Europa Orientale sotto cyberattacco

A settembre i cyberattacchi nei Paesi dell’Europa orientale sono aumentati in maniera esponenziale. Lo segnala Check Point Research (CPR), la divisione di Threat Intelligence di Check Point Software Technologies, che ha pubblicato il suo ultimo Global Threat Index, relativo al mese di settembre.

Nello specifico, CPR riporta che l’infostealer Vidar ha scalato sette posizioni rispetto ad agosto, e ora occupa l’ottavo posto. Formbook rimane il malware più diffuso nel mondo, con un impatto del 3% delle organizzazioni, mentre in Italia è al terzo posto con una percentuale simile (2,66%). Rispettivamente con l’8% e il 7%, BLINDINGCAN e AgentTesla, sono i malware più diffusi in Italia.

Vidar è un infostealer progettato per fornire agli hacker un accesso backdoor, consentendo loro di rubare informazioni bancarie, credenziali di accesso, indirizzi IP, cronologia del browser e criptowallet dai dispositivi infetti. L’aumento della sua diffusione fa seguito a una campagna malevola in cui sono stati utilizzati falsi siti web di Zoom, come zoomus[.]website e zoom-download[.]space, per attirare gli utenti a scaricare il malware.

Dall’inizio della guerra tra Russia e Ucraina, CPR ha continuato a monitorare l’impatto dei cyberattacchi in entrambi i Paesi. Mentre il conflitto si intensifica, è stato rilevato un cambiamento significativo nel “grado di minaccia” di molti Paesi dell’Europa orientale. Il grado di minaccia rappresenta quanto un’organizzazione viene attaccata in un determinato Paese rispetto al resto del mondo. Nel mese di settembre, l’Ucraina è salita di 26 posizioni, la Polonia e la Russia di 18 posizioni ciascuna e la Lituania e la Romania di 17, tra gli altri. Tutti questi Paesi si trovano ora nella top 25.

Come commentato in una nota ufficiale da Maya Horowitz, VP Research di Check Point: «Mentre la guerra è in atto, se ne combatte un’altra, quella nel cyberspazio. Probabilmente non è una coincidenza che il grado di minaccia di molti Paesi dell’Europa orientale sia aumentata nell’ultimo mese. Tutte le organizzazioni sono a rischio e devono passare a una strategia di cybersecurity prevention-first prima che sia troppo tardi. In termini di malware più diffusi a settembre, è interessante vedere Vidar salire nella top ten dopo una lunga assenza. Gli utenti che utilizzano Zoom devono stare attenti ai link fraudolenti, perché è così che il malware Vidar è stato distribuito ultimamente. Tenete sempre d’occhio le incongruenze o gli errori di scrittura negli URL. Se sembra sospetto, probabilmente lo è».

I tre malware più diffusi del mese di settembre:

* Le frecce si riferiscono al cambio di classifica rispetto al mese precedente

Questo mese, Formbook è ancora il malware più diffuso, con un impatto del 3% sulle organizzazioni a livello mondiale, seguito da XMRig e AgentTesla, entrambi con un impatto del 2%.

1. ↔ Formbook – un infostealer che colpisce il Sistema Operativo Windows, identificato per la prima volta nel 2016. È sul mercato, nei forum di hacker underground, come Malware-as-a-Service (MaaS) per le sue efficaci tecniche di evasione e il suo prezzo relativamente basso. FormBook è in grado di prelevare le credenziali da diversi browser web, raccogliere screenshot monitorare e registrare sequenze di tasti, e può scaricare ed eseguire file in base agli ordini del suo C&C.
2. ↑ XMRig – un software CPU open-source utilizzato per estrarre criptovaluta Monero. I cyber criminali spesso abusano di questi software open-source integrandoli nei loro malware per effettuare azioni illecite di mining sui dispositivi delle vittime.
3. ↓ AgentTesla – un RAT avanzato che funziona come un keylogger che ruba informazioni ed è in grado di monitorare e raccogliere l’input della tastiera della vittima e la tastiera del sistema, acquisendo screenshot, ed esfiltrando le credenziali a una varietà di software installati sulla macchina della vittima (tra cui Google Chrome, Mozilla Firefox e Microsoft Outlook).

I settori più attaccati a livello globale per il mese di settembre:

Questo mese il settore istruzione e ricerca è rimasto al primo posto come settore più attaccato a livello globale, seguito da quello governativo/militare e da quello sanitario.

1. Education/Research
2. Government/Military
3. Healthcare

In Italia:

1. Education/Research
2. Software vendor
3. Finance/Banking

Le tre vulnerabilità più sfruttate del mese di settembre a livello mondiale:

Questo mese, “Web Server Exposed Git Repository Information Disclosure” è la vulnerabilità più sfruttata, con un impatto del 43% sulle organizzazioni a livello globale. È seguita da “Apache Log4j Remote Code Execution”, che è scesa al secondo posto e ha un impatto sul 42% delle organizzazioni. “Command Injection Over http” sale al terzo posto, con un impatto globale del 40%.

1. ↑ Web Server Exposed Git Repository Information Disclosure – una vulnerabilità di diffusione delle informazioni segnalata in Git Repository. Uno sfruttamento riuscito di questa vulnerabilità potrebbe consentire una divulgazione non intenzionale di informazioni sull’account.
2. ↓ Apache Log4j Remote Code Execution (CVE-2021-44228) – una vulnerabilità di esecuzione di codice remoto esistente in Apache Log4j. Uno sfruttamento a buon fine potrebbe permettere ad un hacker di eseguire codice arbitrario sul sistema interessato.
3. ↑ Command Injection Over HTTP (CVE-2021-43936, CVE-2022-24086) – un hacker da remoto può sfruttare questo problema inviando una richiesta appositamente creata alla vittima. Uno sfruttamento riuscito consentirebbe a un aggressore di eseguire codice arbitrario sul computer di destinazione.

I malware mobile più diffusi di settembre:

Questo mese, Anubis è salito al primo posto come malware mobile più diffuso, seguito da Hydra e Joker.

1. Anubis – un banking trojan progettato per Android. Da quando è stato rilevato, ha acquisito ulteriori funzioni, tra cui essere un trojan ad accesso remoto (RAT), keylogger, avere la capacità di registrazione audio e varie funzionalità ransomware. È stato rilevato in centinaia di app disponibili su Google Store.
2. Hydra – un banking trojan progettato per rubare credenziali finanziarie chiedendo alle vittime di abilitare autorizzazioni pericolose.
3. Joker – un Android spyware presente su Google Play, progettato per rubare messaggi SMS, contatti e informazioni sul dispositivo. Inoltre, il malware può anche far iscrivere la vittima a servizi premium a pagamento senza che questa ne sia consapevole.

Il Global Threat Impact Index di Check Point e la sua ThreatCloud Map sono alimentati dalla ThreatCloud intelligence di Check Point. ThreatCloud fornisce in tempo reale informazioni sulle minacce derivate da centinaia di milioni di sensori in tutto il mondo, su reti, endpoint e cellulari. È arricchita da motori AI-based e da dati esclusivi di Check Point Research, il braccio di intelligence e ricerca di Check Point Software Technologies.

La lista completa delle 10 famiglie di malware più attive nel mese di settembre è disponibile sul blog.