisi, Acronis consiglia alle aziende e alle organizzazioni di stabilire una strategia anti-phishing, che includa la formazione dei dipendenti per riconoscere e-mail e siti dannosi o utilizzare sistemi di posta elettronica con soluzioni anti-phishing integrate. Le aziende dovrebbero anche utilizzare l’autenticazione a due fattori ogni volta che è possibile nonché utilizzare password univoche per servizi diversi.

Dovrebbero anche aggiornare automaticamente i loro sistemi e distribuire sistemi di protezione ransomware e antivirus.Le sofisticate minacce ransomware spesso provano a disabilitare le soluzioni di backup e quindi a eliminare i backup esistenti. È quindi fondamentale che una soluzione di backup possa auto-proteggere se stessa e tutti i backup creati, ad esempio impedendo l’accesso in scrittura da altri processi. Prevenire l’accesso in scrittura direttamente ai file di backup o copiarli in posizioni di sola lettura può talvolta aiutare anche contro gli attacchi informatici. Richiede la sicurezza della connessione cloud. Inoltre, una nuova tendenza nella criminalità informatica di cui preoccuparsi è che ora gli aggressori fanno un ulteriore passo avanti e talvolta richiedono alle aziende di pagare sia un pagamento in riscatto per il decrittore sia un importo separato per eliminare i file rubati.

Questo è il motivo per cui, man mano che i volumi di dati crescono è necessario un approccio olistico di Cyber Protection.A seguito di una crescita delle minacce informatiche nel Regno Unito, il Cyber Protection Research Center di Acronis ha bloccato il 12% in più di minacce per i propri utenti ad aprile 2020 rispetto a marzo già. Ci aspettiamo che il confronto tra maggio e aprile sia sfortunatamente simile.”