Twitter, che è in procinto di essere acquisito dal CEO di Tesla Elon Musk, ha accettato di pagare 150 milioni di dollari alla Federal Trade Commission (FTC) degli Stati Uniti per risolvere le accuse di abuso di informazioni non pubbliche raccolte a fini di sicurezza per pubblicare annunci mirati.

Oltre alla sanzione pecuniaria per “aver travisato le proprie pratiche di privacy e sicurezza”, alla società è stato vietato di trarre profitto dai dati raccolti in modo ingannevole e gli è stato ordinato di informare tutti gli utenti interessati.

“Twitter ha ottenuto dati dagli utenti con il pretesto di sfruttarli a fini di sicurezza, ma poi ha finito per utilizzare i dati anche per indirizzare gli utenti con annunci pubblicitari“, ha affermato in una nota la presidente dell’FTC Lina M. Khan. “Questa pratica ha colpito più di 140 milioni di utenti di Twitter, aumentando al contempo la principale fonte di entrate di Twitter“.

Secondo una denuncia presentata dal Dipartimento di Giustizia degli Stati Uniti, Twitter nel maggio 2013 ha iniziato a imporre agli utenti l’obbligo di fornire un numero di telefono o un indirizzo e-mail per migliorare la sicurezza dell’account.

L’intenzione era apparentemente quella di aiutare gli utenti a recuperare l’accesso ai loro account bloccati e abilitare l’autenticazione a due fattori inviando una password monouso al numero di telefono o all’indirizzo e-mail registrato dopo aver effettuato l’accesso con un nome utente e una password.

Ma ciò che Twitter non è riuscito a rendere trasparente è che consentiva anche agli inserzionisti di utilizzare queste informazioni per indirizzare annunci specifici abbinandoli a indirizzi e-mail e numeri di telefono già ottenuti da altre terze parti come broker di dati.

La piattaforma di social media ha ribadito che il problema è stato affrontato a partire dal 17 settembre 2019, aggiungendo che lavorerà per effettuare investimenti per quanto riguarda “aggiornamenti operativi e miglioramenti del programma per garantire che i dati personali delle persone rimangano al sicuro e la loro privacy protetta”.

“I consumatori che condividono le loro informazioni private hanno il diritto di sapere se tali informazioni vengono utilizzate per aiutare gli inserzionisti a raggiungere i clienti“, ha affermato il procuratore statunitense Stephanie M. Hinds per il distretto settentrionale della California. “Le società di social media che non sono oneste con i consumatori su come vengono utilizzate le loro informazioni personali saranno ritenute responsabili“.

Questo sviluppo segna la seconda volta che Twitter si è accordato con la Federal Trade Commission statunitense per la protezione dei consumatori. Nel marzo 2011, ha ammesso le accuse di “ingannare i consumatori e mettere a rischio la loro privacy non salvaguardando le loro informazioni personali”, consentendo così agli hacker di ottenere il controllo amministrativo sulla piattaforma due volte nel 2009.

L’edizione 2022 del Data Breach Investigations Report di Verizon analizza un anno senza precedenti nella storia della sicurezza informatica e fa luce su alcune delle principali questioni che interessano il panorama internazionale della cybersecurity.

Particolarmente allarmante è il fatto che gli attacchi ransomware sono notevolmente aumentati con un incremento pari al 13% in un solo anno, una crescita maggiore rispetto agli ultimi 5 anni messi insieme. Mentre i criminali cercano di sfruttare forme sempre più sofisticate di malware, il ransomware continua a rivelarsi particolarmente efficace nello sfruttamento e nella monetizzazione dell’accesso illegale alle informazioni private.

Anche la criminalità organizzata continua a essere una forza pervasiva nel mondo della sicurezza informatica. Circa 4 violazioni su 5 possono essere attribuite al crimine organizzato, e gli attori esterni risultano essere circa 4 volte più propensi a causare violazioni in un’organizzazione rispetto agli attori interni.

Le crescenti tensioni geopolitiche stanno anche portando a una maggiore sofisticatezza, visibilità e consapevolezza sugli attacchi informatici legati agli stati nazionali.

“Negli ultimi anni, la pandemia ha messo in luce una serie di criticità che le aziende sono state costrette ad affrontare in tempo reale. Ma in nessun ambito, la necessità di adattarsi è più importante che nel mondo della sicurezza informatica”, ha affermato Hans Vestberg, CEO e Presidente di Verizon. Mentre continuiamo ad accelerare verso un mondo sempre più digitalizzato, soluzioni tecnologiche efficaci, solide strutture di sicurezza e una maggiore attenzione all’istruzione contribuiranno a garantire che le aziende rimangano al sicuro e che i clienti siano protetti.”

Per molte aziende, l’ultimo anno è stato dominato anche dai problemi della catena di approvvigionamento e questa tendenza si è riflessa anche nel panorama della sicurezza informatica. Il 62% degli incidenti di System Intrusion si è verificato tramite il partner di un’organizzazione. La compromissione del partner giusto è un moltiplicatore di forza per i criminali informatici e mette in evidenza le sfide che molte organizzazioni devono affrontare per proteggere la propria catena di approvvigionamento.

Parlando nel dettaglio dell’elemento umano, le persone rimangono – di gran lunga – l’anello più debole nelle difese della sicurezza informatica di un’organizzazione. Il 25% delle violazioni totali rilevate nel report 2022 è stato il risultato di attacchi di social engineering e, se si aggiungono l’errore umano e l’uso improprio, l’elemento umano rappresenta l’82% delle violazioni analizzate nell’ultimo anno.

Dave Hylender, autore principale del DBIR, commenta: “Giunto alla sua 15ª edizione, il Data Breach Investigations Report di Verizon rimane la massima autorità in termini di valutazione delle numerose minacce alla sicurezza informatica che le organizzazioni continuano a dover affrontare. E mentre il rapporto si è evoluto, i fondamenti della sicurezza rimangono gli stessi. Bisogna valutare la propria esposizione, mitigare il rischio e prendere le misure appropriate. Come spesso accade, partire da basi solide è il fattore più importante per il successo”.

Il DBIR

Il DBIR 2022 – la 15ª edizione del report – ha analizzato 23.896 incidenti di sicurezza, di cui 5.212 sono state violazioni confermate. I dati sono stati raccolti da 87 contributor, sia nazionali che internazionali, che includono forze dell’ordine e studi legali e forensi, centri CERT e ISAC fino ad agenzie governative di diversi paesi.

La versione completa e l’executive summary del Data breach Investigations Report 2022 sono disponibili nella pagina dedicata al DBIR, dov’è possibile trovare la lista completa di tutti i webinar e gli eventi su questo tema.

Il giorno prima dell’invasione dell’Ucraina da parte delle forze russe il 24 febbraio, è stato scoperto che un nuovo wiper scatenato contro un certo numero di entità ucraine. A questo malware è stato assegnato il nome “HermeticWiper” sulla base di un certificato digitale rubato da una società chiamata Hermetica Digital Ltd.

Questo wiper è notevole per la sua capacità di aggirare le funzionalità di sicurezza di Windows e ottenere l’accesso in scrittura a molte strutture di dati di basso livello sul disco. Inoltre, gli aggressori volevano frammentare i file sul disco e sovrascriverli per rendere impossibile il ripristino.

Sono emerse altre ricerche in cui sono stati utilizzati componenti aggiuntivi in ​​​​questa campagna, tra cui un worm e un tipico ransomware per fortuna mal implementato e decrittografabile.

Analisi comportamentale

Innanzitutto, quello che vediamo è un eseguibile Windows a 32 bit con un’icona che ricorda un regalo. Non è uno scherzo cinico degli aggressori, ma solo un’icona standard per un progetto GUI di Visual Studio.

Deve essere eseguito come amministratore per funzionare e non prevede tecniche di bypass dell’UAC. Come scopriremo in seguito, anche il nome del campione incide (leggermente) sulla sua funzionalità; se il nome inizia con “c” (o “C”, poiché viene automaticamente convertito in minuscolo) il sistema si riavvierà anche dopo l’esecuzione.

Una volta eseguito, funziona silenziosamente in background. Per diversi minuti potremmo non notare nulla di sospetto.

Solo se lo osserviamo utilizzando strumenti come Process Explorer, possiamo notare alcune azioni insolite. Chiamate varie a IOCTL, relativi al recupero dei dettagli sui dischi:

In che modo HermeticWiper infetta i computer?

In almeno un caso, HermeticWiper è stato distribuito ai PC Windows di un’intera organizzazione tramite criteri di gruppo di Active Directory, secondo ESET.

Le prove suggeriscono che le organizzazioni infette potrebbero essere state compromesse tramite attacchi addirittura di mesi prima. Il punto di ingresso iniziale utilizzato dagli aggressori contro le organizzazioni era lo sfruttamento di vulnerabilità senza patch sui server pubblici.

Il 15 gennaio 2022, Microsoft ha annunciato l’identificazione di una sofisticata operazione di malware destinata a più organizzazioni in Ucraina. Il malware, noto come WhisperGate, ha due fasi che corrompe il record di avvio principale di un sistema, visualizza una nota ransomware falsa e crittografa i file in base a determinate estensioni di file. Sebbene durante l’attacco venga visualizzato un messaggio di ransomware, Microsoft ha evidenziato che i dati presi di mira vengono distrutti e non sono recuperabili anche se viene pagato un riscatto.

Migliori pratiche per la difesa

Come notato in precedenza, il malware distruttivo può rappresentare una minaccia diretta per le operazioni quotidiane di un’organizzazione, con un impatto sulla disponibilità di risorse e dati critici. Le organizzazioni dovrebbero aumentare la vigilanza e valutare le proprie capacità, comprendendo pianificazione, preparazione, rilevamento e risposta, per un tale evento. 

La CISA e l’FBI esortano tutte le organizzazioni ad attuare le seguenti raccomandazioni per aumentare la propria resilienza informatica contro questa minaccia.

Potenziali vettori di distribuzione

Il malware può utilizzare strumenti di comunicazione diffusi per diffondersi, inclusi worm inviati tramite e-mail e messaggi istantanei, cavalli di Troia rilasciati da siti Web e file infetti da virus scaricati da connessioni peer-to-peer. Il malware cerca di sfruttare le vulnerabilità esistenti sui sistemi per un accesso semplice e silenzioso.

Il malware ha la capacità di colpire un’ampia gamma di sistemi e può essere eseguito su più sistemi in una rete. Di conseguenza, è importante che le organizzazioni valutino il loro ambiente per i canali atipici per la distribuzione e/o la propagazione del malware nei loro sistemi. I sistemi da valutare includono:

• Applicazioni aziendali, in particolare quelle che hanno la capacità di interfacciarsi direttamente con più host ed endpoint e avere un impatto. Esempi comuni includono:
  • Sistemi di gestione delle patch,
  • Sistemi di gestione patrimoniale,
  • Software di teleassistenza (tipicamente utilizzato dall’help desk aziendale),
  • software antivirus (AV),
  • Sistemi assegnati al personale amministrativo di sistema e di rete,
  • Server di backup centralizzati e
  • Condivisioni di file centralizzate.

Sebbene non siano applicabili solo al malware, gli attori delle minacce potrebbero compromettere risorse aggiuntive per influire sulla disponibilità di dati e applicazioni critici. Esempi comuni includono:

• Dispositivi di archiviazione centralizzati
  • Rischio potenziale: accesso diretto a partizioni e data warehouse.
• Dispositivi di rete
  • Rischio potenziale: capacità di inserire false route all’interno della tabella di routing, eliminare route specifiche dalla tabella di routing, rimuovere/modificare attributi di configurazione o distruggere firmware o file binari di sistema, il che potrebbe isolare o ridurre la disponibilità di risorse di rete critiche.