Da marzo di quest’anno gli analisti hanno evidenziato differenti bug su Teams, il popolare strumento di collaborazione di Microsoft. Lo strumento della società di Redmond è divenuto in tempi di pandemia molto popolare e per questo molto attraente per gli agenti di minaccia. Non è dunque un caso che diverse campagne (l’ultima molto recente con il coinvolgimento di diverse decine di migliaia di utenti) abbiano mirato a tecnologie collegate come Office 365 attraverso un phishing che si presenta con un oggetto molto eloquente: "C'è una nuova attività in Teams". Un messaggio naturalmente che vuole fare intendere di essere stato generato da notifica automatica proprio di Microsoft Teams. Cosa c’è sotto? 

Probabilmente proprio quei bug che sono stati individuati e ancora (alcuni) non risolti da Microsoft. Facciamo ordine; i bug in questione sono: 

- un bug che consente la falsificazione degli URL nella funzione di “anteprima dei collegamenti” capace di divenire strumento per attacchi di phishing o per nascondere collegamenti dannosi nei contenuti inviati agli utenti. Essenzialmente questo può essere fatto impostando la destinazione del collegamento di anteprima "su qualsiasi posizione indipendente dal collegamento principale, dall'immagine di anteprima e dalla descrizione, dal

L’emergere di un PoC che dimostra lo sfruttamento di alcuni bugs in Windows Active Directory ha creato una certa urgenza nell’applicare correttivi a questi bugs. Si tratta di correttivi già predisposti da Microsoft lo scorso mese. L’implementazione funzionante del PoC è stata resa disponibile su GitHub a poche settimane dal rilascio della patch: questo atto ha innescato il criterio di urgenza. 

È così che Microsoft è stata costretta a lanciare (lo scorso lunedì) una allerta ai sui clienti, perché predispongano urgentemente la correzione alle vulnerabilità collegate al PoC. È risaputo(anche da Microsoft) il cronico ritardo che molti utenti aziendali hanno nell’aggiornare il loro asset, esponendosi così a rischi derivanti da minacce fin troppo note, ma anche facilmente evitabili.  

Le vulnerabilità oggetto di tutto questo interesse sono state registrate come CVE-2021-42287 e CVE-2021-42278 (con gravità 7.5), e come detto già corrette da Microsoft con l’aggiornamento “November 2021 Patch Tuesday”. Le vulnerabilità consentono all’attaccante di

Avevamo già parlato di uno scivolone simile operato da Microsoft, e in qualche misura avevamo predetto la inevitabilità di eventi di tal genere. 

Con la versione 2.15 di log4j appena rilasciata (che ci aveva tranquillizzato), ecco emergere la conoscenza di differenti mutazioni dell’attacco, ed in particolare un vettore di attacco che potrebbe sfruttare Log4Shell rompendo anche il limite dei soli servizi esposti in rete come obiettivi possibili. In questo caso, tramite un server vulnerabile (strategia watering hole), un attaccante potrebbe fare innescare tramite un URL l’attivazione (silente all’utente) di una Javascript WebSocket al caricamento della pagina e porre questa in comunicazione con una destinazione esterna tramite una connessione JNDI: questo perché le WebSocket non rispettano la Same-Origin-Policy. A differenza di altre varianti osservate, questo caso è solo una PoC, quindi una idea e non una certezza, ma un brivido corre lungo la schiena. 

Ma ancora una volta non si fa

Molte realtà hanno la cattiva abitudine di amministrare le proprie infrastrutture direttamente da Internet, esponendo interfacce amministrative direttamente nel cyberspazio e così facendo esponendosi alle potenziali ed inevitabili conseguenze. 

È quello che è stato possibile per un lungo periodo e su differenti versioni (dalla 2010 alla 2019 upd 4) di Microsoft Exchange Server per la vulnerabilità CVE-2020-0688 (di cui Microsoft ha rilasciato correzione nel febbraio del 2020) quando si rendesse esposto Exchange Control Panel (ECP, uno degli strumenti amministrativi Web che si sono susseguiti nella storia evolutiva di Exchange). Questo poteva rendere possibile, mediante la precedente vulnerabilità (Microsoft Exchange Memory Corruption Vulnerability), di ottenere una remota code execution (RCE). 

La medesima strategia è stata ora utilizzata in un nuovo attacco sviluppato a partire dall’esecuzione remota di uno script PowerShell capace di impiantare un modulo per Internet Information Services (IIS, la suite di software per server Web/hosting Web di Microsoft) con

Non si rammentava una vulnerabilità così grave dalla scoperta di Heartbleed (che permetteva di ottenere informazioni da protocollo sicuro come SSL/TLS) e Shellshock (che consentiva di eseguire codice su una macchina remota attraverso la Bash shell). 

Non solo per gravità, ma anche in termini di dimensione. 

La nuova vulnerabilità raggiunge infatti un Base CVSS Score tondo tondo di 10.0; si tratta della vulnerabilità censita come CVE-2021-44228 e che colpisce la libreria Log4j, software della Apache Foundation per la gestione dei messaggi di log nelle applicazioni Java. 

Ma la dimensione del fenomeno è straordinaria vista anche la condizione di utilizzo di questa libreria: si tratta infatti della libreria più utilizzata in assoluto dalle applicazioni web per la gestione delle registrazioni eventi (log) in questo contesto, pertanto il numero di implementazioni concrete è certamente esplosivo. 

Inizialmente individuata sui server del gioco Minecraft, è stata poi individuata su server di altri giochi come Steam, ma anche più minacciosamente sui server di Apple iCloud, e chissà dove altro ancora. 

Mentre è chiaro lo sfruttamento possibile sui

Non si ferma lo sfruttamento di dispositivi IoT (Internet of Things) per la costituzione di botnet. 

Benché già nota e corretta dal vendor, una vulnerabilità consente ancora oggi l’assorbimento in una botnet di numerosi dispositivi ancora vulnerabili di prodotti NVR (Network Video Recorder) di Hikvision, un grande produttore di prodotti di videosorveglianza con base in Cina. 

La campagna è ancora molto attiva e viene portata avanti mediante una botnet derivazione della conosciutissima Mirai e nota con il nome di Moobot. 

Come rilevato dai ricercatori di FortiGuard Labs, la botnet di questa campagna sfrutta una vulnerabilità nota dei prodotti Hikvision (CVE-2021-36260) che consente l’esecuzione remota di codice (RCE), pertanto è ovvio che, come primo obiettivo dello sfruttamento della stessa, la prima azione applicata contro l’obiettivo sia quella di iniettare il malware Moobot stesso per la propagazione della botnet stessa. L’assimilazione è così avvenuta, ed il destino del dispositivo è così legato alla botnet. 

Moobot, abbiamo detto, è una variante di Mirai (storico malware open-source e potentissima botnet per IoT) con tracce del codice Satori (una delle varianti Mirai note), ma

Non bastava la minaccia reale? Ora la paura torna a correre anche nel cyberspazio. 

Ancora non è chiara la vera natura della nuova variante Omicron del SARS-CoV-2 (noto a tutti come COVID-19), che già si fa ben evidente la rinnovata virulenza degli agenti di minaccia che intendano sfruttare la pandemia e la paura che ne consegue per i loro sporchi affari. 

La pandemia è terreno di differenti scontri ideologici che tutti noi conosciamo, ma fuori dai riflettori dei canali mainstream è successo ben altro: con l’abilità che li contraddistingue e la facile debolezza di molti indotti dal senso di ansia che attanaglia il mondo, gli agenti di minaccia si sono fin da subito contraddistinti in ingegnose campagne di attacco a tema COVID-19, con tecniche classiche di ingegneria sociale. 

Già con l’arrivo dei primi vaccini non sono mancate campagne a tema, così come quando è stato lanciato il Covid Pass (per noi Green Pass). Si pensi che in soli 3 mesi a cavallo tra il 2020 e il 2021 si è avuto un incremento pari al 26% delle campagne a tema Covid (fonte Barracuda Networks) e oltre 290 domini pericolosi che

Le procedure di sviluppo software possono facilmente fallire nel garantire la qualità del prodotto quando si procede “in emergenza”, ossia per correre ai ripari rispetto a qualche anomalia riscontrata nel software, in special modo quando questa anomalia riguarda la sicurezza. 

Il fallimento è ancora più grave quando, per correggere un problema, se ne introduca un altro. 

È esattamente quello che è capitato a Microsoft lo scorso mese, quando è incappata in un simile errore durante la soluzione di un altro problema di sicurezza. In particolare le correzioni che si intendeva porre, pur correggendo il problema originale, hanno introdotto (con la patch rilasciata a novembre) un ulteriore problema di sicurezza relativamente al software Windows Installer, problema nel medesimo dominio ma non correlato al precedente bug risolto da Microsoft. Diciamo che la soluzione applicata al precedente problema non è stata semplicemente “di livello adeguato”. 

La vulnerabilità 0-Day derivante (ed il conseguente probabile exploit) in entrambi i casi si sono esplicitati in una possibilità di elevare il privilegio attraverso

Il panorama Android è variegato: la particolare licenza di questo sistema ha consentito a ciascun produttore di dispositivi mobile di costruire la propria isola felice, stringendo attorno a sé la propria clientela con servizi specifici. Tra questi anche gli store per la distribuzione di software (app). Per questo motivo, quando si parla di Android e dei software disponibili, non si può prescindere dall’esistenza di differenti canali di distribuzione. Questo risulta in una difficoltà evidente nel tracciare la presenza di malware nel panorama Android quando questi vengano diffusi mediante trojanizzazione della app diffuse via store: è necessario eseguire ricerche per ciascuno store (Google, Samsung, Huawei, ecc). 

Questa volta è toccato all’AppGallery di Huawei, non nuova a queste minacce (in aprile furono individuate applicazioni contenenti il trojan Joker, infettando più di 500 mila dispositivi): il malware in questo caso è stato denominato Android.Cynos.7.origin. 

Il nome deriva dal fatto che Android.Cynos.7.origin è una variante della piattaforma malware Cynos per la trojanizzazione delle app Android, già nota agli

Il sistema operativo mobile di Google, Android, negli ultimi anni ha raggiunto quella maturazione che ha consentito questo di tenere lontano la minaccia costituita dai malware con capacità di rooting. 

Questa capacità consente ad un malware di ottenere il privilegio amministrativo all’interno del sistema operativo, ossia concede autorizzazioni al malware che gli consentono di eseguire azioni, di modificare impostazioni e persino installare altro software (malware). In questo modo si arriva al cuore del sistema, e garantisce al malware (e quindi all’attaccante) un controllo assoluto. 

La pericolosità di questo tipo di malware è estrema: questo arsenale consente ad un agente di minaccia di condurre attacchi micidiali e mirati, in particolare godendo della capacità di violare le informazioni sensibili e/o la privacy della vittima arrivando alla sorveglianza della stessa (audio, video, GPS, ecc). 

È del tutto evidente che la ricerca di nuove opportunità per questa forma di minaccia non sia stata abbandonata. Pertanto il periodo di calma apparente non è stato