CSIRT Italia

CERT-AGID e CSIRT Italia: minacce cibernetiche a novembre

Nella settimana dal 2 all’8 novembre, il CERT-AGID ha identificato 41 campagne malevole in Italia, 26 delle quali mirate a obiettivi italiani e 15 di natura generica che hanno comunque coinvolto il territorio nazionale. Parallelamente, il CSIRT Italia ha pubblicato il report relativo ai dati rilevati durante la sua settimana cibernetica, tra cui la diffusione di un nuovo trojan bancario e una campagna malevola che sfrutta il tema dell’Agenzia per la Cybersicurezza Nazionale (ACN) per colpire gli utenti.

Temi principali delle campagne malevole in Italia

I temi sfruttati per veicolare le campagne malevole sul territorio italiano sono stati 20. Tra i principali:

Rinnovo – Argomento utilizzato nelle campagne italiane di phishing rivolte a utenti Aruba.
Ordine – Tema sfruttato in molte campagne, sia italiane che generiche, che distribuiscono i malware VIP Keylogger, Snake Keylogger, AgentTesla e Remcos.
Avvisi di sicurezza – Argomento utilizzato in una campagna generica di phishing ai danni di AVG e in due campagne di phishing italiane che sfruttano i brand Zimbra e Aruba.
Documenti – Tema sfruttato per una campagna di phishing generica ai danni di utenti Microsoft, per una italiana che simula una comunicazione di una Webmail e per una campagna italiana di phishing ai danni di utenti Telegram.

Gli altri temi sono stati utilizzati per veicolare campagne di malware e di phishing di vario tipo.

Eventi significativi:

Malspam PEC: nuova ondata italiana di email PEC malevole per distribuire il malware Vidar tramite link al download di file VBS. CERT-AGID, insieme ai gestori PEC, ha attivato misure di contrasto.
Phishing contro l’Università di Pisa: identificata una campagna di phishing che utilizza una falsa pagina con il logo dell’ateneo per sottrarre le credenziali di accesso degli utenti. La pagina fraudolenta è ospitata su un dominio Weebly. CERT-AGID ha condiviso gli indicatori di compromissione (IoC) e richiesto il takedown del sito fraudolento.
Phishing su Telegram: scoperta una campagna di phishing italiana veicolata tramite chat Telegram che tenta di impossessarsi delle sessioni degli utenti. Le vittime ricevono messaggi che invitano a cliccare su un link. Dettagli sono stati diffusi sul canale Telegram ufficiale del CERT-AGID.

Malware della settimana

Le famiglie di malware che hanno colpito il Paese sono state otto. Tra le campagne malware più rilevanti:

AgentTesla – Diffuso tramite email a tema “Ordine” e “Preventivo” con allegati ZIP e TAR.
FormBook – Rilevato in una campagna italiana a tema “Contratti”, diffuso tramite email con allegati IMG.
Vidar – Distribuito via PEC a tema “Pagamenti” con link al download di VBS.
Irata –Scoperta una campagna italiana a tema “Bankin” che veicola l’APK malevolo tramite SMS.
Remcos – diffuso tramite una campagna generica a tema “Ordine”, via email con allegato RAR.
VIPKeylogger – Diffuso tramite campagna italiana a tema “Ordine”, via email con allegato DOC.
BingoMod – Sfrutta il tema “Banking” e veicola l’APK malevolo tramite SMS.
Snake Keylogger – Distribuito tramite email a tema “Ordine” con allegato Z.

I brand sfruttati nelle campagne di phishing sono stati 17, con prevalenza per Aruba, Zimbra, Microsoft e Webmail generica.

Aggiornamenti dal CSIRT Italia

Il CSIRT Italia ha pubblicato il report delle notizie relative alla diffusione in Italia del nuovo trojan bancario denominato “ToxicPanda” e della campagna malevola che sfrutta il nome dell’Agenzia per la Cybersicurezza Nazionale (ACN), nonché di tutti gli aggiornamenti di sicurezza segnalati per diversi prodotti, tra cui Palo Alto Networks, Google, Synology, Veeam, Netgear, Cisco, Android, e QNAP. In particolare, è stato segnalato l’aumento di rischio per vulnerabilità (CVE) nei seguenti prodotti:

Ivanti CSA: CVE-2024-8963
IBM Operational Decision Manager: CVE-2024-22319
Plugin WordPress “Paid Memberships Pro”: CVE-2023-23488 (PoC disponibile)

Raccomandazioni

CERT-AGID ha condiviso con gli enti accreditati 255 indicatori di compromissione per aiutare nella prevenzione e nel contrasto delle minacce. Il CSIRT Italia raccomanda di aggiornare i prodotti coinvolti per ridurre il rischio di attacchi.

Per maggiori dettagli, si rimanda ai seguenti link:

https://cert-agid.gov.it/news/sintesi-riepilogativa-delle-campagne-malevole-nella-settimana-del-2-8-novembre/

https://www.csirt.gov.it/contenuti/la-settimana-cibernetica-del-10-novembre-2024

L'articolo CERT-AGID e CSIRT Italia: minacce cibernetiche a novembre proviene da Rivista Cybersecurity Trends.

Mozilla rilascia aggiornamenti per vulnerabilità in Thunderbird

Mozilla ha rilasciato una serie di aggiornamenti di sicurezza per il popolare client di posta elettronica Thunderbird, dopo aver individuato una vulnerabilità di gravità “alta” che potrebbe mettere a rischio la sicurezza degli utenti.

La vulnerabilità, identificata come CVE-2024-11159, è di tipo “Information Disclosure” e potrebbe permettere l’esposizione di informazioni sensibili se sfruttata da un malintenzionato.

Le versioni di Thunderbird interessate includono la 132.x, precedenti alla 132.0.1, e la 128.4.x, prima della 128.4.3. Gli utenti che utilizzano queste versioni sono quindi fortemente incoraggiati ad aggiornare tempestivamente il loro software per evitare potenziali rischi.

Per mitigare il problema, Mozilla ha rilasciato gli aggiornamenti necessari e ha esortato tutti gli utenti di Thunderbird a seguire le istruzioni fornite nei bollettini di sicurezza. Il CSIRT Italia, in linea con le dichiarazioni del vendor, raccomanda di aggiornare i prodotti vulnerabili per evitare exploit.

https://www.csirt.gov.it/contenuti/mozilla-vulnerabilita-nel-software-thunderbird-al01-241114-csirt-ita

L'articolo Mozilla rilascia aggiornamenti per vulnerabilità in Thunderbird proviene da Rivista Cybersecurity Trends.

Zoom: scoperte 6 vulnerabilità

Sono state rilevate sei nuove vulnerabilità nei prodotti Zoom, tra cui due classificate come ad “alta gravità”. Queste vulnerabilità potrebbero consentire di ottenere privilegi elevati o di bypassare i meccanismi di sicurezza nelle istanze colpite.

Tipologia di vulnerabilità

Elevazione di privilegi (Privilege Escalation)
Bypass delle restrizioni di sicurezza

Prodotti e versioni interessate

Le vulnerabilità riguardano diverse versioni precedenti alla 6.2.0 dei seguenti prodotti Zoom:

Meeting SDK for Android, versioni precedenti alla 6.2.0
Meeting SDK for iOS, versioni precedenti alla 6.2.0
Meeting SDK for Linux, versioni precedenti alla 6.2.0
Meeting SDK for macOS, versioni precedenti alla 6.2.0
Meeting SDK for Windows, versioni precedenti alla 6.2.0
Rooms Client for iPad, versioni precedenti alla 6.2.0
Rooms Client for macOS, versioni precedenti alla 6.2.0
Rooms Client for Windows, versioni precedenti alla 6.2.0
Rooms Controller for Android, versioni precedenti alla 6.2.0
Rooms Controller for Linux, versioni precedenti alla 6.2.0
Rooms Controller for macOS, versioni precedenti alla 6.2.0
Rooms Controller for Windows, versioni precedenti alla 6.2.0
Video SDK for Android, versioni precedenti alla 6.2.0
Video SDK for iOS, versioni precedenti alla 6.2.0
Video SDK for Linux, versioni precedenti alla 6.2.0
Video SDK for macOS, versioni precedenti alla 6.2.0
Video SDK for Windows, versioni precedenti alla 6.2.0
Workplace App for Android, versioni precedenti alla 6.2.0
Workplace App for iOS, versioni precedenti alla 6.2.0
Workplace App for Linux, versioni precedenti alla 6.2.0
Workplace App for macOS, versioni precedenti alla 6.2.0
Workplace App for Windows, versioni precedenti alla 6.2.0
Workplace VDI Client for Windows, versioni precedenti alla 6.1.12 (6.0.14 esclusa)

Il CSIRT Italia, in linea con le dichiarazioni del vendor, raccomanda di applicare le azioni di mitigazione fornite dal produttore, seguendo le istruzioni disponibili nel bollettino di sicurezza.

https://www.csirt.gov.it/contenuti/vulnerabilita-in-zoom-al04-241114-csirt-ita

L'articolo Zoom: scoperte 6 vulnerabilità proviene da Rivista Cybersecurity Trends.

CSIRT Italia avvisa: smishing a tema Hype

Il CSIRT Italia ha rilevato un riacutizzarsi di una campagna di phishing a tema Hype, già trattata nel bollettino AL02/240925/CSIRT-ITA. Questo attacco informatico viene perpetrato tramite SMS, con l’obiettivo di sottrarre le credenziali d’accesso ai servizi bancari delle vittime.

L’SMS, che sembra provenire da una numerazione legittima, invita l’utente a cliccare su un link per verificare la propria identità sul portale del’’istituto finanziario al fine di evitare il blocco del conto bancario.

Se la vittima clicca sul link, dopo un breve “splash screen” che simula l’app mobile ufficiale, viene presentato un form di login falso per raccogliere le credenziali bancarie. Proseguendo con l’inserimento dei dati, l’utente riceve un messaggio di errore che afferma che il login non è andato a buon fine, con la rassicurazione di essere ricontattato da un operatore per risolvere il problema. Questo passaggio è spesso utilizzato per raccogliere ulteriori informazioni necessarie all’accesso sul sito dell’istituto di credito.

Per proteggersi da questi attacchi, il CSIRT Italia consiglia alle organizzazioni e agli utenti di adottare le seguenti misure:

fornire periodiche sessioni di formazione finalizzate a riconoscere il phishing, lo smishing e il vishing, diffidando da comunicazioni inattese;
evitare di inserire i propri dati sensibili su portali di cui non si conosce l’affidabilità;
evitare di dar seguito a comunicazioni di questo tipo;
segnalare comunicazioni similari alla Polizia Postale e a questo CSIRT.

Inoltre, si consiglia di implementare gli Indicatori di Compromissione (IoC) sui propri sistemi di sicurezza per monitorare eventuali attività malevole.

Per maggiori dettagli, è possibile consultare il bollettino completo sul sito ufficiale del CSIRT Italia.

https://www.csirt.gov.it/contenuti/smishing-nuova-campagna-a-tema-hype-al01-241115-csirt-ita

L'articolo CSIRT Italia avvisa: smishing a tema Hype proviene da Rivista Cybersecurity Trends.

Campagna di smishing: falsi SMS a nome INPS

È stata rilevata una nuova campagna di smishing che sfrutta indebitamente i nomi e i loghi riferibili ai servizi erogati dell’Istituto Nazionale della Previdenza Sociale (INPS), puntando a carpire dati sensibili degli utenti tramite SMS ingannevoli.

I malintenzionati inviano messaggi di testo che simulano comunicazioni ufficiali da parte di INPS, avvisando il destinatario della necessità di aggiornare il proprio profilo per evitare la sospensione dei benefici dell’Istituto.

Il testo diffuso è il seguente: “INPS INFORMA: Il tuo profilo INPS va aggiornato, rinnova i tuoi dati per evitare la sospensione da INPS, per continuare (link)”.

Qualora cliccato sul link, l’utente viene reindirizzato a una pagina web che replica l’aspetto dei portali ufficiali INPS, completa di loghi e riferimenti riconducibili ai servizi erogati da INPS. Qui, dopo aver inserito i parametri “nome” e “cognome” vengono presentate una serie di pagine malevole nelle quali si richiede di caricare documenti in formato digitale, quali carta di identità (fronte/retro) e persino un selfie con il documento visibile, per “confermare la corretta identità della vittima”.

Il CSIRT Italia raccomanda utenti e organizzazioni di verificare scrupolosamente le comunicazioni ricevute e attivare le seguenti misure aggiuntive:

fornire periodiche sessioni di formazione finalizzate a riconoscere il phishing, diffidando da comunicazioni inattese ed accertandosi di immettere le proprie credenziali esclusivamente su siti leciti;
evitare di inserire i propri dati sensibili su portali di cui non si conosce l’affidabilità;
verificare scrupolosamente i mittenti delle comunicazioni ricevute e la relativa attendibilità;
evitare di dar seguito a comunicazioni di questo tipo.

Infine, raccomanda di valutare l’implementazione sui propri apparati di sicurezza degli Indicatori di Compromissione (IoC) forniti in allegato sito del CSIRT Italia al seguente link.

https://www.csirt.gov.it/contenuti/rilevata-nuova-campagna-di-smishing-a-tema-inps-al03-241120-csirt-ita

L'articolo Campagna di smishing: falsi SMS a nome INPS proviene da Rivista Cybersecurity Trends.

Phishing: campagna malevola a tema Arma dei Carabinieri

È stata individuata una campagna di phishing che utilizza in modo fraudolento il nome e il logo dell’Arma dei Carabinieri. Le e-mail incriminate, con mittente “carabinieri.assistenzaservizio@gmail.com”, sono scritte in italiano e mirano a trarre in inganno gli utenti con un contenuto ingannevole che simula una comunicazione ufficiale.

Nel corpo del messaggio, si fa riferimento a presunti procedimenti penali a carico del destinatario e si invita a consultare con urgenza un documento allegato. Questo documento, presenta i loghi dell’Arma dei Carabinieri e del Ministero della Difesa, nonché una falsa firma dell’ex Comandante dell’Arma. Nel documento si fornisce all’utente la comunicazione di un presunto “procedimento legale” a suo carico relativo a contenuti pedopornografici, e si invita a rispondere con urgenza per evitare conseguenze legali dovute a un mancato riscontro. L’obiettivo è quello di sottrarre dati sensibili alla vittima.

Per proteggersi da attacchi di questo tipo, il CSIRT Italia consiglia agli utenti e alle organizzazioni di verificare scrupolosamente le e-mail ricevute e adottare le seguenti misure preventive:

fornire periodiche sessioni di formazione finalizzate a riconoscere il phishing, diffidando da comunicazioni inattese;
evitare di fornire i propri dati sensibili a soggetti di dubbia affidabilità;
verificare scrupolosamente i mittenti delle comunicazioni ricevute e la relativa attendibilità;
evitare di dar seguito a comunicazioni di questo tipo;
segnalare comunicazioni similari alla Polizia Postale e al CSIRT Italia.

Infine, il CSIRT Italia raccomanda di valutare la verifica e l’implementazione sui propri apparati di sicurezza degli Indicatori di Compromissione (IoC), forniti in allegato alla seguente comunicazione ufficiale.

https://www.csirt.gov.it/contenuti/campagna-malevola-a-tema-arma-dei-carabinieri-al02-241203-csirt-ita

L'articolo Phishing: campagna malevola a tema Arma dei Carabinieri proviene da Rivista Cybersecurity Trends.

Campagna di phishing a tema “iCloud”

È in corso una campagna di phishing mirata a sottrarre informazioni personali, inclusi gli estremi delle carte di credito, sfruttando il tema del servizio iCloud di Apple.

La truffa, segnalata dal CSIRT Italia, viene diffusa tramite e-mail che promette un presunto premio: la possibilità di ottenere gratuitamente spazio di archiviazione aggiuntivo su iCloud. Tuttavia, cliccando sul link presente nella comunicazione, le vittime vengono indirizzate verso un portale fraudolento dove si offre una promozione di 50 GB di spazio aggiuntivo a soli 2€ l’anno, in contrasto con quanto dichiarato nel corpo del testo dell’e-mail.

Se l’utente clicca sul link “Ricevi 50 GB”, gli vengono richiesti dati sensibili, come informazioni personali ed estremi della carta di credito. Inoltre, qualora inseriti i dati richiesti, una pagina di caricamento simula un tentativo di pagamento non andato a buon fine, visualizzando un messaggio con possibili cause che hanno portato all’errore della transazione. In questa pagina risulta anche una chat di supporto automatizzata gestita tramite bot che invita le vittime a fornire ulteriori dati, suggerendo l’uso di altre carte e reindirizzando a portali di pagamento alternativi, anch’essi fraudolenti.

Per difendersi da questa campagna di phishing, il CSIRT Italia raccomanda agli utenti e alle organizzazioni di verificare scrupolosamente le e-mail ricevute e attivare le seguenti misure aggiuntive:

fornire periodiche sessioni di formazione finalizzate a riconoscere il phishing diffidando da comunicazioni inattese;
verificare il dominio delle e-mail ricevute: eventuali mail legittime provengono dai domini ufficiali;
non accedere a collegamenti internet o a relativi contenuti esterni se non si è certi dell’affidabilità della risorsa;
accertarsi della legittimità dei siti che richiedono l’inserimento dei propri dati personali.

Infine, è consigliato implementare gli Indicatori di Compromissione (IoC) sui propri apparati di sicurezza forniti in allegato nel seguente avviso ufficiale.

https://www.acn.gov.it/portale/en/w/phishing-campagna-a-tema-icloud-

L'articolo Campagna di phishing a tema “iCloud” proviene da Rivista Cybersecurity Trends.

Campagna di smishing a tema INPS

Il CSIRT Italia ha pubblicato un avviso in merito a una nuova campagna di smishing che sfrutta nomi e loghi riferibili all’Istituto Nazionale della Previdenza Sociale (INPS) per trarre in inganno gli utenti.

Il testo dell’SMS avvisa circa la necessità di aggiornare i propri dati personali per evitare la sospensione dei benefici erogati dall’INPS. La comunicazione include un link apparentemente legittimo, ma in realtà fraudolento. Il messaggio si presenta in questo modo: “INPS informa che per continuare a ricevere Pagamenti e servizi INPS dovra confermare i dati in nostro possesso link: https://inps-verifica-utenti.it”.

Nonostante la presenza del protocollo HTTPS, l’URL è falso, e il testo contiene errori grammaticali che possono servire come indizio della frode.

Nel caso in cui l’utente clicca sul link, viene reindirizzato verso una landing page che riporta loghi e riferimenti dell’INPS, progettata per carpire informazioni sensibili della vittima.

Dopo aver inserito nome e cognome, data di nascita, codice fiscale, telefono e email, si richiede l’upload in formato digitale della carta di identità (fronte/retro) e un selfie con il documento di identità visibile, al fine di confermare la corretta identità della vittima.

Il CSIRT Italia raccomanda agli utenti e alle organizzazioni di prestare massima attenzione a messaggi di questo tipo e attivare le seguenti misure aggiuntive:

fornire periodiche sessioni di formazione finalizzate a riconoscere il phishing, diffidando da comunicazioni inattese ed accertandosi di immettere le proprie credenziali esclusivamente su siti leciti;
evitare di inserire i propri dati sensibili su portali di cui non si conosce l’affidabilità;
verificare scrupolosamente i mittenti delle comunicazioni ricevute e la relativa attendibilità;
evitare di dar seguito a comunicazioni di questo tipo.

Infine, si raccomanda di valutare l’implementazione sui propri apparati di sicurezza degli Indicatori di Compromissione (IoC) forniti in allegato nella pagina ufficiale del CSIRT Italia.

https://www.acn.gov.it/portale/en/w/rilevata-nuova-campagna-di-smishing-a-tema-inps

L'articolo Campagna di smishing a tema INPS proviene da Rivista Cybersecurity Trends.