Non esistono parametri assoluti o numeri su cui basare calcoli. L’unica cosa certa è che i programmi di intelligenza artificiale, per essere sviluppati ed avere risultati ottimali, richiedono quantitativi impressionanti di dati.

Tutto dipende dalla complessità del problema, dal modello di IA utilizzato o che si voglia sviluppare e, ovviamente, dalla qualità dei dati stessi.
Possiamo provare a individuare alcune categorie per avere un'idea di massima di che cosa stiamo parlando e dei quantitativi di dat processati.
La classificazione di immagini, ad esempio, richiede migliaia o addirittura milioni di immagini per ottenere buone prestazioni, specialmente per reti neurali profonde. L’elaborazione del Linguaggio Naturale (NLP) o modelli come GPT (Generative Pre-trained Transformer) sono addestrati su miliardi di parole. Il Riconoscimento Vocale richiede ore e ore di dati audio etichettati.

Inoltre, sia per l’addestramento dei dati sia per le applicazioni in concreto si possono presentare per gli sviluppatori e i programmatori problemi più o meno complessi da risolvere. Alcuni possono essere risolti con meno dati come, ad esempio, una semplice classificazione binaria richiede meno dati rispetto a una classificazione multiclasse.

Per saperne di più > AI e Carenza Dati Personali: dalla raccolta alla profilazione un problema non solo etico

La creazione di un sistema di guida autonoma richiede milioni di chilometri di dati di guida.
Alcuni modelli tradizionali conosciuti ( SVM, Logistic Regression) possono funzionare bene con meno dati se le caratteristiche sono ben definite mentre le Reti Neurali Profonde richiedono grandi quantità di dati per evitare overfitting e migliorare le prestazioni.

In ogni caso la qualità dei dati è fondamentale.

Disporre di elementi puliti e ben etichettati può ridurre la quantità di dati necessari e, ricordiamo, i dati di alta qualità migliorano l'accuratezza del modello mentre dati rumorosi o non etichettati possono richiedere una complessa pre-elaborazione e tecniche di data augmentation per essere utilizzabili.
I problemi sono tecnici e soltanto chi vi lavora può conoscere compiutamente le criticità e le casistiche ma, in ogni caso, il punto di partenza è la disponibilità di quantitativi di dati che possono essere impressionanti.

Potrebbe interessarti > La portata dell'AI Act

Ed ovviamente si tratta di dati che devono non solo essere acquisiti legalmente, ma anche utilizzati portando a conoscenza gli interessati dei processi a cui vengono sottoposti ai fini della prestazione di un consenso consapevole e formatosi liberamente su quegli specifici trattamenti.
Si tratta quindi, mai come in questo caso, di predisporre informative che, oltre ad indicare compiutamente la base giuridica del trattamento, l’assoluta chiarezza e trasparenza sui processi automatizzati e gli eventuali trasferimenti a terze parti che, a loro volta, dovranno offrire le stesse misure di sicurezza e protezione del dato del titolare.

Da ciò emerge come nella catena della privacy per il trattamento dei dati per sviluppare soluzioni di intelligenza artificiale, la creazione di una privacy policy e la gestione del dato sono aspetti estremamente delicati e cruciali. La privacy policy. infatti, non è semplicemente un documento formale, ma diviene un vero e proprio impegno concreto verso la trasparenza e la protezione dei dati degli utenti. Redigere una privacy policy efficace richiede una comprensione approfondita delle normative vigenti, come il GDPR e il recente AI Act, e una capacità di comunicare chiaramente agli utenti come i loro dati saranno raccolti, utilizzati, conservati e protetti.

Cosa ne pensi? > La Rivoluzione Digitale: il Capitalismo dei Dati Personali

Tutto ciò implica anche una serie di pratiche operative che devono essere meticolosamente implementate per garantire che ogni fase del trattamento sia conforme agli standard di sicurezza e privacy. Questo include anche l'adozione di misure tecniche e organizzative per la protezione da accessi non autorizzati, perdite o violazioni, e l'adozione di tecniche come l'anonimizzazione e la pseudonimizzazione per minimizzare i rischi associati.

La gestione di queste attività comporta anche la responsabilità di mantenere un registro dettagliato delle attività, effettuare valutazioni d'impatto quando necessario e garantire che i dati siano trasferiti in modo sicuro, specialmente quando si tratta di trasferimenti internazionali.
In questo scenario, qualsiasi compromesso nella protezione dei dati può non solo violare le normative legali, ma anche erodere la fiducia degli utenti e danneggiare la reputazione dell'organizzazione.

Pertanto, una gestione accurata e responsabile dei dati, sostenuta da una privacy policy chiara e completa, è fondamentale per il successo e l'integrità di qualsiasi progetto di intelligenza artificiale.

0bj3ctivity, malware per il furto dati, torna in diffusione in Italia dopo oltre un anno: vediamo nell’articolo di cosa si tratta e come difendersi

0bj3ctivity: presentazione

Il CERT ha comunicato, nel Report settimanale 22-28 Giugno 2024, il ritorno in diffusione in Italia del malware per il furto dati 0bj3ctivity. Il malware era stato diffuso per la prima volta nel nostro paese nell’ottobre 2023. È un malware semplice ma efficace: riesce a rubare una gran quantità di dati personali e sensibili una volta che riesce ad infettare il dispositivo.

Come viene diffuso 0bj3ctivity?

Il CERT ha prodotto un dettagliato report sul funzionamento di questo malware per il furto dati nel quale viene illustrato il funzionamento di una delle campagne di distribuzione che hanno riguardato il nostro paese. 0bj3ctivity viene solitamente diffuso via email.

Nell’analisi del CERT, l’email vettore non è pensata in particolare per gli utenti italiani: è scritta in lingua inglese e al suo interno contiene un’immagine che presenta un link ad un file VBS che fa partire l’infezione.

La campagna è molto simile a quella dell’ottobre 2023, tralasciando alcuni dettagli come l’oggetto della mail, il mittente e la firma in calce.

Cliccando sul link presente nell’email viene scaricato un file VBS classificabile come loader. Non è chiaro se questo loader abbia già un nome ma è già comparso in un’analisi spagnola del 2020. Il suo codice, com’è possibile vedere dall’immagine sottostante, è molto offuscato e non di facile lettura.

Una volta deoffuscato, il loader esegue una serie di comandi Powershell finalizzati a:

• scaricare l’immagine chiamata “rump_vbs.jpg” da uploaddeimagens.com[.]br. Nell’immagine è nascosto, utilizzando la steganografia, un assembly .NET codificato in base64;
• una volta decodificato, invocare il metodo “Fiber.Home.VAI” dell’assembly, con un URL scritto al contrario.

Questo nuovo stadio, a sua volta, è un assembly.NET: il suo codice non è offuscato ed ha il compito di scaricare il payload finale (il malware stesso), che è compresso con GZIP e codificato in base64.

Funzionalità di 0bj3ctivity: qualche dettaglio

0bj3ctivity non ha funzionalità complesse: si limita a raccogliere i dati da rubare, a salvarli come file di testo e ad inviarli via posta elettronica o ad un canale Telegram per poi terminare.

Tra i dati che vengono sottratti troviamo::

• informazioni sul dispositivo (es. Indirizzo IP locale, nome della macchina, versione Windows, quantità RAM ecc.);
• varie credenziali salvate sul browser;
• le carte di credito e i cookie salvati sul browser;
• dati di applicazioni wallet;
• dati delle sessioni (Telegram, Skype, Element, Discord);
• elenco dei programmi installati;
• le chiavi di attivazioni di Windows;
• dati della clipboard.

Per approfondire > Salvare le password: come farlo in modo sicuro

I dati raccolti hanno un valore inestimabile per l’aggressore, sia per la loro natura che quantità. I dati rubati possono essere utilizzati come tattica per accedere alla rete di un’organizzazione (password delle reti WiFi, IP del dispositivo). L’unica nota “positiva”, anche se amara, è che 0bj3ctivity non presenta tecniche di persistenza sul sistema: cerca quindi di rubare i dati una volta soltanto. Questo va sottolineato perché solitamente gli infostealer rimangono attivi in maniera indefinita (come ad esempio AgentTesla).

Data breach alla Nato: i dati di 362 persone, rubati dal COI (ambiente in cui vengono condivise le informazioni non classificate della NATO) finiscono pubblicati su Breach Forum. Esposti nome completo, email, organizzazione ecc…

Data breach alla Nato: qualche dettaglio

Il COI Cooperation Portal è un ambiente di condivisione di informazioni non classificate della NATO. Fornisce supporto alle organizzazioni della NATO, ai paesi membri e ai loro partner di missione, alla pubblica amministrazione, così come all’industria e al mondo accademico dei paesi appartenenti all’Alleanza e al Partenariato per la Pace (PfP).

Il data breach sembra coinvolgere 362 membri e i dati rubati comprendono: nome completo, email, organizzazione e altri tipi di documenti.

I dati pubblicati su un forum dell’underground hacking

E’ stato l’utente “natohub” a riportare sul forum dell’underground hacking Breach Forums la notizia del data breach alla Nato, oltre a condividere alcuni link per scaricare dei file d’esempio.

Di seguito la traduzione del messaggio pubblicato da natohub:

Ciao BF

Oggi condivido una fuga di notizie dal CIO (ambiente di collaborazione e condivisione di informazioni non classificate della NATO). Il data breach riguarda un elenco di 362 membri con il nome completo dei capi. email e organizzazione, oltre ad alcuni documenti non classificati.

Per approfondire > Attacco informatico a Europol: dati venduti su un forum dell’underground hacking

La divulgazione di queste informazioni, pur non essendo classificate, potrebbe costituire una seria violazione della privacy e della sicurezza delle comunicazioni all’interno della NATO. Le informazioni trapelate, infatti, potrebbero essere sfruttate da malintenzionati per effettuare attacchi di phishing mirati, utilizzando tecniche di social engineering per ingannare e manipolare i membri della NATO e ottenere accesso non autorizzato a dati sensibili.

Inoltre, tali informazioni potrebbero facilitare altre attività malevole, come il monitoraggio delle comunicazioni, il furto di identità, l’infiltrazione nelle reti informatiche della NATO eccetera. La compromissione di questi dati potrebbe avere conseguenze gravi non solo per la sicurezza individuale dei membri della NATO, ma anche per la sicurezza collettiva dell’organizzazione e dei suoi alleati, mettendo a rischio operazioni cruciali e strategie di difesa.

Per approfondire > E se il Data Breach diventa un danno irreparabile?

Come evitare i data breach: step basilari

Garantire una sicurezza informatica al 100% è impossibile. Ciò che però si può fare è ridurre al minimo il rischio che si possano verificare data breach. Di seguito elenchiamo gli step essenziali per raggiungere un buon livello di sicurezza informatica:

• Forma i tuoi dipendenti / tutti coloro che accedono alla rete: l’anello debole della catena di sicurezza informatica è l’utente. Per questo è necessario formare i dipendenti e renderli consapevoli dei rischi. Consigliamo di stabilire un protocollo di reazione nel caso in cui si verifichi un attacco informatico, così che tutti sappiano come comportarsi.

  Ad esempio è fondamentale spiegare perché non scaricare file/cliccare su link contenuti nelle email: spesso l’accesso alle reti avviene sfruttando la parte più debole della catena informatica: l’utente. Per questo non bisogna cliccare su link contenuti nelle email inaspettate e sospette. Per Approfondire > Attacchi basati sulle macro di Office: come funzionano?

La sensibilizzazione, così come la formazione, sono attività essenziali per eludere il rischio di intrusioni, però non sono sufficienti. E’ necessario utilizzare anche strumenti in grado di limitare e rilevare comportamenti anomali. Ecco i nostri consigli sulle soluzioni di sicurezza:

• Adotta l’approccio zero trust: per evitare l’abuso di privilegi da parte dei dipendenti permetti agli utenti di accedere solo alle informazioni che gli sono davvero necessarie per lavorare (secondo il privilegio minimo). Per approfondire > Approccio Zero Trust: nuova frontiera della sicurezza informatica
• Predisponi un piano di backup: è fondamentale dotarsi di soluzioni di backup e di organizzarsi per eseguire backup di tutti i dati a cadenza regolare. Disporre di backup integri e il più recenti possibile consente di minimizzare la perdita dei dati e accelerare i processi di rispristino. A tale scopo, ti consigliamo di valutare la nostra soluzione Strongbox Cloud PRO, appositamente pensata per le PMI.
• Aggiorna costantemente il sistema operativo, i software e gli applicativi: verifica che siano sempre aggiornati all’ultima versione disponibile ed installa le patch. La suite di soluzioni di sicurezza aziendali Seqrite ha funzionalità specifiche a tale scopo: dalla gestione centralizzata delle patch alla scansione delle vulnerabilità.
• Adotta un SOC – Security Operation Center: il SOC è un centro operativo il cui scopo consiste nel monitorare la rete aziendale per rilevare attività anomale e nel reagire prontamente per limitarne i danni. E’ composto da esperti di sicurezza informatica, ingegneri, analisti dei dati che lavorano in maniera congiunta. E’ uno strumento molto importante per le aziende perché consente di proteggere i dati, di conformarsi alle normative, di ridurre l’impatto degli attacchi e anche di compensare la mancanza di personale specializzato. Per approfondire > SOC – Security Operation Center: che cosa, perché, come. A tale scopo ti consigliamo di valutare Octofence, la nostra soluzione davvero efficace e Made in Italy.
• Impedisci i data breach con soluzioni mirate come il Data Loss Prevention di Seqrite.
• Utilizza sistemi di protezione preventiva: l’Intrusion Prevention Sistem (IPS) e le WAAP rappresentano utili protezioni perimetrali, se posti a difesa dei servizi esposti su Internet. L’IPS rappresenta un meccanismo proattivo: consiste in un passo avanti alla mera individuazione, impedendo che la minaccia possa colpire effettivamente la rete aziendale. Le WAAP sono soluzioni che proteggono le applicazioni WEB e le API che attingono dati da più fonti, consentendo una gestione unificata della sicurezza e fornendo report aggregati.

Il Garante ha introdotto modifiche e chiarimenti riguardanti l’applicazione delle norme, la conservazione dei metadati e le responsabilità dei datori di lavoro e dei fornitori di servizi.

Gestire la posta elettronica in ambito lavorativo è complesso e delicato. Con il documento di indirizzo del 21 dicembre 2023 Il Garante per la Protezione dei Dati Personali ha pubblicato un documento di indirizzo con il quale introduce importanti novità che coinvolgono sia i fornitori di servizi di gestione delle email sia le aziende.

In seguito ha poi avviato una consultazione pubblica, con lo scopo di acquisire proposte riguardo alla conservazione dei metadati per i datori di lavoro pubblici e privati. E’ nato così il provvedimento del 6 giugno 2024.

Quest’ultimo apporta modifiche e integrazioni al Documento di Indirizzo e aiuta ad orientare le scelte dei datori di lavoro nell’individuare il periodo di conservazione dei dati.

Con il Documento, il Garante per la Protezione dei Dati personali aveva specificato che:

• l’attività di raccolta e conservazione dei metadati non poteva essere superiore a un massimo di 7 giorni (estensibili, in presenza di documentate esigenze, di ulteriori 48 ore);
• l’obbligo di fornire l’informativa sul trattamento dei dati personali prima di iniziare il trattamento.

Per approfondire > Email di lavoro dei dipendenti: i datori devono cancellare i metadati entro 7 giorni

Il nuovo provvedimento innanzitutto chiarisce che non impone nuove regole o obblighi per chi gestisce i dati. Piuttosto, fornisce una panoramica delle regole esistenti, mettendo in evidenza alcuni punti di contatto tra la protezione dei dati e le norme sull’uso della tecnologia nei luoghi di lavoro. Viene quindi sottolineato che il Documento di Indirizzo è solo orientativo e permette di trattare informazioni per garantire il corretto funzionamento e l’uso sicuro della posta elettronica, senza dover seguire la procedura di garanzia prevista dallo Statuto dei Lavoratori.

Il documento del Garante spiega che i metadati degli account email dei dipendenti, come gli indirizzi email, gli orari di invio e ricezione, e gli indirizzi IP, possono essere conservati per lungo tempo. In alcuni casi anche l’oggetto del messaggio spedito o ricevuto. Questi metadati sono registrati automaticamente dai sistemi di posta elettronica, indipendentemente dalla volontà dell’utilizzatore.

Il documento chiarisce però che questi metadati non devono essere confusi con il contenuto effettivo delle email, che rimane sotto il controllo dell’utente. Di conseguenza, le indicazioni contenute nel documento, che riguardano i tempi di conservazione dei metadati, non riguardano i contenuti del messaggio, i quali rimangono a disponibilità del lavoratore.

In merito alla conservazione dei metadati, questa dovrebbe essere limitata a pochi giorni, generalmente non più di 21, a meno che non ci siano particolari necessità tecniche che giustifichino un periodo più lungo. In questi casi, il responsabile del trattamento dei dati deve adottare misure per garantire che solo le persone autorizzate possano accedere a questi dati e che gli accessi siano tracciati.

Il nuovo provvedimento del Garante introduce due importanti novità:

1. Contenuto dei messaggi di posta elettronica:

Il datore di lavoro prima di effettuare un trattamento dei dati personali deve:

• verificare l’esistenza dei presupposti di liceità;
• rispettare i principi generali dei trattamento;
• considerare se è necessaria una valutazione di impatto sulla protezione dei dati (DPIA).
• informare chiaramente i lavoratori su come verranno trattati i loro dati, prima che il trattamento inizi.
• rispettare il principio di accountability, valutando se i trattamenti previsti possono presentare un rischio elevato per i diritti e le libertà dei lavoratori, specialmente riguardo alla raccolta e memorizzazione dei log delle email.

2. Obblighi per i fornitori:
   • I fornitori di servizi e applicazioni devono garantire che i loro prodotti rispettino le normative sulla protezione dei dati.
   • Devono aiutare i datori di lavoro a rispettare le loro responsabilità in materia di protezione dei dati, migliorando i loro prodotti per conformarsi meglio alle leggi.

Il documento completo è disponibile qui.

ASST Rhodense ha subito un grave attacco ransomware, compromettendo dati sensibili, evidenziando l’importanza cruciale della sicurezza informatica nel settore sanitario.

Nella notte tra il 5 e il 6 giugno ASST Rhodense, l’Azienda Socio Sanitaria Territoriale della zona di Rho (Milano) ha subito un grave attacco che l’ha costretta a rinviare vari interventi chirurgici non urgenti e prestazioni sanitarie. L’impatto ha riguardato le strutture dell’ASST, comprese quelle di Garbagnate Milanese, Bollate, Rho e Passirana.

L’attacco subito è di tipo ransomware: è stato usato un software dannoso e per riavere l’accesso a quei dati è necessario il pagamento di un riscatto.

Secondo le notizie, sembra aver causato il furto di un’enorme quantità di dati sensibili, nello specifico 1 TB di dati che riguardavano informazioni di identificazione personale, dati personali, documenti medici, prescrizioni e altri documenti sensibili.

Per approfondire > Il Ransomware Monti pubblica i dati dell’ASL 1 Abruzzo

Dopo due settimane dall’attacco, il furto massiccio di dati è stato pubblicato integralmente sul data leak site del gruppo chiamato Cicada 3301. Il ransomware Cicada 3301 ha annunciato sul proprio Data Leak Site 4 vittime:

Questo furto di dati sensibili mina la privacy e sicurezza dei pazienti e del personale dell’ASST Rhodense. Proprio per questo motivo, ha provveduto ad informare tempestivamente le autorità competenti e a collaborare con le forze dell’ordine per identificare i responsabili dell’attacco. È stata anche attivata una linea di assistenza per i pazienti e il personale colpiti dal furto di dati, per fornire supporto e informazioni utili per proteggere la privacy.

L’attacco mette in evidenza l’importanza della sicurezza informatica da parte delle istituzioni sanitarie, settore che tratta dati particolarmente sensibili. E’ indispensabile che le organizzazioni sanitarie rafforzino le misure di sicurezza per proteggere le informazioni dei pazienti e del personale.

Per approfondire > Subire un attacco ransomware non esime dalle responsabilità di protezione dati: il Garante Privacy sanziona la regione Lazio

Premettendo che la sicurezza informatica al 100% non esiste e che gli strumenti, le soluzioni e la postura difensiva variano da azienda ad azienda, da rete a rete, i punti sottostanti sono il minimo indispensabile per raggiungere un livello accettabile di sicurezza informatica.

• Predisponi un piano di backup:
  è fondamentale dotarsi di soluzioni di backup e di organizzarsi per eseguire backup di tutti i dati a cadenza regolare. I backup stessi andranno testati regolarmente, per verificare che i dati siano integri. Disporre di backup integri e il più recenti possibile consente di minimizzare la perdita dei dati e accelerare i processi di rispristino. E’ fondamentale isolare dalla rete i backup critici per evitare che, in caso di attacco ransomware, finiscano criptati anche i backup. A tale scopo, ti consigliamo di valutare la nostra soluzione Strongbox Cloud PRO, appositamente pensata per le PMI.
• Mantieni sempre aggiornato il sistema operativo, i software e gli applicativi in uso:
  le vulnerabilità sono le porte di accesso che consentono agli attaccanti di accedere alle reti. Verifica che questi software siano sempre aggiornati all’ultima versione disponibile ed installa le patch consigliate dal vendor. La suite di soluzioni di sicurezza aziendali Seqrite ha funzionalità specifiche a tale scopo: dalla gestione centralizzata delle patch alla scansione delle vulnerabilità.
• Scegli una solida soluzione antivirus e mantienila sempre aggiornata:
  sempre più soluzioni antivirus si sono dotate di strumenti specifici per il contrasto agli attacchi ransomware. Scopri di più sulla funzionalità antiransomware di Quick Heal / Seqrite, tecnologia brevettata negli Stati Uniti.
• Adotta l’approccio zero trust:
  applica il principio del “privilegio minimo” per tutti gli utenti: imposta cioè, utente per utente, solo le permissioni che gli sono effettivamente necessarie per svolgere le proprie mansioni. Fai si che ogni utente possa accedere soltanto alle informazioni che gli sono indispensabili.
  Per approfondire > Approccio di cybersecurity Zero Trust: perchè, come e quanto è importante per le aziende con forza lavoro remota
• Evita di scaricare file o cliccare su link contenuti nelle email:
  spesso l’accesso alle reti da parte degli attaccanti non avviene tramite sofisticate tecniche di attacco, ma anzi l’attaccante fa breccia nel punto più debole della catena della cyber sicurezza: l’utente. E’ fondamentale non fare click su link né scaricare allegati contenuti in email inaspettate, sospette, improvvise. Infine non abilitare mai le macro contenute nei documenti circolanti via email, a meno che non ci sia l’assoluta certezza della legittimità della comunicazione.
  Per Approfondire > Attacchi basati sulle macro di Office: come funzionano? Breve vademecum
• Forma i dipendenti, i collaboratori e chiunque acceda alla rete:
  come detto, l’anello debole della catena di cyber sicurezza e sicurezza dei dati è l’utente. Forma dipendenti e collaboratori, rendili partecipi dei protocolli di sicurezza e consapevoli e sensibili rispetto ai rischi, almeno quelli più diffusi. Stabilisci un protocollo di reazione in caso di incidente informatico, così che tutti sappiano cosa fare in caso dovesse verificarsi un attacco ransomware.
• Non esporre mai direttamente in internet le connessioni Remote Desktop Protocol. Se proprio hai necessità di usare l’RDP, fallo sempre tramite una VPN.
• Implementa un modello di sicurezza stratificato (multi livello)
  nella scelta di un approccio stratificato alla sicurezza, consigliamo di valutare attentamente:
  > sicurezza delle reti e dei server;
  > gestione degli endpoint;
  > gestione dei dispositivi mobile.
  Per approfondire > Implementa un modello di sicurezza stratificato con Seqrite!
• Implementa sistemi di protezione preventiva:
  come l’Intrusion Prevention Sistem (IPS) e il Web Application Firewall. Saranno utili protezioni perimetrali, se posti a difesa dei servizi esposti su Internet.
• Adotta un SOC – Security Operation Center:
  un SOC è un vero e proprio centro operativo dedicato alla sicurezza informatica il cui scopo, nel complesso, è monitorare costantemente la rete aziendale in cerca di attività anomale o sospette.

I dispositivi Android obsoleti rischiano il blocco e la richiesta di una pagamento di riscatto sulla piattaforma Telegram a causa di Rafel RAT. Vediamo come difendersi nell’articolo

Rafel RAT: presentazione

Rafel RAT è un malware open source per Android, uno dei principali strumenti utilizzati dal gruppo criminale APT-C-35 (DoNotTeam). Se inizialmente è stato impiegato per spionaggio, ha poi evoluto le sue funzionalità fino a diventare uno strumento ransomware. Nello specifico, sfrutta tecniche avanzate per infettare i dispositivi e criptare i dati e in seguito, attraverso una richiesta di riscatto, ricavarne denaro. Il malware viene diffuso attraverso il download di applicazioni al di fuori degli store ufficiali.

Le versioni Android colpite

Il malware punta ad infettare dispositivi non aggiornabili alle ultime versioni del sistema operativo (e quindi obsoleti) oppure a dispositivi più recenti ma sui quali non sono state installate le patch e gli upgrade. Le versioni colpite riguardano le edizioni Android 11 e precedenti, ovvero più dell’87% dei dispositivi Android in circolazione.

Va sottolineato che la vulnerabilità non dipende dalla marca e dal modello, dato che sono stati presi di mira dispositivi differenti (Samsung, Huawei, Xiaomi, ecc.) ma il punto debole rimane la versione del sistema operativo installato.

Tecniche di attacco di Rafel RAT

[T1592] Gather Victim Host Information: usa scanner internet per cercare pattern associati a contenuti dannosi progettati per raccogliere informazioni sull’host dei visitatori. Questo gli consente di identificare bersagli e di personalizzare le sue campagne.

[T1211] Exploitation for Defense Evasion: Rafel RAT utilizza le vulnerabilità dei software presenti sui sistemi compromessi per bypassare le misure di sicurezza e acquisire privilegi elevati. Questo gli consente di eseguire il payload del ransomware, disattivare i processi di sicurezza o iniettare codice maligno nei processi legittimi. E’ utile monitorare comportamenti anomali nei processi in modo tale da riuscire a rilevare l’explotation del software. Ad esempio arresti anomali, scrittura di file sospetti sul disco o segnali di Process Injection.

[T1036] Masquerading: Rafel RAT usa tecniche di mascheramento per occultare la sua presenza o la sua origine sui sistemi compromessi. Per rilevarlo è possibile raccogliere e confrontare gli hash dei file, così come i nomi dei file sul disco e nelle risorse dei binari.

[T1486] Data Encrypted for Impact: il malware usa anche tecniche di cifratura dei dati, in modo tale da impedire l’accesso o il recupero delle informazioni sui sistemi infetti. Cripta i file, i dischi ecc. Per rilevare l’attività di cifratura dei dati, è possibile utilizzare il monitoraggio dei processi per controllare l’esecuzione e i parametri della riga di comando dei binari coinvolti nella distruzione dei dati. Inoltre, si può monitorare la creazione di file sospetti e rilevare attività insolite di modifica dei file, come un gran numero di cambiamenti nelle directory degli utenti. In alcuni casi, il monitoraggio dell’installazione di driver di kernel insoliti può essere utile per l’individuazione.

[T1565] Data Manipulation: Rafel RAT può usare tecniche di manipolazione dei dati per modificare o falsificare le informazioni sui sistemi infetti o durante la loro trasmissione. Per rilevare la manipolazione vanno ricercati i valori sospetti verificando gli hash, le posizioni e le modifiche dei file importanti.

[T1078] Valid Accounts: il malware può rubare credenziali per accedere ad account reali. Per rilevare l’uso di account legittimi, si possono configurare solide politiche di audit sull’attività degli account nell’azienda.

Quali sono le funzionalità di Rafel RAT?

1. Infostealer: Rafel RAT raccoglie dati sensibili dai sistemi attraverso tecniche di keylogging e cattura schermo;
2. Persistenza: crea attività pianificate e modifica le chiavi di registro per eseguire il malware quando si avvia il sistema;
3. Cifratura e Anti-Analisi: usa chiavi XOR per cifrare i payload e verifica la presenza di software prima di eseguire azioni malevole;
4. Ransomware: l’ultima evoluzione di Rafel RAT include capacità ransomware (cifrazione delle vittime e richiesta di un riscatto). Questa funzionalità evidenzia l’evoluzione continua delle tattiche di questi gruppi cyber.

Come mitigare il rischio di infezione

Tra le best practice da adottare per eludere il rischio di infezione, consigliamo di:

• mantenere aggiornati i sistemi operativi scaricando le patch e le ultime versioni. Nel momento in cui il dispositivo non supporta più le piattaforme mobili aggiornate, va sostituito;
• scaricare solo software e app dagli store ufficiali, in modo tale da eludere la possibilità di effettuare il download di app fasulle;
• evitare l’uso di reti Wi-Fi pubbliche;
• investire in misure di sicurezza robuste, grazie a soluzioni di rilevamento e risposta avanzate come l’Endpoint Detection and Response (EDR) e l’Extended Detection and Response (XDR) di Seqrite, ottime per l’analisi degli incidenti informatici e il recupero dei sistemi