Ecco il primo "major data breach" del 2019

GIOVEDÌ 17 GENNAIO 2019 - 14:15

Il primo, enorme, data breach del 2019 non si è fatto attendere molto: complessivamente sono 2.7 miliardi gli indirizzi email e le password postate su un forum di hacking, visibili a tutti. I dati provengono da un gigantesco data breach ribattezzato Collection #1.

Il breach è stato individuato dal ricercatore di sicurezza Troy Hunt, che tra l'altro è l'autore del servizio "Have I been Pwned", che consente agli utenti di verificare se il proprio indirizzo email sia stato violato e trafugato. I dati sottratti includono più di un miliardo di combinazioni email-password, che i cyber criminali possono sfruttare su una vastissima gamma di siti per compromettere i loro servizi. Questo tipo di attacco è definito Credential Stuffing Attack: i cyber criminali usano una rete di bot che esegue sistematicamente tentativi di accesso con le credenziali rubate, per tentare di accedere alle aree private con i dati degli utenti stessi, basandosi sul presupposto che molto spesso gli utenti usano le stesse credenziali per più servizi e account, vengono prese di mira le pagine di accesso a banche, store online ecc...

Per approfondire >> Riciclare le password: ecco perchè non si dovrebbe mai fare

I dati in questione sono inizialmente apparsi, ma per un brevissimo periodo di tempo, sul servizio cloud MEGA, quindi sono stati pubblicati in un popolare sito di hacking.

Complessivamente, la cartella Collection n.1 contiene più di 12.000 file per un peso di 87Gb. Sottolineiamo che le password sono facilmente utilizzabili perché è stato violato l'hashing protettivo: sono quindi disponibili in chiaro in formato testo e non in forma criptata, come spesso succede quando un sito web viene violato.

C'è da preoccuparsi?
Si. Per vari motivi, ma il principale è la portata di questa violazione: le violazioni di Yahoo hanno visto 1 miliardi e 3 miliardi di utenti colpiti, ma quei dati non sono ancora emersi ne trapelati nel web. E, a differenza delle violazioni contro Yahoo ed Equifax, legate ad un solo sito web, in questo caso le violazioni non possono essere legate ad un solo sito: al contrario, pare si leghi alla violazione di svariati servizi, tra i quali 2000 database.

Verifica se sei stato colpito
Troy Hunt ha caricato nel proprio sito web tutti gli indirizzi presenti in Collection #1: visita il sito Have I Been Pwned e digita il tuo indirizzo email. Il sito ti indicherà se il tuo indirizzo è stato compromesso con questo databreach (o con altri precedenti).

Nel sito Pwned Passwords potrai invece verificare se la tua password è stata compromessa. Qualora la password risultasse violata, il consiglio è di modificarla su tutti gli account in cui è in uso e di non usarla mai più.

Dato che ormai la maggior parte delle soluzioni di sicurezza controlla costantemente il traffico di rete per rilevare indirizzi IP dannosi, gli attaccanti sono corsi ai ripari usando sempre più spesso le infrastrutture di servizi legittimi per nascondere/gestire le loro attività dannose.

Alcuni ricercatori di sicurezza hanno individuato una nuova campagna malware, collegata al popolare gruppo di cyber attaccanti DarkHydrus APT, che usa Google Drive come server di comando e controllo (C2). Il gruppo è conosciuto per aver sfruttato il tool open source Phishery per rubare credenziali a enti governativi e istituti educativi di vari stati del Medio Oriente.

La campagna attuale
L'attacco in corso vede l'uso di una nuova variante della backdoor usata già in passato da questo gruppo: parliamo di RogueRobin, che infetta le vittime una volta che queste vengono indotte con l'inganno ad aprire un documento Microsoft Excel contenente una macro VBA integrata (una tecnica di infezione diversa dal passato, dato che il gruppo ha sempre preferito sfruttare vulnerabilità 0-day di Windows).

L'abilitazione della macro comporta il download di un file di testo TXT dannoso nella cartella temporanea: questo viene eseguito sfruttando l'applicazione legittima regsvr32.exe, quindi viene installata la backdoor RogueRobin (scritta in linguaggio di programmazione C#) sul sistema infetto.

Stando a quanto affermato da diversi ricercatori di sicurezza, RogueRobin include numerose funzioni di "invisibilità", per verificare una eventuale esecuzione in ambiente sandbox, inclusa la verifica di ambienti virtuali. Dispone inoltre di alcuni tool di analisi e di un codice anti-debug.

L'uso di Google DriveCome nella versione originale, la nuova variante di RogueRobin usa il DNS tunneling - una tecnica per inviare e ricevere dati e comandi tramite pacchetti di risposta DNS - per comunicare col proprio server di comando e controllo.

La particolarità di questi attacco è che, oltre al DNS Tunneling, il malware è pensato anche per usare l'API Google Drive come canale alternativo per l'invio di dati e la ricezione di comandi. RogueRobin infatti carica i file in un account Google Drive e verifica costantemente qualsiasi variazione di quei file per sapere se l'attore che lo comanda ha effettuato qualche modifica. L'attaccante dovrà per prima cosa modificare il file per includere un ID univoco che il trojan utilizzerà per tutte le comunicazioni future.

Qualche giorno fa il ricercatore di sicurezza Troy Hunt ha denunciato il primo, gigantesco, data breach del 2019: Hunt ha rinvenuto online la cartella Collection n.1, contenente 12.000 file per un peso complessivo di 87 Gb. Stiamo parlando di 2.7 miliardi di indirizzi email e password, postate prima su un servizio in cloud (MEGA), quindi su un popolare sito di hacking. Complessivamente sono invece 1 miliardo le combinazioni complete di email+password: un vero e proprio arsenale di indirizzi email utilizzabili dai cyber criminali nelle più svariate maniere.

Per approfondire >> Ecco il primo "major data breach" del 2019

Italiani sotto attacco
Che la notizia fosse ghiotta, per i cyber attaccanti, era più che scontato: un arsenale tale di credenziali apre ad infinite possibilità di utilizzo. Non è chiaro chi vi sia dietro all'attacco, ma è stata già individuata una campagna specifica contro utenti italiani che sfrutta appunto i dati contenuti in Collection n.1: parliamo nel dettaglio di una truffa con ricatti a sfondo sessuale.

L'ondata di email che ha investito gli utenti italiani ha caratteristiche peculiari e ricorrenti: i truffatori affermano di aver preso possesso del computer della vittima, di aver rubato tutti i contatti, di essere entrati in possesso della cronologia degli accessi a siti pornografici e, infine, di avere a disposizione un video compromettente ripreso tramite la webcam della vittima, anch'essa hackerata. L'email, ulteriore particolarità, proviene dall'email stessa della vittima: una tecnica per convincere ulteriormente il malcapitato della realtà della violazione del computer. La richiesta dei ricattatori è piuttosto facile da immaginare: se la vittima vuole che "il segreto" rimanga tra lui e l'attaccante, dovrà pagare un riscatto in Bitcoin.

ATTENZIONE:
come già ribadito qualche giorno fa, in occasione di una precedente campagna del tutto simile, questa è una bufala. Nessun attaccante ha avuto accesso al computer delle persone che ricevono tale email: non esistono quindi filmati compromettenti di alcun tipo. Siamo di fronte ad una tecnica di ingegneria sociale, finalizzata a creare panico e ansia nella vittima, renderla meno lucida e quindi più disposta a pagare.

Ecco un esempio di email fake a scopo ricattatorio

Che cosa fare?
Ovviamente non c'è alcun riscatto da pagare. Probabilmente, l'unica violazione avvenuta davvero è quella del tuo account email. Troy Hunt, il ricercatore che ha individuato questo enorme database, gestisce due servizi web tramite i quali è possibile verificare la presenza sia del nostro indirizzo email sia della nostra password in precedenti data breach: Hunt stesso ha fatto sapere di aver già aggiunto, ai data breach passati, anche tutti i dati contenuti in Collection n°1.

Visita il sito Have I Been Pwned e digita il tuo indirizzo email. Il sito ti indicherà se il tuo indirizzo è stato compromesso con questo databreach (o con altri precedenti).

Nel sito Pwned Passwords potrai invece verificare se la tua password è stata compromessa. Qualora la password risultasse violata, il consiglio è di modificarla su tutti gli account in cui è in uso e di non usarla mai più.

I recenti report di analisi delle minacce dei Quick Heal Security Labs suggeriscono un significativo calo degli attacchi ransomware: la minaccia che quindi ha tenuto banco negli ultimi anni sta "perdendo smalto", sostituita nella top10 da altri tipi di attacchi valutati più profittevoli dai cyber criminali. I ransomware però, è bene ribadirlo, sono ancora in attività e sempre nuovi esemplari vengono messi in diffusione: basti ricordare le innumerevoli campagne di distribuzione del ransomware GandCrab, che sono state ricorrenti per quasi tutto il 2018.
ù cosa si deve la riduzione delle infezioni ransomware?
Le ragioni di un declino tanto subitaneo quando significativo può attribuirsi alla crescita, oltre l'esponenziale, della diffusione dei malware per il mining di criptovalute (cyroptojacking) quali Bitcoin, Monero, Ethereum ecc... Inoltre, ci suono nuovi malware "di punta", sempre più sofisticati ed efficaci (per i cyber attaccanti): uno di questi è Emotet, che unisce funzioni di trojan bancario a funzioni di mining di criptovaluta.
Per approfondire: Emotet

Fase 1 --> l'attacco ai siti web;

Fase 2 --> l'attacco ai computer delle vittime

Perchè i cyber attaccanti preferiscono i miner?
I motivi potrebbero essere molteplici, sicuramente due sono i principali. Il primo è legato al potenziale di guadagno di questo tipo di attacchi: non è affatto un segreto che il prezzo delle valute digitali sia cresciuto a ritmi impressionanti negli ultimi due anni, spostando drasticamente l'attenzione sul mondo delle criptovalute. Un miner di criptovaluta che infetti un numero sufficiente di computer può garantire un flusso costante di reddito all'attaccante, almeno finchél'infezione non viene scoperta. Cosa non facile: i miner agiscono in background e non necessitano di alcuna interazione da parte della vittima.
Il secondo motivo è legato al lato tecnico: i miner sono mezzi relativamente semplici per estrarre denaro illecito con la garanzia dell'anonimato. Così nell'ultimo anno e mezzo abbiamo assistito non solo all'emergere di una vastissima gamma di malware per il mining (tra i capostipiti ricordiamo CoinHive. Vedi qui la nostra infografica ), ma anche a svariate tecniche di diffusione degli stessi: malvertising, spear phishing, browser injection ecc...

Anche i ransomware sono evoluti...

Come detto, i ransomware però sono tutt'altro che scomparsi: al contrario sono emerse nuove varianti e anche nuove tipologie di attacco. Recentemente abbiamo osservato molteplici attacchi ransomware di Brute-Force contro l'RDP. In questo tipo di attacco, l'attaccante semplicemente esegue una scansione di una lista di indirizzi IP per trovare quelli che hanno la porta RDP aperta e tentano un attacco di brute force, che altro non è che un prova&ritenta per indovinare Username e Password. Ottenuto l'accesso, l'attaccante può facilmente bypassare i sistemi antivirus e infettare il sistema.

Per approfondire >> Il tuo sistema di Desktop Remoto è al sicuro da attacchi di tipo brute-force?

Per quanto riguarda il ransomware GandCrab, arrivato alla v.5.0.05, è stato uno dei ransomware più diffuso nel 2018, riuscendo a infettare più di 50.000 nodi: distribuito a partire da Gennaio 2018 ha, nel corso del tempo, subito svariate modifiche e riadattamenti per renderlo un'arma ancora più temibile. Vogliamo ricordarlo perchè è necessario non sottovalutare la minaccia dei ransomware.

E' stata Privacy International (PI), una organizzazione no profit britannica il cui nome già suggerisce lo scopo, a denunciare 20 applicazioni regolarmente presenti sullo store di Google: PI ha analizzato tali app a partire dal 25 Maggio 2018, giorno in cui è entrato definitivamente in vigore il nuovo regolamento europeo per la privacy e la sicurezza dei dati, il cosiddetto GDPR.

Vedi il report completo qui >> How Apps on Android Share Data with Facebook

L'analisi è stata compiuta su 34 applicazioni tra le più diffuse sul Play Store di Google, per verificare il livello di privacy degli utenti e di sicurezza dei dati. I risultati sono preoccupanti: ben 20 app invierebbero dati a Facebook, anche di utenti che non risultano iscritti al famoso social network.

Tra le app incriminate troviamo "pezzi grossi" del calibro di Tripadvisor, Kajak, Skyscanner (app
dedicate ai viaggi), ma anche app per lo streaming della musica come Spotify e Shazam (quest'ultima permette di riconoscere un brano), app per il fitness come MyFitnessPal ecc... Per fare alcuni esempi, Kajak comunica a Facebook informazioni quali la destinazione di un viaggio, le date, l'eventuale partecipazione o meno dei figli al viaggio stesso. Qibla Connet (un app a tematica religiosa) informerebbe Facebook dell'appartenenza dell'utente alla fede islamica, Indeed condivide la ricerca di un lavoro. I dati vengono inviati a Facebook non appena l'app viene aperta: anche il numero di aperture dal momento dell'installazione e l'id utente Google sono dati che vengono "donati" a Facebook.

Lo scenario tratteggiato è inquietante, perché, stando ai dati di Privacy International, almeno il 61% delle app che girano su Android invia dati a Facebook indipendentemente dal consenso dell'utente (e perfino, come detto, anche quando l'utente non ha un profilo Facebook). Dati confermati anche da un rapporto della Oxford University precedente a quello di PI: per Oxford la quota di app su Google Play che scambia dati con Facebook è pari al 43%.

Tutto questo è legale?
Per quanto i dati inviati a Google non siano sufficienti a individuare precisamente una specifica persona, tutto ciò è illegale ai sensi del GDPR. Facebook ha già fatto sapere di aver reso disponibile agli sviluppatori di terze parti, poco dopo l'entrata in vigore del GDPR, una apposita utility dove modificare le proprie app al fine di rendere esplicita la richiesta di condivisioni dati con app di terze parti all'utente, affinché l'utente possa esprimere il consenso o meno a questo tipo di utilizzo dei propri dati. Quegli sviluppatori che non hanno proceduto a tale modifica stanno violando il GDPR.

Skyscanner è stata tra prime app ad essere modificata: il 31 Dicembre 2018 ha pubblicato questa nota, nella quale si annuncia l'aggiornamento dell'app Android in via prioritaria: l'aggiornamento ha bloccato la trasmissione dei dati verso l'SDK (Software Developement Kit) di Facebook. L'elenco di queste app "spione" è disponibile nel report indicato ad inizio articolo.

Emotet ha segnato un periodo di attività ridotta la scorsa settimana, ma ieri alcuni ricercatori di sicurezza hanno individuato una nuova campagna di email di spam che distribuisce una nuova versione di questo trojan: nuove versione che presenta nuove funzionalità dannose.

Emotet in breve
Ricordiamo che Emotet, recante inizialmente solo funzionalità di trojan bancario, è attualmente annoverabile tra i malware modulari: è cioè pensato per subire l'aggiunta di altri payload che ne possono aumentare le funzionalità dannose (infostealer, ransomware ecc..). La costante evoluzione delle funzioni incluse in Emotet, lo renderanno per parecchio tempo uno dei protagonisti della Top10 dei malware di quest'anno.

La campagna di distribuzione
Il payload della nuova versione di Emotet viene diffuso tramite email di spam in diverse lingue, secondo quali sono gli utenti bersaglio: lo scopo del contenuto delle email, come sempre, è indurre l'utente a scaricare l'allegato. L'allegato contiene il codice necessario al download e all'installazione del malware.

Fonte: bleepingcomputer.com

In alcuni casi le email non recano il documento come allegato, ma, al contrario, contengono un collegamento diretto al malware.

L'evoluzione continua: la nuova versione di Emotet
Questo malware è in costante evoluzione: la campagna di spam attuale diffonde una nuova versione, che presenta alcune modifiche e aggiunte rispetto alle precedenti. Ad esempio, la versione attuale verifica se l'indirizzo IP del ricevente/vittima sia stato o meno inserito in blackilist/spamlist in famosi servizi come Spamhaus, SpamCop o SORBS.

Fonte: bleepingcomputer.com

Lo scopo è chiaro: questa verifica può consentire agli attaccanti di consegnare più email nelle caselle di posta delle vittime senza subire respingimenti dai filtri antispam. Sempre allo scopo di evadere i filtri antispam, Emotet vede anche l'aggiunta della capacità di modificare l'oggetto dell'email.

Strani reindirizzamenti
Un altro cambiamento è l'uso del reindirizzameno HTTP 301. Il 301 è un codice di stato del protocollo HTTP tramite il quale un server comunica al client che la pagina web richiesta non si trova più all'URL originale, ma che è stata spostata in via definitiva e permanente. Una modifica che i ricercatori di sicurezza non riescono a spiegare, dato che il reindirizzamento punta sullo stesso URL. L'unica differenza notabile tra la prima e la seconda richiesta è che la prima ha un messaggio keep-alive nell'header, mentre la seconda richiesta no. La connessione keep-alive è un metodo che consente le comunicazioni HTTP server-client sulla stessa connessione TCP invece che aprire una nuova per ogni richiesta: chiamata anche "Connessione persistente (persistant connection)" permette di ridurre i tempi di download.

I ricercatori fanno anche sapere che il malware è ospitato, nella stragrande maggioranza dei casi, su siti web compromessi.

Il metodo di distribuzione
Le vittime ricevono il malware tramite la classica macro nascosta in un documento Word contenente, apparentemente, una fattura, una conferma di pagamento, una conferma di spedizione ecc... La routine di infezione di Emotet si avvia sul sistema già quando la vittima lancia il documento fake: il codice integrato nella macro scarica e installa il malware. Ciò avviene prima di tutto con l'apertura di PowerShell, che conttatta il centro di distribuzione di Emotet per recuperare il payload. Il payload quindi viene scaricato e installato sul computer della vittima.

Approfondimento >> In corso una campagna di diffusione del trojan bancario Emotet: sfrutta una nuova tecnica per ingannare gli utenti