L'attacco al gasdotto coloniale: cosa abbiamo imparato e cosa abbiamo fatto negli ultimi due anni

Oggi sono trascorsi due anni da un momento spartiacque nella breve ma turbolenta storia della sicurezza informatica. Il 7 maggio 2021, un attacco ransomware a Colonial Pipeline ha fatto notizia in tutto il mondo con immagini di file serpeggianti di auto alle stazioni di servizio lungo la costa orientale e americani in preda al panico che riempivano sacchi di carburante, timorosi di non riuscire ad andare al lavoro o a portare i figli a scuola. Questo è stato il momento in cui la vulnerabilità della nostra società altamente connessa è diventata una realtà nazionale e un problema da tavolo da cucina.

La buona notizia è che da quell'evento, l'amministrazione Biden-Harris ha compiuto passi da gigante nella nostra difesa informatica collettiva, sfruttando tutto il potere del governo degli Stati Uniti per affrontare l'intero spettro della minaccia. Alla Cybersecurity and Infrastructure Security Agency (CISA), ci siamo concentrati al laser sul miglioramento della resilienza nell'infrastruttura critica della nostra nazione. Riconoscendo che le organizzazioni hanno bisogno di un modo semplice per accedere a informazioni sulla sicurezza informatica fruibili e tempestive, abbiamo sviluppato stopransomware.gov per fornire una posizione centrale per avvisi e linee guida per aziende e privati. Riconoscendo che solo una collaborazione coesa tra i governi sarà sufficiente per affrontare la minaccia, abbiamo lanciato la Joint Ransomware Task Force con i nostri partner dell'FBI per orchestrare la risposta del governo federale all'epidemia di ransomware. E riconoscendo la necessità di riunire l'industria, il governo e i partner interni e di abbattere le barriere che creano lacune per l'avversario, abbiamo istituito la Joint Cyber ​​Defense Collaborative (JCDC) , un concetto nato dalla US Cyberspace Solarium Commission, di cui uno di noi è stato Commissario, per catalizzare una comunità di esperti in prima linea nella difesa informatica, provenienti dal settore pubblico e privato, per condividere approfondimenti e informazioni in tempo reale per comprendere le minacce e ridurre i rischi per la nazione.

Sin dalla sua istituzione, il JCDC ha guidato la risposta nazionale a una delle più estese vulnerabilità software scoperte; ha svolto un ruolo centrale nella campagna Shields Up della CISA per proteggere le infrastrutture critiche da potenziali attacchi informatici russi; e, insieme ai nostri partner della Transportation Security Administration (TSA), ha riunito oltre 25 importanti operatori di oleodotti e partner di sistemi di controllo industriale per rafforzare le pratiche di sicurezza per salvaguardare le reti tecnologiche operative critiche per le operazioni di oleodotti, sforzi che completano le direttive di sicurezza emanate dalla TSA in seguito all'attacco al Colonial Pipeline. Separatamente, con il supporto del Congresso, abbiamo ampliato la nostra capacità nota come "CyberSentry" che consente una maggiore visibilità e un rilevamento più rapido delle minacce informatiche che potrebbero colpire le reti tecnologiche operative più critiche della nostra nazione. Infine, abbiamo lavorato per aiutare le organizzazioni di tutte le dimensioni e livelli di competenza a dare priorità agli investimenti di sicurezza informatica più impattanti con l'introduzione di obiettivi di performance di sicurezza informatica, o CPG .

Sebbene dovremmo accogliere con favore questo progresso, resta ancora molto lavoro da fare per garantire la sicurezza e la resilienza delle nostre infrastrutture critiche alla luce delle minacce complesse e della crescente tensione geopolitica. La US Intelligence Community ha lanciato un duro avvertimento su un potenziale futuro nella sua recente Valutazione annuale, osservando che "Se Pechino temesse che un conflitto importante con gli Stati Uniti fosse imminente, quasi certamente prenderebbe in considerazione l'idea di intraprendere aggressive operazioni informatiche contro le infrastrutture critiche della patria statunitense... La Cina è quasi certamente in grado di lanciare attacchi informatici che potrebbero interrompere i servizi infrastrutturali critici all'interno degli Stati Uniti, inclusi oleodotti e gasdotti e sistemi ferroviari".

Non possiamo permetterci di ignorare questo avvertimento. Dobbiamo fare tutto oggi per essere preparati a un simile scenario. Innanzitutto, dobbiamo garantire che la tecnologia alla base dei servizi su cui gli americani fanno affidamento ogni ora di ogni giorno sia sicura e protetta. Per troppo tempo abbiamo sacrificato la sicurezza per le funzionalità e la velocità di commercializzazione, lasciandoci sempre più vulnerabili, con il peso della sicurezza posto su coloro che sono meno in grado di sopportarlo. Come elencato in uno dei pilastri fondamentali della National Cyber ​​Strategy del Presidente, abbiamo bisogno che la sicurezza sia integrata nella creazione di nuove tecnologie, come un imperativo fondamentale, piuttosto che aggiunta alla fine, richiedendo continui aggiornamenti di sicurezza da parte dei consumatori.

In secondo luogo, dobbiamo dare priorità alla sicurezza informatica ai massimi livelli. I giorni in cui si relegava la sicurezza informatica al CIO o al CISO devono finire. I CEO e i Consigli di amministrazione devono abbracciare il rischio informatico come una questione di buona governance e dare priorità alla sicurezza informatica come imperativo strategico e abilitatore aziendale.

In terzo luogo, dobbiamo continuare a investire nel modello JCDC di collaborazione operativa persistente e proattiva tra governo e industria, in cui la norma è quella di condividere le informazioni sulle attività informatiche dannose, sapendo che una minaccia per uno è una minaccia per tutti.

Infine, dobbiamo normalizzare i rischi informatici per il pubblico in generale, riconoscendo che gli attacchi informatici sono una realtà per il prossimo futuro. Non possiamo impedire completamente che gli attacchi si verifichino, ma possiamo minimizzarne l'impatto costruendo resilienza nella nostra infrastruttura e nella nostra società. Non dobbiamo guardare oltre i nostri partner ucraini per un esempio del potere della resilienza sociale.

Questi cambiamenti non sono facili, ma dobbiamo assumerci la responsabilità delle dure lezioni apprese due anni fa. Faremo le scelte che ci porteranno a un futuro sicuro, resiliente e prospero o permetteremo all'inazione di dettare un futuro in cui la nostra sicurezza nazionale e il nostro stile di vita sono in bilico? Abbiamo dimostrato che è possibile, ma solo se agiamo ora... insieme.

https://www.cisa.gov/news-events/news/attack-colonial-pipeline-what-weve-learned-what-weve-done-over-past-two-years

NotPetya, una pietra miliare nella storia della cyberwarfare: la lezione appresa

L’attacco cyber NotPetya resta un duro monito sull’evoluzione delle minacce che si affrontano nell’era digitale: sei anni dopo, gli impatti e le lezioni imparate dal devastante attacco continuano a farsi sentire. Ecco perché

Sono passati sei anni da quando il famigerato attacco cyber NotPetya ha generato onde d’urto all’interno del panorama della cyber security. Inizialmente mascherato come un ransomware, NotPetya ha rivelato presto la sua natura distruttiva, diffondendo danni ad aziende e governi in tutto il mondo e creando perdite per miliardi di dollari.

Sei anni dopo, l’impatto dell’attacco NotPetya si sente ancora e la lezione appresa da questo episodio continua a influenzare il modo in cui ci avviciniamo alla cyber security.

La storia di NotPetya

NotPetya è apparso per la prima volta a giugno del 2017, quando si è diffuso rapidamente in diversi paesi, indirizzandosi prima di tutto verso aziende ucraine.

Tuttavia, è apparso subito evidente che questa minaccia informatica non fosse limitata a una regione specifica, perché ha infettato rapidamente sistemi in tutto il mondo.

Il malware distruttivo che inizialmente si presentava come un attacco ransomware, con vittime che ricevevano una nota per il riscatto con una richiesta di pagamento in Bitcoin per sbloccare i file criptati, ha mostrato presto che la vera intenzione di NotPetya non fosse un guadagno economico ma piuttosto la diffusione di disservizi e distruzione.

L’analisi tecnica di NotPetya

NotPetya ha impiegato una combinazione di tecniche avanzate e ha sfruttato vulnerabilità note per propagarsi e creare scompiglio.

Alla base, l’attacco ha contato sull’EternalBlue exploit (CVE-2017-0144) che ha fatto leva su una vulnerabilità nel protocollo SMB dei sistemi Windows. Questo exploit, originariamente sviluppato dalla National Security Agency (NSA) e successivamente fatto trapelare da un gruppo di hacker chiamato Shadow Brokers, permetteva l’esecuzione di codice remoto senza interazione da parte dell’utente.

Appena infettato un sistema, NotPetya impiegherebbe un processo infettivo a più fasi. Sfrutterebbe la vulnerabilità EternalBlue per ottenere un accesso iniziale per poi usare tecniche di furto della credenziale attraverso strumenti come Mimikatz per accrescere i privilegi e muoversi lateralmente nella rete. Il malware sfrutterebbe anche strumenti amministrativi legittimi, tra cui PsExec, per propagarsi attraverso sistemi interconnessi.

Il primo obiettivo di NotPetya era di interrompere le operazioni e distruggere dati piuttosto che guadagnare economicamente.

Una volta entrato nella rete, il malware scriverebbe sopra il master boot record (MBR) e la master file table (MFT), rendendo i sistemi interessati non utilizzabili per poi mostrare una richiesta di riscatto attraverso un pagamento in Bitcoin per la chiave di decrittazione.

L’indirizzo e-mail degli aggressori era stato chiuso, rendendo impossibile per le vittime comunicare e recuperare i dati.

È bene evidenziare che la patch di sicurezza per EternalBlue era stata rilasciata diversi mesi prima che l’attacco avvenisse. Le aziende che avevano diligentemente applicato gli aggiornamenti di sicurezza disponibili nei loro sistemi avrebbero ridotto significativamente la loro vulnerabilità a questo specifico attacco.

Calcolare l’impatto

L’impatto di NotPetya si è sentito in tutto il mondo, con aziende e governi di più di 60 paesi interessati. Enti globali hanno affrontato perdite finanziarie significative, con il gigante delle spedizioni Maersk che ha contato danni per 300 milioni di dollari.

Anche infrastrutture critiche, esemplificato dall’impianto di energia nucleare di Chernobyl, hanno subito interruzioni, sottolineando le conseguenze di vasta scala di questo assalto cyber.

Una delle sfide evidenziate dall’attacco NotPetya, è la difficoltà nel distinguere gli attacchi cyber come atti di guerra.

In un caso correlato, il gruppo assicurativo Zurich si è rifiutato di pagare una richiesta di risarcimento da 100 milioni di dollari per danni causati dall’attacco NotPetya, sostenendo che il ransomware era un atto di guerra, di conseguenza non coperto dalla polizza. In ogni caso, un giudice ha respinto questa argomentazione, dichiarando che la clausola che protegge Zurich dal pagare per perdite causate da azioni ostili o militari non si applicava all’attacco cyber NotPetya.

Sei anni dopo, ancora eterno

Un’analisi realizzata con l’utilizzo dell’Armis Collective Asset Intelligence indica che il numero di computer ancora vulnerabile a EternalBlue oggi è estremamente basso. Questo non sorprende se si considera che è una vulnerabilità di Windows e la natura pubblica di NotPetya.

Tuttavia, circa il 74% delle aziende oggi ha almeno un dispositivo vulnerabile nella loro rete. Con tentativi di exploit ancora in corso (Armis rileva tra poche centinaia a poche migliaia di tentativi di exploit di EternalBlue ogni giorno), usare la patch per questa vulnerabilità continua a essere importante.

Gli effetti trasformativi sulla cyberwarfare

NotPetya ha segnato un importante punto di svolta nel settore della cyberwarfare, riformulando l’idea degli attacchi informatici distruttivi.

Ha sbiadito le linee tra ransomware tradizionale e operazioni informatiche sponsorizzate dallo stato, perché l’obiettivo principale non era il guadagno economico ma l’interruzione di infrastrutture critiche e la distruzione di dati.

Questo attacco ha dimostrato il potenziale per un malware altamente distruttivo di causare interruzioni economiche e operative diffuse, ponendo rischi significativi per la sicurezza nazionale e la stabilità globale.

NotPetya: la lezione appresa

Quello che è successo con NotPetya offre importanti lezioni che persistono con noi oggi. Prima tra loro è il valore di una gestione efficace delle vulnerabilità.

NotPetya ha sfruttato una vulnerabilità nota, enfatizzando l’importanza di eseguire subito l’applicazione delle patch di sicurezza e fare valutazioni regolari sulle vulnerabilità. Una mitigazione proattiva di vulnerabilità note può significativamente ridurre il rischio di diventare vittime di simili attacchi devastanti.

Un’altra lezione importante è il potere della visibilità degli asset. Mantenere un archivio aggiornato dei sistemi in rete permette alle aziende di identificare potenziali punti deboli e prendere misure proattive per rinforzare le loro difese.

Con una visione chiara del proprio ecosistema digitale, le aziende possono rispondere in maniera rapida ed efficace alle minacce emergenti.

Infine, la segmentazione della rete gioca un ruolo essenziale nel contenere l’impatto degli attacchi cyber. Attraverso la divisione delle reti in segmenti isolati, le aziende possono limitare il movimento laterale di malware e prevenire la diffusione di danni associati ad attacchi simili a NotPetya.

L’attacco cyber NotPetya resta un duro monito sull’evoluzione delle minacce che si affrontano nell’era digitale. Sei anni e l’impatto e le lezioni imparate dal devastante attacco continuano a farsi sentire.

Le aziende devono investire in solide pratiche di cyber sicurezza, tra cui visibilità degli asset, gestione delle vulnerabilità e segmentazione della rete.

Attraverso l’adozione di un approccio proattivo e completo verso la cyber sicurezza, le aziende possono rafforzare le loro difese e mitigare i rischi posti da avversari informatici sempre più sofisticati.

https://www.cybersecurity360.it/nuove-minacce/ransomware/notpetya-una-pietra-miliare-nella-storia-della-cyberwarfare-la-lezione-appresa/

Tipi di attacchi informatici

Il panorama delle minacce informatiche è in continua evoluzione. Man mano che i cyberattaccanti diventano più abili e organizzati, anche i loro attacchi diventano più sofisticati.

Oggi le organizzazioni devono affrontare le minacce informatiche di V e VI generazione. Questi aggressori sono consapevoli dei miglioramenti apportati alla sicurezza informatica aziendale negli ultimi anni e hanno adattato i loro attacchi per aggirare e superare le difese tradizionali. Il moderno cyber attack è multivettore e utilizza un codice polimorfico per eludere il rilevamento. Di conseguenza, il rilevamento e la risposta alle minacce sono più difficili che mai.

Ransomware

Malware

Senza file

Phishing

MitM

App

DoS

Zero-day

SCONOSCIUTE

Solution

Top 8 Types of Cyber Attacks

Come se non bastasse, molte organizzazioni stanno affrontando un cambiamento improvviso e drammatico nel modo in cui svolgono il "business as usual". La pandemia COVID-19 ha spinto molte organizzazioni ad adottare una forza lavoro prevalentemente o totalmente remota, spesso senza un'adeguata preparazione. Per le organizzazioni la cui strategia di sicurezza dipendeva dal fatto che i dipendenti lavorassero dall'ufficio, adattarsi a questo nuovo stile di vita è una sfida.

Nel mondo del lavoro remoto, l'endpoint è l'obiettivo principale dei criminali informatici e la prima linea di difesa dell'organizzazione. Per proteggere la forza lavoro remota è necessario che le organizzazioni comprendano le principali minacce informatiche che i loro dipendenti devono affrontare e che dispongano di soluzioni Endpoint Security in grado di rilevare, prevenire e rimediare a questi attacchi.

All'interno delle principali minacce informatiche

I criminali informatici sono in costante innovazione e le principali minacce informatiche che le organizzazioni devono affrontare cambiano regolarmente, in quanto gli aggressori si adattano a circostanze mutevoli. Check Point Research segue costantemente le tendenze e i cambiamenti nel panorama delle minacce informatiche, e quelle che seguono sono le minacce di cui le organizzazioni dovrebbero attualmente preoccuparsi maggiormente.

1. ransomware

Il ransomware è un malware progettato per utilizzare la crittografia e costringere l'obiettivo dell'attacco a pagare una richiesta di riscatto. Una volta presente sul sistema, il malware cripta i file dell'utente e richiede un pagamento in cambio della chiave di decriptazione. Poiché i moderni algoritmi di crittografia sono infrangibili con la tecnologia disponibile, l'unico modo per recuperare i file crittografati è ripristinare i dati da un backup (se disponibile) o pagare la richiesta casuale.

Il ransomware è diventato uno dei tipi di malware più visibili e prolifici e la pandemia COVID-19 ha fornito un ambiente in cui questo tipo di malware ha prosperato. Negli ultimi anni, alcune varianti di ransomware si sono evolute per eseguire attacchi di "doppia estorsione". Maze, Sodinokibi/REvil, DopplelPaymer, Nemty e altre varianti di ransomware rubano copie dei file prima della crittografia, minacciando di violarli se l'utente si rifiuta di pagare la richiesta di riscatto. Sebbene questa tendenza sia iniziata alla fine del 2019 con Maze, ha continuato a crescere con l'adozione da parte di altri gruppi nel corso del 2020.

2. malware

Il ransomware è un tipo di malware, ma non l'unico. Il malware si presenta in una varietà di forme diverse e può essere utilizzato per raggiungere una serie di obiettivi diversi. Le varianti di malware possono essere progettate per fare qualsiasi cosa, dalla raccolta e dal furto di informazioni sensibili alla presentazione di annunci pubblicitari indesiderati, fino a causare danni permanenti a una macchina infetta.

I tipi di malware più comuni variano da un anno all'altro, poiché i diversi tipi di attacchi diventano più o meno redditizi per gli aggressori. Nel 2020, le forme più comuni di malware includevano:

Cryptominer: Un malware che utilizza il computer della vittima per estrarre criptovalute e realizzare un profitto per l'aggressore.

Malware mobile: Malware che prende di mira i dispositivi mobili, tra cui applicazioni dannose e attacchi che sfruttano le app di SMS e social media.

Malware di botnet: Un malware che infetta un sistema e lo aggiunge a una botnet, dove partecipa a cyberattacchi e altre attività illegali sotto il comando del controllore della botnet.

Infostealer: Il malware raccoglie informazioni sensibili da un computer infetto e le invia all'operatore del malware.

Trojan bancari: Un malware che mira specificamente alle informazioni finanziarie e tenta di rubare le credenziali dei siti web bancari e informazioni simili.

ransomware: Un malware che cripta i file sul computer dell'utente e richiede il pagamento della chiave di decriptazione.

Mentre l'elenco dei "sei principali" tipi di malware rimane costante in tutto il mondo, la percentuale di malware di ciascun tipo varia da una regione geografica all'altra.

Ad esempio, come descritto nel report di Check Pointcyber attack Trends: 2020 Mid-Year, la regione EMEA è l'unica in cui il malware botnet è più comune del malware che colpisce i dispositivi mobili. In altre regioni, le classifiche rimangono costanti, ma le percentuali relative possono variare.

3. Attacchi senza file

Le soluzioni antivirus di solito tentano di rilevare il malware su un dispositivo ispezionando ogni file sul dispositivo alla ricerca di segni di contenuto dannoso. Il malware senza file tenta di aggirare questo approccio al rilevamento delle minacce non utilizzando un file. Invece, il malware viene implementato come una serie di comandi alle funzioni integrate nel computer infetto. Questo permette al malware di raggiungere gli stessi obiettivi, ma può renderlo più difficile da rilevare per alcune soluzioni difensive.

Il principale elemento di differenziazione del malware senza file è la sua assenza di file; svolge molte delle stesse funzioni del malware tradizionale. Ad esempio, FritzFrog - un malware peer-to-peer (P2P) senza file, rilevato nell'agosto 2020 - è stato progettato per infettare i sistemi e fare mining di criptovaluta.

4. phishing e spear phishing

Il phishing è uno dei metodi più comuni che gli aggressori utilizzano per ottenere l'accesso a un sistema target. Spesso è più facile indurre un utente a cliccare su un link dannoso o ad aprire un allegato, piuttosto che individuare e sfruttare con successo una vulnerabilità nella rete di un'organizzazione. Gli attacchi di phishing possono raggiungere diversi obiettivi, tra cui il furto di credenziali, l'invio di malware, la frode finanziaria e il furto di dati sensibili.

Il phishing è stato storicamente il metodo più comune per i cyberattaccanti per lanciare una campagna, grazie alla sua facilità d'uso e all'alto tasso di successo. Durante la pandemia COVID-19, questa tendenza ha subito un'accelerazione, in quanto i criminali informatici hanno approfittato dei dipendenti che lavoravano fuori dall'ufficio e del clima di incertezza che regnava sul virus.

La pandemia COVID-19 ha anche amplificato l'effetto delle comuni esche di phishing. Ad esempio, il Black Friday e il Cyber Monday sono un pretesto comunemente sfruttato dai phisher, e l'aumento dello shopping online dovuto al COVID-19 lo ha reso particolarmente efficace nel 2020. Di conseguenza, il volume delle e-mail di phishing è raddoppiato nelle settimane precedenti il Black Friday e il Cyber Monday rispetto all'inizio del mese precedente.

Lo spear phishing è un tipo di attività di phishing molto mirata. Gli aggressori si prendono del tempo per condurre ricerche sugli obiettivi e creare messaggi che siano personali e rilevanti. Per questo motivo, lo spear phishing può essere molto difficile da identificare ed è ancora più difficile proteggersi. Uno dei modi più semplici in cui un hacker può condurre un attacco di spear phishing è l’email spoofing, che avviene quando l’informazione nella sezione “Da” dell’email è falsificata, facendola sembrare come se provenisse da qualcuno che conosci, come il tuo management o un’azienda partner. Un’altra tecnica che i truffatori usano per aggiungere credibilità alla loro storia è la clonazione di siti web – copiano siti web legittimi per ingannarti e farti inserire informazioni di identificazione personale (PII) o credenziali di accesso.

Per ridurre il rischio di essere vittima di phishing, puoi usare queste tecniche:

Pensiero critico – Non valutare un’email in maniera affrettata solo perché sei occupato o stressato o hai 150 altri messaggi non letti nella tua casella di posta. Fermati un minuto e analizza l’email.

Passare sopra i link – Muovi il tuo mouse sopra il link, ma non cliccarlo! Lascia solo che il cursore del tuo mouse passi sopra il link e vedi dove ti porterebbe. Applica il pensiero critico per decifrare l’URL.

Analizzare le intestazioni delle email – Le intestazioni delle email definiscono come un’email è arrivata al tuo indirizzo. I parametri “Reply-to” e “Return-Path” dovrebbero portare allo stesso dominio indicato nell’email.

Sandboxing – È possibile testare il contenuto delle e-mail in un ambiente sandbox, registrando l’attività di apertura dell’allegato o cliccando sui link all’interno dell’e-mail.

5. Attacco Man-in-the-Middle (MitM)

Molti protocolli di rete sono protetti dalle intercettazioni mediante la crittografia, che rende il traffico impossibile da leggere. Un attacco Man-in-the-Middle (MitM) aggira queste protezioni spezzando una connessione in due parti. Creando una connessione separata e crittografata con il client e il server, un aggressore può leggere i dati inviati attraverso la connessione e modificarli a piacimento prima di inoltrarli a destinazione.

Gli attacchi MitM possono essere sconfitti utilizzando protocolli come HTTPS. Tuttavia, l'ascesa del mobile rende questo vettore di attacco più pericoloso. Le app mobili offrono agli utenti poca o nessuna visibilità sulle loro connessioni di rete e possono utilizzare protocolli insicuri per la comunicazione, vulnerabili agli attacchi MitM.

6. Applicazioni dannose

Molte organizzazioni concentrano i loro sforzi di cybersecurity sui computer, ma i dispositivi mobili rappresentano una minaccia crescente per la cybersecurity di un'organizzazione. Poiché i dipendenti utilizzano sempre più spesso dispositivi mobili per svolgere il proprio lavoro e accedere a dati aziendali sensibili, le applicazioni mobili dannose sono sempre più pericolose. Queste applicazioni possono fare tutto ciò che può fare un malware per desktop, tra cui rubare dati sensibili, criptare i file con un ransomware e altro ancora.

Nel 2020, il malware mobile è stato il secondo tipo di malware più diffuso a livello mondiale. Le varianti di malware mobile più comuni - tra cui xHelper, PreAMo e Necro - sono tutti Trojan con funzionalità aggiuntive, tra cui la frode pubblicitaria e la frode di click. Il malware mobile sfrutta comunemente le vulnerabilità dei sistemi operativi mobili, come la vulnerabilità di esecuzione di codice remoto (RCE) risolta in un lotto di 43 patch di sicurezza Android nel gennaio 2021.

7. Attacco di negazione del servizio

L'Infrastruttura IT e i servizi delle organizzazioni - come applicazioni web, e-mail, ecc. - sono fondamentali per la loro capacità di fare business. Gli attacchi Denial of Service (DoS) sono progettati per negare l'accesso ai servizi critici. Questo può avvenire sfruttando una vulnerabilità in un'applicazione (causandone il crash) o inondando un sistema con più dati o richieste di quelle che è in grado di gestire (rendendolo incapace di gestire le richieste legittime). In alcuni casi, gli aggressori eseguono un attacco Ransom DoS in cui viene richiesto il pagamento di un riscatto per interrompere un attacco in corso o impedirne uno minacciato.

Durante il lavoro e l'apprendimento a distanza guidati dalla pandemia COVID-19, le soluzioni di accesso remoto sono state uno dei principali obiettivi degli attacchi DoS. E durante l'anno scolastico 2020-2021, gli attacchi Distributed DoS (DDoS) contro il settore dell'istruzione sono aumentati drasticamente. Questi attacchi hanno tentato di rendere inutilizzabili i servizi di apprendimento a distanza o hanno richiesto riscatti per impedire o interrompere gli attacchi.

8. Exploit Zero-Day

Il software contiene punti deboli e vulnerabilità, e molte di queste vulnerabilità raggiungono la produzione, dove sono potenzialmente sfruttabili dagli aggressori. Queste vulnerabilità di produzione vengono scoperte internamente all'azienda, da ricercatori di sicurezza esterni o da cyberattaccanti.

Nel terzo caso, i cyberattaccanti possono sfruttare queste vulnerabilità "zero day" nel sistema. Finché l'organizzazione non riuscirà a patchare la vulnerabilità - rendendola sicura - tutti gli utenti del sistema saranno potenzialmente vulnerabili agli attacchi.

Nel 2020, una delle vulnerabilità zero-day più famose è stata Zerologon, che ha colpito i controller di dominio (DC) di Windows. Gli aggressori che sfruttano questa vulnerabilità potrebbero ottenere il controllo completo della rete gestita dal DC vulnerabile. I criminali informatici stavano sfruttando attivamente questa vulnerabilità prima che molte organizzazioni la patchassero, spingendo le direttive di sicurezza di emergenza del Governo degli Stati Uniti ad applicare immediatamente la patch.

Oltre le minacce principali

Questo elenco di minacce principali non è esaustivo e non copre tutte le minacce attive alla cybersicurezza aziendale. Esempi di altre minacce comuni alla cybersecurity includono:

Tunneling DNS

Spoofing DNS

Iniezione SQL

Jailbreaking e Rooting

OS sfrutta

Anche se questi potenziali attacchi non rientrano nell'elenco delle minacce informatiche più comuni e pericolose, rappresentano comunque un rischio significativo. Le soluzioni di sicurezza aziendali dovrebbero includere la capacità di rilevare, prevenire e rimediare agli attacchi che utilizzano anche questi vettori.

https://www.checkpoint.com/it/cyber-hub/cyber-security/what-is-cyber-attack/types-of-cyber-attacks/

I principali 8 attacchi informatici

 

WannaCry, cos’è, come funziona e come difendersi dal ransomware che ha fatto piangere il mondo

WannaCry è un malware che interessa i proprietari di un sistema operativo Windows e nella primavera del 2017 ha infettato oltre 200mila computer, in 100 paesi nel mondo. Dal modo di proteggersi a come decifrare i computer colpiti: ecco una guida completa

WannaCry, tradotto in italiano come “Voglio piangere”, è un malware ransomware che ha letteralmente fatto piangere il mondo nella primavera del 2017. Secondo le stime, infatti, sono stati oltre 200mila i computer infettati e Kaspersky Lab, firma illustre nel mondo della sicurezza informatica, ha registrato tracce di WannaCry in 74 nazioni, incluse Russia, Cina, India, Egitto, Ucraina e Italia, dove ha bloccato i computer di diversi atenei. Ma c’è chi alza le stime a 99 Paesi.

Uno dei più colpiti, in termini di conseguenze, è stato il Regno Unito dove il virus informatico ha mandato in tilt diversi ospedali. Questo è stato possibile, proprio perché negli ospedali del Regno Unito ci sono ancora molte migliaia di computer con Windows XP. Un’indagine condotta da Motherboard (eseguita precedentemente nel 2016!) aveva rilevato almeno 42 strutture del National Health Service (NHS) che stavano usando XP.

Ma l’attacco di WannaCrypt non ha colpito solo la Gran Bretagna: si registrano attacchi in tutta Europa e nel resto del mondo. Tra gli altri Nissan e Renault in Francia, la società di telecomunicazioni Telefonica, Iberdrola e le banche BBVA e Santander in Spagna, FedEx in USA e molti altri. In Germania sono stati colpiti i computer della Deutsche Bahn (le ferrovie tedesche). In Giappone è toccato a Hitachi, Nissan e East Japan Railway. In Russia colpiti RZD (Russian Railroad), la banca VTB, Megafon. Anche l’Italia entra nell’elenco con l’Università Bicocca a Milano (che a quanto risulta è stata attaccata attraverso una chiavetta USB contenente il malware).

Eppure, nonostante la propagazione quasi a macchia d’olio, WannaCry è stato considerato un flop dal punto di vista economico: l’ammontare dei soldi raccolti dai cybercriminali si aggira intorno ai 100mila dollari. Una cifra non altissima, soprattutto considerato che in genere i malware hanno come obiettivo proprio il pagamento di un riscatto.

Chiunque può vedere qual è stato l’incasso generato dai riscatti pagati per WannaCry. Basta consultare i tre conti in Bitcoin utilizzati dai cybercriminali per farsi pagare. Questo ci serve anche per sfatare una credenza popolare molto diffusa: quella che i pagamenti in Bitcoin non sono tracciati. Lo sono, eccome! Semplicemente non è possibile risalire all’intestatario del conto (a meno che questo non commetta errori).

Sappiamo che nelle richieste di riscatto (300 dollari) erano indicati questi tre conti in Bitcoin nei quali pagare, ecco qui i loro numeri ed i link al sito:

https://blockchain.info:13AM4VW2dhxYgXeQepoHkHSQuy6NgaEb94

12t9YDPgwueZ9NyMgw519p7AA8isjr6SMw

115p7UMMngoj1pMvkpHijcRdfJNXj6LrLn

È sufficiente accedere ai link e vedere i movimenti dei tre conti, che hanno incassato rispettivamente: 19,98325158, 19,27213777 e 14,68049811 per un totale di circa 54 Bitcoin. Oggi i tre conti sono stati quasi azzerati, ma comunque si capisce che l’incasso è stato molto basso: circa 10 giorni dopo il fatidico 12 maggio 2017 erano stati incassati (al cambio Bitcoin di allora) 106.349,49 dollari (con circa 300 riscatti pagati), un importo comunque sorprendentemente modesto per le dimensioni dell’attacco.

Chi è stato a compiere l’attacco WannaCry?

Inizialmente si è pensato ai “soliti” russi (ma questa volta la Russia è stata uno dei paesi più colpiti), poi anche alla Cina.

Ora il principale indiziato è diventata la Corea del Nord, con il suo gruppo di hacker noti con il nome Lazarus. A sostenerlo sono Symantec e Kaspersky Lab, che hanno rilevato nel codice del malware alcune similitudini con precedenti attacchi: quello alla Banca Centrale del Bangladesh del 2016 (il più grande furto informatico di sempre, 82 milioni di dollari rubati), ma soprattutto quello alla Sony Pictures Entertainment, la casa di produzione attaccata per aver prodotto «The interview», film satirico contro il leader nordcoreano Kim Jong-un.

E probabilmente, alla luce della modesta cifra incassata, l’attacco non è stato fatto per soldi, ma più probabilmente a scopo destabilizzante o dimostrativo.

Cos’è e come funziona WannaCry

WannaCry è un ransomware (un cryptoworm, per essere ancora più specifici), cioè un particolare tipo di malware che rende inaccessibili i dati dei nostri computer e, per ripristinarli, chiede un riscatto da pagare in bitcoin, la moneta elettronica. Il malware colpisce chi ha il proprio computer collegato alla Rete e ha un sistema operativo Windows, dato che il software malevolo si propaga grazie a EternalBlue, un codice della Nsa (l’agenzia per la sicurezza nazionale statunitense), pubblicato online lo scorso aprile dal gruppo hacker Shadow Brokers. Uno strumento che sfrutta la vulnerabilità di un protocollo di condivisione di file di rete, SMB (Server Message Block), usato da sistemi Microsoft Windows.

Ma come avviene la prima infezione? Inizialmente, si pensava che il vettore d’attacco originario fosse la posta elettronica. Successivamente, però, la tesi più accreditata è che il malware si diffonda “attraverso computer vulnerabili esposti su internet con la porta 445. Una volta che un solo computer di una rete locale viene infettato, il malware automaticamente si propaga usando il protocollo SMB”, come si legge nelle raccomandazioni del Cert-EU, l’unità europea per la risposta alle emergenze informatiche, che aggiunge: “è importante menzionare che computer non aggiornati e reti esposte via SMB su internet possono essere infettati direttamente senza il bisogno di altri meccanismi. Basta che siano accesi e accettino connessioni SMB”.

La peculiarità originale di WannaCry, rispetto ad altri ransomware più “classici” è che si tratta di un malware costituito da due componenti che operano in successione:Un exploit (trattasi di malware realizzati appositamente per sfruttare una “falla” di un sistema) che sfrutta la vulnerabilità SMBv1 per attaccare il computer obbiettivo.

Un ransomware vero e proprio che esegue la cifratura dei files.

Secondo Microsoft gli scenari presunti d’attacco sono due (Microsoft parla di scenari “altamente probabili”, senza indicarli come assolutamente certi):Tramite le solite email di phishing (contenenti finte fatture, note di credito, bollette, ecc.), o tramite chiavette USB (come successo all’Università Bicocca). Questi sono i vettori d’attacco tipici e più frequenti per la maggior parte dei ransomware.

Tramite attacco diretto mediante Exploit attraverso il protocollo SMB in macchine non aggiornate.

Quindi – importante esserne consapevoli – se il sistema è affetto dalla citata vulnerabilità, non serve necessariamente l’email di phishing per subire l’attacco. In parole più semplici e banalizzando il concetto: non occorre che siamo noi ad aprire la porta, perché è l’hacker a possedere già la chiave (cioè l’exploit). Una volta entrato in un computer (ne basta uno solo!) di un sistema Windows, WannaCrypt si propaga in modo automatico agli altri computer (anche se non collegati ad Internet) sfruttando le condivisioni di rete SMB, attraverso le porte di comunicazione 139 e 445. Questo spiega la rapidità (insolita) con cui si è diffuso.

Poi – secondo passaggio – esegue una criptazione dei files, usando una crittografia RSA a 2048 bit (quindi assolutamente inattaccabile).

I files crittografati vengono rinominati aggiungendo l’estensione .WNCRY, quindi, per esempio, un file picture.jpg verrà modificato in picture.jpg.WNCRY.

WannaCry provvede inoltre ad eliminare le “Shadows copies” di Windows (per impedirci di recuperare i dati) e va a scrivere in alcune tipiche cartelle di sistema, quali:

%SystemRoot%

%SystemDrive%

%ProgramData%

Altra peculiarità: a causa del tipo di vulnerabilità, il malware riesce ad installarsi anche se l’utente non ha diritti di amministratore, ma è un semplice utente.

Dalla patch MS17-010 all’antivirus: come difendersi da WannaCry

Per proteggersi da WannaCry, le prime cose da fare sono aggiornare sia l’antivirus sia il sistema operativo, dato che questa falla è stata risolta dalla stessa Microsoft con un update che risale a marzo 2017 chiamato MS17-010. In particolare, l’antivirus deve essere aggiornato ad una versione successiva rispetto a quella pubblicata da ciascun produttore dopo il 12 maggio. È fondamentale tenere presente che se l’antivirus ha il vantaggio di poter “ripulire” una macchina compromessa, cosa che la sola istallazione della patch non può fare, d’altra parte la vulnerabilità non eliminata potrebbe essere sfruttata da una nuova versione del malware che sfugge al controllo dell’antivirus. Perciò è tassativa l’istallazione della patch.

Oltre a ciò il Cert-EU suggerisce di disattivare SMBv1; bloccare il traffico SMB in entrata sulla porta 445, isolare sistemi che potrebbero essere vulnerabili dalla rete; in caso di nuove infezioni, permettere l’accesso delle postazioni ai domini che funzionano da interruttore; e ovviamente fare i backup. In italiano si trovano anche le raccomandazioni tecniche dell’Agenzia per l’Italia Digitale e CERT-PA.

Infine, utile è anche un backup dei dati (o, se già fatto, un aggiornamento), cioè una copia dei propri file. Si può effettuare utilizzando Windows Backup che si trova nel pannello di controllo del nostro pc. Il backup va fatto periodicamente in un hard disk esterno, ad esempio una chiavetta Usb. In questo modo anche se il virus dovesse infettare il pc, una copia dei dati rimarrebbe protetta, dandoci l’opportunità di ripristinarli all’occorrenza.

Come verificare l’installazione della patch MS17-010

Per Windows 7 e Windows Server 2008 R2, bisogna controllare tra gli aggiornamenti già installati sul sistema, la presenza delle patch contraddistinte dai seguenti identificativi:

– KB4019264, aggiornamento cumulativo di maggio, 2017-05

– KB4015552, anteprima aggiornamento cumulativo di aprile 2017

– KB4015549, aggiornamento cumulativo di aprile 2017

– KB4012215, aggiornamento cumulativo di marzo 2017

– KB4012212, aggiornamento cumulativo di marzo 2017 (solo patch di sicurezza)

Se almeno uno qualunque degli aggiornamenti indicati risultasse già presente, il sistema Windows 7 o Windows Server 2008 R2 è adeguatamente protetto. Diversamente, il suggerimento è quello di installare immediatamente almeno il pacchetto KB4012212.

Per Windows 8.1 e Windows Server 2012 R è bene controllare la presenza di almeno una delle seguenti patch:

– KB4019215, aggiornamento cumulativo di maggio, 2017-05

– KB4015553, anteprima aggiornamento cumulativo di aprile 2017

– KB4015550, aggiornamento cumulativo di aprile 2017

– KB4012216, aggiornamento cumulativo di marzo 2017

– KB4012213, aggiornamento cumulativo di marzo 2017 (solo patch di sicurezza)

Nel caso in cui tutti gli aggiornamenti fossero assenti, si dovrà provvedere subito ad installare almeno il KB4012213.

Di solito Microsoft mette a disposizione degli utenti solo gli aggiornamenti per i sistemi operativi che ancora supporta, cioè Windows 7 – quello più colpito da WannaCry – e seguenti. Ma per via del timore di un nuovo malware nei mesi scorsi l’azienda di Redmond ha fatto un’eccezione includendo anche quelli più datati, come Windows XP e Vista, fermo restando l’invito a passare ai sistemi operativi successivi. Le nuove patch, disponibili qui, risolvono 16 vulnerabilità, 15 delle quali sono considerate critiche dall’azienda.

WanaDecrypt, il metodo per liberare i PC attaccati da WannaCry

Quando il proprio computer è infettato da un malware, in linea di principio non si dovrebbe mai pagare il riscatto. Anche se questo comporta la perdita dei propri dati. Nel caso di WannaCry, un ricercatore francese, Adrien Guinet, afferma di aver trovato il modo di liberare i file cifrati, senza essere costretti a dar soldi ai criminali. Ha chiamato il software WanaDecrypt e ha pubblicato su GitHub il software necessario a svolgere l’operazione. In pratica, il sistema si basa sulla manipolazione delle chiavi crittografiche usate per bloccare i computer durante l’attacco che ha colpito 150 paesi e 200mila sistemi.

“Lo schema di cifratura implementato dal ransomware WannaCry utilizza un meccanismo di crittografia asimmetrica basato su una coppia di chiavi pubblica/privata per la cifratura e decifratura dei file – ha spiegato a Repubblica l’esperto di sicurezza Pierluigi Paganini -. Per la creazione della coppia di chiavi l’algoritmo implementato dal malware utilizza una coppia di numeri primi, noti i quali è quindi possibile risalire alla chiave per decifrare i file. Una volta creata la chiave per decifrare i file, WannaCry procedeva alla sua cancellazione del sistema infetto, tuttavia il codice malevolo non cancella i numeri primi usati nel processo di generazione. Adrien Guinet ha sviluppato un tool in grado di recuperare i numeri primi dalla memoria del sistema infetto e, applicando l’algoritmo di generazione della coppia di chiavi, risalire alla chiave per decifrare i file”.

Conclusioni: una vicenda molto istruttiva

WannaCry, pur con i danni che ha creato, potrebbe e dovrebbe essere un caso utile a non farci ripetere gli stessi errori.

Le prede più facili di questo attacco sono stati i sistemi non aggiornati, con versioni non più supportate del sistema operativo Microsoft come XP e Server 2003.

Microsoft non c’entra, perché aveva rilasciato – due mesi fa – la patch per la vulnerabilità. Ha fatto esattamente quello che doveva fare: quando ha scoperto la vulnerabilità e l’ha comunicata al mondo (fino a quel momento nemmeno gli hacker sapevano della sua esistenza), ha reso disponibile l’aggiornamento di sicurezza.

La NSA, ancora una volta (e stavolta senza bisogno delle rivelazioni di Snowden!) non esce bene da questa vicenda, dimostrando quanto sia poco trasparente il suo modo di operare. Gli exploit sono vere e proprie armi (anche se informatiche) e andrebbero maneggiate (e soprattutto custodite!) con maggior attenzione. Costruire un exploit (con quale finalità?) e farselo rubare da hacker “più bravi” (gli Shadow Brokers), ci fa capire che in queste situazioni nessuno è inattaccabile, neppure un’agenzia governativa dove dovrebbero esserci i migliori specialisti al mondo in sicurezza informatica.

Ma la “lezione”, in generale, sembra non essere servita: ancora oggi, ad un anno di distanza, si stima che vi siano nel mondo circa un milione di sistemi informatici che non sono stati aggiornati e che quindi risultano – ancora! – attaccabili da WannaCry. Come sempre, la cyber security si dimostra essere un fatto culturale, prima che informatico…

https://www.cybersecurity360.it/nuove-minacce/wannacry-come-funziona-e-come-difendersi-dal-ransomware-che-ha-fatto-piangere-il-mondo/

Avvertenze (e lezioni) della violazione dei dati Target del 2013

La violazione dei dati di Target è stata una delle più grandi violazioni della sicurezza della storia. Target è stata costretta a pagare un risarcimento di 18,5 milioni di dollari dopo che gli hacker hanno rubato 40 milioni di registrazioni di carte di credito e di debito. Ma come per molti attacchi alla sicurezza senza precedenti, la violazione dei dati di Target è arrivata con avvertimenti e lezioni, che sono ancora valide oggi.

Cosa è successo durante la violazione dei dati Target del 2013?

Durante la violazione di Target, i criminali informatici sono riusciti a rubare 40 milioni di registri di credito e debito e 70 milioni di registri di clienti. Ciò è avvenuto durante le festività del 2013. Sebbene non sia stata la più grande violazione della sicurezza della storia, è stata una delle più grandi. E poiché si erano verificate molte altre violazioni di dati di alto profilo poco prima, i clienti erano particolarmente diffidenti.

La violazione dei dati di Target evidenzia uno dei principali problemi che si verificano dopo una violazione. Non è solo un'interruzione della sicurezza e non è solo il costo dell'accordo: è che i clienti non avevano più fiducia nella loro sicurezza. Dopo la violazione dei dati, i clienti erano preoccupati che i loro dati sarebbero stati divulgati e quindi erano titubanti nell'acquistare da Target. Cose simili sono accadute ad altre vittime di violazioni dei dati di alto profilo, come Sony PlayStation.

Come molte violazioni, l'attacco era incentrato su Target, ma non è passato direttamente attraverso i sistemi di Target. Piuttosto, la compromissione è iniziata con un fornitore terzo. Le terze parti sono più comunemente compromesse perché in genere non sono altrettanto sicure. Le aziende devono tenere a mente che tutti i loro fornitori terzi devono essere sicuri tanto quanto lo è il loro sistema. La sicurezza informatica è sempre una proposta di anello debole.

Come ha gestito Target la violazione dei dati?

Target ha gestito molto bene la violazione dei dati, tutto sommato. È stata in grado di avvisare i clienti circa venti giorni dopo che la violazione si è verificata, ma solo quattro giorni dopo che se ne sono accorti. Nell'ampio spettro delle violazioni dei dati, questo è molto veloce. Il problema è che la violazione dei dati si è verificata. Target avrebbe potuto, e dovuto, essere più cauto riguardo alle sue soluzioni di terze parti, e c'erano problemi interni che dovevano essere risolti.

Dopo la violazione dei dati, Target ha emesso carte chip-and-pin più sicure. Hanno scoperto che i chip da soli non erano sufficienti a proteggere molte delle carte che erano state compromesse, anche se i consumatori hanno imparato una lezione: le carte di credito sono molto più sicure delle carte di debito. Con le carte di credito, è più facile annullare una transazione e una transazione falsa non ti lascia senza soldi.

Una carta "Chip and pin" è intrinsecamente più sicura perché significa che qualcuno con solo un nome, un numero di carta e un indirizzo di solito non può effettuare transazioni. Ma non era una soluzione completa. Erano stati rubati abbastanza dati da compromettere potenzialmente l'identità dei consumatori, indipendentemente dal fatto che le carte di debito e di credito fossero protette. E il furto di identità può essere un problema molto più grande di una singola carta compromessa.

Cosa avrebbe potuto fare meglio Target?

Target aveva fornito un portale attraverso il quale i fornitori terzi potevano accedere ai dati. Sfortunatamente, un compromesso a questa soluzione di terze parti ha reso possibile l'accesso alla rete di Target. Se Target avesse segregato correttamente la propria rete, sarebbe stato molto più difficile che si verificasse un attacco informatico di questa portata.

Ma realisticamente, le reti sono grandi. Target avrebbe potuto prevenire questa violazione dei dati, ma i criminali informatici sono ovunque e sono persistenti. Molte aziende non stanno solo migliorando la loro sicurezza e colmando le loro lacune, ma stanno anche investendo in un'assicurazione contro i reati informatici. Questo le protegge nel caso in cui si verifichi una violazione dei dati.

Il costo finale della violazione dei dati target

Il costo stimato della violazione dei dati di Target va ben oltre i 18 milioni di dollari di risarcimento. Infatti, si stima che la società abbia perso oltre 200 milioni di dollari . Le violazioni dei dati al dettaglio sono straordinariamente costose, ma nessun settore è al sicuro.

Dopo la stagione delle feste, i clienti erano diffidenti e la notizia della violazione dei dati si diffuse rapidamente. Secondo quanto riferito, gli utili di Target sono scesi del 46% dopo l'attacco, con molte meno famiglie che facevano acquisti da Target dopo la violazione. Target ha dovuto lavorare per ripristinare la sua reputazione pubblica.

E questo ci porta a un'altra lezione appresa. Le aziende dovrebbero avere un piano di preparazione ai disastri per quanto riguarda le violazioni della sicurezza. Dovrebbe esserci una strategia in atto per le aziende per ripristinare la fiducia e la lealtà dei clienti nel caso in cui si verifichi il peggio. E dovrebbero esserci soluzioni proattive se si verifica una violazione dei dati. Un MSP può aiutare un'organizzazione a creare questo tipo di piano.

https://redriver.com/security/target-data-breach

Stuxnet spiegato: La prima cyberweapon nota

Che cosa è Stuxnet?

Stuxnet è un potente worm informatico progettato dall'intelligence statunitense e israeliana per disattivare una parte fondamentale del programma nucleare iraniano. Mirato a una struttura air-gapped, si è diffuso inaspettatamente ai sistemi informatici esterni, sollevando una serie di domande sulla sua progettazione e sul suo scopo.

Stuxnet ha sfruttato diversi Windows zero day precedentemente sconosciuti. Questa descrizione dovrebbe probabilmente chiarire che Stuxnet faceva parte di un'operazione di sabotaggio di alto livello condotta dagli stati nazionali contro i loro avversari.

Chi ha creato Stuxnet?

È ormai ampiamente accettato che Stuxnet sia stato creato dalle agenzie di intelligence degli Stati Uniti e di Israele. Stuxnet è stato identificato per la prima volta dalla comunità infosec nel 2010, ma lo sviluppo è probabilmente iniziato nel 2005. I governi degli Stati Uniti e di Israele intendevano Stuxnet come uno strumento per far deragliare, o almeno ritardare, il programma iraniano per sviluppare armi nucleari. Le amministrazioni Bush e Obama credevano che se l'Iran fosse stato sul punto di sviluppare armi atomiche, Israele avrebbe lanciato attacchi aerei contro le strutture nucleari iraniane in una mossa che avrebbe potuto scatenare una guerra regionale. L'operazione Olympic Games era vista come un'alternativa non violenta. Sebbene non fosse chiaro se un simile attacco informatico alle infrastrutture fisiche fosse possibile, ci fu un incontro drammatico nella Situation Room della Casa Bianca verso la fine della presidenza Bush durante il quale i pezzi di una centrifuga di prova distrutta furono sparsi su un tavolo da conferenza. Fu a quel punto che gli Stati Uniti diedero il via libera per scatenare il malware.

Il programma classificato per sviluppare il worm ha ricevuto il nome in codice "Operazione Giochi Olimpici "; è stato avviato sotto il presidente George W. Bush e continuato sotto il presidente Obama. Mentre nessuno dei due governi ha mai riconosciuto ufficialmente lo sviluppo di Stuxnet, un video del 2011 creato per celebrare il pensionamento del capo delle Forze di difesa israeliane Gabi Ashkenazi ha elencato Stuxnet come uno dei successi sotto la sua supervisione.

Sebbene i singoli ingegneri dietro Stuxnet non siano stati identificati, sappiamo che erano molto abili e che erano in molti. Roel Schouwenberg di Kaspersky Lab ha stimato che ci sono voluti due o tre anni a un team di dieci programmatori per creare il worm nella sua forma finale.

Diversi altri worm con capacità di infezione simili a Stuxnet, tra cui quelli soprannominati Duqu e Flame, sono stati identificati in natura, sebbene i loro scopi siano piuttosto diversi da quelli di Stuxnet. La loro somiglianza con Stuxnet porta gli esperti a credere che siano prodotti dello stesso laboratorio di sviluppo, che apparentemente è ancora attivo.

Cosa ha fatto Stuxnet?

Stuxnet è stato progettato per distruggere le centrifughe che l'Iran stava utilizzando per arricchire l'uranio come parte del suo programma nucleare. La maggior parte dell'uranio che si trova in natura è l'isotopo U-238; tuttavia, il materiale fissile utilizzato in una centrale nucleare o in un'arma deve essere ricavato dal leggermente più leggero U-235. Una centrifuga viene utilizzata per far girare l'uranio abbastanza velocemente da separare i diversi isotopi in base al peso tramite la forza centrifuga. Queste centrifughe sono estremamente delicate e non è raro che si danneggino durante il normale funzionamento.

Quando Stuxnet infetta un computer, verifica se il computer è connesso a specifici modelli di controllori logici programmabili (PLC) prodotti da Siemens. I PLC sono il modo in cui i computer interagiscono e controllano macchinari industriali come le centrifughe all'uranio. Se non vengono rilevati PLC, il worm non fa nulla; se vengono rilevati, Stuxnet altera la programmazione dei PLC, facendo girare le centrifughe in modo irregolare, danneggiandole o distruggendole nel processo. Mentre ciò accade, i PLC comunicano al computer del controllore (in modo errato) che tutto funziona correttamente, rendendo difficile rilevare o diagnosticare cosa non va finché non è troppo tardi.

Come funzionava Stuxnet?

Stuxnet attacca tutti i livelli della sua infrastruttura di destinazione: Windows, il software Siemens in esecuzione su Windows che controlla i PLC e il software incorporato nei PLC stessi. È progettato per essere distribuito tramite un'unità rimovibile come una chiavetta USB (si sapeva che l'impianto di Natanz dove avveniva l'arricchimento dell'uranio era isolato, con i suoi sistemi non connessi a Internet), ma anche per diffondersi rapidamente e indiscriminatamente da macchina a macchina su una rete interna.

Stuxnet include capacità di rootkit sia in modalità utente che kernel. Per installare il rootkit in modalità kernel, utilizza driver di dispositivo firmati digitalmente che utilizzano certificati di chiave privata rubati da due noti produttori di dispositivi taiwanesi.

Una volta preso il controllo dei PLC, Stuxnet ha variato la velocità di rotazione delle centrifughe mentre erano in funzione, in modo tale da danneggiarle e renderle inutilizzabili in breve tempo.

Quale vulnerabilità ha sfruttato Stuxnet?

Per infettare i PC Windows nella struttura di Natanz, Stuxnet ha sfruttato non meno di quattro bug zero-day (un difetto di Windows Shortcut, un bug nello spooler di stampa e due vulnerabilità di escalation dei privilegi), insieme a un difetto zero-day nei PLC Siemens e una vecchia falla già utilizzata nell'attacco Conficker. Il numero di vulnerabilità sfruttate è insolito, poiché in genere gli zero-day vengono rapidamente corretti in seguito a un attacco e quindi un hacker non vorrà rivelarne così tanti in un singolo attacco.

In quale linguaggio è stato scritto Stuxnet?

Sebbene i ricercatori di sicurezza non abbiano accesso al codice di Stuxnet, sono stati in grado di imparare molto studiandolo e hanno determinato che è stato scritto in più linguaggi , tra cui C, C++ e probabilmente diversi altri linguaggi orientati agli oggetti. Anche questo è insolito per il malware ed è un segno del livello di sofisticatezza coinvolto nella sua creazione.

Stuxnet ha avuto successo?

Il virus Stuxnet è riuscito nel suo obiettivo di interrompere il programma nucleare iraniano; un analista ha stimato che ha fatto regredire il programma di almeno due anni. I primi estranei a notare gli effetti del worm sono stati gli ispettori dell'Agenzia Internazionale per l'Energia Atomica (AIEA), a cui è stato consentito l'accesso all'impianto di Natanz. Parte del lavoro dell'AIEA era ispezionare le centrifughe danneggiate che venivano rimosse dall'impianto per assicurarsi che non venissero utilizzate per contrabbandare uranio in qualche altro impianto che non era sotto il radar della comunità internazionale. Come notato sopra, è tipico che le centrifughe vengano danneggiate come parte del processo di arricchimento dell'uranio; in un impianto delle dimensioni di Natanz, ci si potrebbe aspettare che circa 800 centrifughe all'anno vengano messe fuori servizio. Ma nel 2010, l'AIEA ha iniziato a notare un numero insolitamente alto di centrifughe danneggiate, con un ispettore che ha stimato che quasi 2.000 erano state rese inutilizzabili. Naturalmente, a quel tempo nessuno aveva idea che la causa fosse un malware informatico.

Come è stato scoperto Stuxnet?

Stuxnet è stato scoperto perché, inaspettatamente, si è diffuso oltre la struttura di Natanz. Come notato, Natanz era isolata e non è chiaro come Stuxnet sia uscito. Molti negli Stati Uniti credevano che la diffusione fosse il risultato di modifiche al codice apportate dagli israeliani; si diceva che l'allora vicepresidente Biden fosse particolarmente arrabbiato per questo. È anche possibile che sia sfuggito grazie alle scarse pratiche di sicurezza da parte degli iraniani a Natanz: potrebbe essere stato qualcosa di semplice come qualcuno che ha portato a casa un portatile da lavoro e lo ha collegato a Internet. Grazie alla natura sofisticata ed estremamente aggressiva del malware, ha quindi iniziato a diffondersi ad altri computer.

Stuxnet divenne presto noto alla comunità della sicurezza grazie a una chiamata al supporto tecnico. Un ufficio in Iran (non parte del programma nucleare) stava riscontrando misteriosi riavvii e schermate blu di errore, che stavano persino influenzando i computer con nuove installazioni del sistema operativo. L'esperto di sicurezza in loco, incapace di capirne la causa, contattò un suo amico, un bielorusso di nome Sergey Ulasen che lavorava per il fornitore di antivirus VirusBlokAda. Ulasen era a un ricevimento di nozze, ma passò la serata al telefono con il suo amico iraniano cercando di capire la causa del problema. Ulasen e il suo team riuscirono a isolare il malware e si resero conto di quanti zero-day stava sfruttando e cosa stavano affrontando. Iniziarono il processo di condivisione delle loro scoperte con la più ampia comunità della sicurezza.

Liam O'Murchu, direttore del gruppo Security Technology and Response di Symantec e membro del team che per primo ha svelato Stuxnet, afferma che Stuxnet era "di gran lunga il pezzo di codice più complesso che abbiamo mai esaminato, in una categoria completamente diversa da qualsiasi cosa avessimo mai visto prima". E mentre puoi trovare molti siti Web che affermano di avere il codice Stuxnet disponibile per il download, O'Murchu afferma che non dovresti crederci: ha sottolineato a CSO che il codice sorgente originale del worm, così come scritto dai programmatori che lavorano per l'intelligence statunitense e israeliana, non è stato rilasciato o fatto trapelare e non può essere estratto dai binari che sono sparsi in giro. (Il codice per un driver, una parte molto piccola del pacchetto complessivo, è stato ricostruito tramite reverse engineering, ma non è la stessa cosa che avere il codice originale.)

Tuttavia, ha spiegato che molto del codice potrebbe essere compreso esaminando il binario in azione e sottoponendolo a reverse engineering. Ad esempio, dice, "era abbastanza ovvio dalla prima volta che abbiamo analizzato questa app che stava cercando qualche apparecchiatura Siemens". Alla fine, dopo tre o sei mesi di reverse engineering , " siamo stati in grado di determinare, direi, il 99 percento di tutto ciò che accade nel codice", ha detto O'Murchu.

Ed è stata un'analisi approfondita del codice che alla fine ha rivelato lo scopo del malware. "Abbiamo potuto vedere nel codice che stava cercando otto o dieci array di 168 convertitori di frequenza ciascuno", afferma O'Murchu. "Si può leggere online la documentazione dell'International Atomic Energy Association su come ispezionare un impianto di arricchimento dell'uranio, e in quella documentazione specificano esattamente cosa vedresti nell'impianto di uranio: quanti convertitori di frequenza ci saranno, quante centrifughe ci saranno. Saranno disposti in otto array e ci saranno 168 centrifughe in ogni array. Questo è esattamente ciò che stavamo vedendo nel codice".

"Era molto emozionante aver fatto questa scoperta", ha aggiunto. "Ma poi ci siamo resi conto di cosa ci eravamo cacciati in testa, probabilmente un'operazione di spionaggio internazionale, e questo è stato piuttosto spaventoso". Symantec ha diffuso queste informazioni nel settembre del 2010; gli analisti che avevano avuto sentore dell'osservazione dell'AIEA sulle centrifughe iraniane danneggiate hanno iniziato a capire cosa stava succedendo.

Stuxnet esiste ancora?

Stuxnet non è scomparso, ma non è una minaccia importante per la sicurezza informatica oggi. Infatti, mentre Stuxnet ha fatto notizia per le sue capacità spettacolari e le sue origini clandestine, non è mai stato una minaccia per nessuno se non per la struttura di Natanz che era il suo obiettivo originale. Se il tuo computer è infetto da Stuxnet e non sei connesso a una centrifuga utilizzata per l'arricchimento dell'uranio, lo scenario peggiore è che potresti vedere riavvii e schermate blu di errore, come l'ufficio iraniano che ha portato il malware all'attenzione del mondo, ma a parte questo ti succederà poco o nessun danno.

Come prevenire Stuxnet

Detto questo, probabilmente non vuoi che i tuoi sistemi siano infettati da un potente malware sviluppato dalle agenzie di intelligence statunitensi e israeliane. Fortunatamente, le vulnerabilità zero-day sfruttate in origine da Stuxnet sono state da tempo corrette. Finché metti in pratica le basi di una buona igiene informatica, mantenendo aggiornati il ​​tuo sistema operativo e il software di sicurezza, non hai molto di cui preoccuparti. Ricorda, Stuxnet colpisce i PLC, quindi vorrai mantenere anche qualsiasi tecnologia operativa il più sicura possibile.

Perché Stuxnet è importante per la sicurezza informatica?

Se c'è una minaccia proveniente da Stuxnet, è una che emana dai suoi discendenti. Come abbiamo notato sopra, ci sono altre famiglie di malware che sembrano avere funzionalità derivate da Stuxnet; queste potrebbero provenire dalla stessa agenzia di intelligence, o potrebbero rappresentare hacker freelance che sono riusciti a fare reverse engineering di parte della potenza di Stuxnet. I ricercatori di sicurezza stanno ancora partendo da Stuxnet per scoprire nuove tecniche di attacco .

Ma al di là delle tecnologie specifiche, Stuxnet è significativo perché ha rappresentato la prima intrusione ampiamente riconosciuta di codice informatico nel mondo del conflitto internazionale, un'idea che in precedenza era stata nel regno della fantascienza cyberpunk. Nel decennio successivo, in particolare nel conflitto Russia-Ucraina , gli attacchi informatici sono stati accettati come parte dell'arsenale bellico.

https://www.csoonline.com/article/562691/stuxnet-explained-the-first-known-cyberweapon.html

Cyber attack: come definire una strategia di protezione efficace

Il panorama dei cyber attack è sempre più complesso e minaccioso, mentre digitalizzazione, cloud computing e lavoro ibrido estendono le vulnerabilità aziendali. Come è possibile attivare una strategia di difesa efficace, in ambienti IT distribuiti, senza perimetro e difficili da controllare?

Horizon Security, società del gruppo Horizon Consulting e specializzata in ambito cyber security, ha le idee chiare, come raccontano Ruggero Strabla e Calogero Mazzarella, rispettivamente leader delle business unit Offensive e Defensive Security.

La strategia di Horizon Security parte ovviamente da un’attenta osservazione dell’attuale panorama dei cyber attack.

«Oggi – spiega Strabla – il primo rischio per le aziende sono gli attacchi ransomware, che si sono evoluti perpetrando una tripla estorsione: i cyber criminali, infatti, chiedono un riscatto per ripristinare l’accesso ai dati, per non divulgare le informazioni rubate e per non bloccare i servizi aziendali o avvisare clienti, fornitori e media della compromissione. Gli attaccanti studiano l’impresa, sanno dove colpire, quali sono i dati critici. Quindi contattano la vittima e la minacciano, dimostrando di essere entrati in possesso di informazioni riservate».

Come spiega Strabla, un altro rischio di cyber attack è rappresentato dal cosiddetto business e-mail compromise (BEC), una tecnica per cui l’attaccante si inserisce nelle comunicazioni aziendali relative all’amministrazione e chiede di effettuare un pagamento verso un nuovo Iban o destinatario. «Spesso – prosegue Strabla – le aziende colpite non si accorgono tempestivamente dell’accaduto e gli attaccanti sono abili a eliminare le tracce. Sono attacchi che richiedono tempo per essere preparati, perché vanno studiati i profili delle vittime e le operazioni in corso. Ad esempio, bisogna capire quali pagamenti devono essere eseguiti e verso quale fornitore, per inserirsi opportunamente nelle conversazioni e-mail».

Tra i principali punti di ingresso nelle fasi iniziale di una compromissione, Strabla ricorda lo sfruttamento di vulnerabilità sulla superficie d’attacco pubblica aziendale (anche attraverso zero-day, che fanno leva su vulnerabilità non note, nel caso di target di alto profilo con elevati livelli di protezione), e lo spear-phishing, falsificando il mittente e sfruttando infrastrutture di fiducia, quali quelle dei colossi IT come Microsoft e Google, per l’invio di email malevole o per ospitare pagine di phishing e malware.

I pilastri per costruire una strategia efficace contro i cyber attack

Come difendersi allora in uno scenario dei cyber attack sempre più tetro?

«Il primo passo – suggerisce Mazzarella – è avere una strategia che non sia puramente reattiva, ma piuttosto sia in grado di adattarsi costantemente all’evoluzione delle minacce e alle nuove esigenze dell’organizzazione. Perché la strategia contro i cyber attack sia efficace, deve essere recepita a tutti i livelli aziendali, non solo dal dipartimento IT o dal team della sicurezza. Innanzitutto, deve essere il business a guadagnare consapevolezza. La sicurezza abilita l’IT che abilita il business, quindi deve essere considerata un investimento per la sopravvivenza aziendale e non meramente un centro di costo. Secondo alcuni studi, le spese in security hanno un ritorno superiore al 90%, perché di fatto scongiurano i danni economici e reputazionali di un potenziale attacco».

Mazzarella ricorda inoltre che il fattore umano è la più grande incognita nel costruire la linea di difesa contro i cyber attack: indispensabile quindi ingaggiare e formare gli utenti per essere efficaci.

«Un altro fattore critico – sottolinea Mazzarella – è la capacità di ridurre la superficie di attacco, per minimizzare gli incidenti. Bisogna inoltre seguire due direttrici strategiche, basate rispettivamente sull’automazione e sulle competenze, secondo un giusto mix». Esistono infatti due tipologie di attacchi: automatizzati, per colpire indiscriminatamente il maggiore numero di vittime, e mirati, perpetrati da hacker specializzati con tecniche sofisticate. La strategia di difesa deve quindi seguire le metodologie di attacco: all’automazione si risponde con tecnologie analoghe, mentre per contrastare il genio dell’hacker serve un professionista.

«Le tecnologie di automazione – spiega Mazzarella -, codificando le competenze umane, riducono drasticamente i tempi di risposta e si rivelano efficaci contro la maggioranza delle minacce. Tuttavia, per contrastare gli attacchi non convenzionali e più complessi, occorre l’intervento degli analisti della sicurezza».

La chiave per costruire una strategia efficace contro i cyber attack passa anche attraverso un presupposto culturale: «Le aziende – suggerisce Mazzarella – devono essere consapevoli che non sono invulnerabili e che la compromissione dei sistemi è inevitabile. Bisogna partire da queste premesse, considerando possibili piani B in caso di incidente e pianificando una strategia di backup per garantire la continuità operativa».

La scelta di tecnologie in cloud può rivelarsi strategica per concretizzare gli obiettivi di sicurezza: sottoscrivendo un contratto as-a-service, le aziende, anche di piccole dimensioni, possono infatti beneficiare di tutte le funzionalità di protezione enterprise che il provider mette a disposizione all’interno del proprio datacenter.

L’approccio zero-trust per contrastare i cyber attack

Mazzarella spiega quindi come si declina la security strategy dal punto di vista metodologico e tecnologico. Al centro viene messo l’approccio zero-trust, che agisce sostanzialmente su tre principi:verificare sempre esplicitamente l’identità, anche dei sistemi o degli applicativi;

ridurre i privilegi in modalità just in time e just enough, garantendo l’accesso alle risorse con le autorizzazioni minime e per il tempo necessario a eseguire le operazioni;

implementare la micro-segmentazione per identificare e contrastare i movimenti laterali, organizzando la rete, i sistemi, le applicazioni a compartimenti stagni.

«Le moderne tecnologie di monitoraggio – prosegue Mazzarella -, che sfruttano gli algoritmi di intelligenza artificiale e machine learning per ottenere una vista olistica sugli eventi di sicurezza, sono una componente fondamentale dell’approccio zero-trust. Tali strumenti permettono infatti di riconoscere, correlare e correggere pattern di attacco anche molto complessi, che spesso partono dalla periferia, quindi dai laptop, dai dispositivi BYOD e così via».

Secondo le statistiche riportate da Mazzarella, un host compromesso permette agli attaccanti di ottenere l’accesso al domain controller, quindi al cuore dell’azienda, in circa 48 ore; le aziende però si accorgono della violazione in media dopo circa 160-200 giorni.

In un contesto ad alto rischio, il paradigma zero-trust diventa fondamentale per minimizzare l’eventualità di compromissione. Più la superficie di attacco è ampia e complessa, più aumenta la possibilità che un cyber attack vada a buon fine e pertanto, come ammonisce Mazzarella, la scansione delle vulnerabilità deve rientrare nella normale operatività dell’azienda, non essere eseguita una tantum.

«Inoltre – si inserisce Strabla – l’ingaggio degli utenti, ai fini di una strategia di sicurezza efficace, diventa fondamentale innanzitutto per contrastare il phishing e prevenire incidenti frequenti, come ad esempio la violazione delle password».

La strategia Horizon Security a supporto delle aziende

Basandosi sul valore dell’approccio zero-trust e sulle tecnologie a corollario, Horizon Security ha sviluppato la propria metodologia per aiutare le aziende nello sviluppare correttamente una strategia di sicurezza efficace contro i cyber-attack.

«Bisogna partire da una fase di assessment – argomenta Strabla – per testare la linea di difesa aziendale. Abbiamo quindi sviluppato un portafoglio di servizi modulari per la simulazione degli attacchi, che permette di verificare sia lo stato di sicurezza generale sia un preciso ambito, come ad esempio la vulnerabilità ai tentativi di phishing».

Così Horizon Security è in grado di rilevare il livello di rischio in caso di attacco, quindi quale potrebbe essere il raggio di azione di un criminale all’interno dei sistemi aziendali.

«I cyber criminali – prosegue Strabla – cercano di penetrare i sistemi aziendali sfruttando diverse tecniche, per poi effettuare movimenti laterali e perpetrare il vero obiettivo, ad esempio l’installazione di un ransomware. I metodi per ottenere il primo accesso sono diversi e noi simuliamo le numerose tecniche di intrusione e attacco, per capire quanto l’azienda sia matura e preparata dal punto di vista del monitoraggio delle minacce e della prevenzione degli incidenti. Consegniamo e condividiamo al cliente i risultati attraverso una presentazione executive e un report dettagliato che permettono di acquisire consapevolezza sui rischi e sulle possibilità di manovra degli attaccanti».

Una volta definito lo stato di sicurezza dell’azienda, Horizon Security costruisce una strategia personalizzata contro i cyber attack per ottenere ritorni rapidamente.

«Proponiamo – chiarisce Mazzarella – un approccio incrementale, che parte dalla consapevolezza rispetto alle vulnerabilità e si basa sul concetto di quick-win. In sostanza, suggeriamo le azioni di remediation che si possono apportare immediatamente, ad esempio la correzione di misconfiguration o integrazioni non necessarie, e che richiedono un effort limitato, restituendo tuttavia risultati importanti nel breve termine».

Il passo successivo invece richiede un ragionamento strutturato, per individuare le iniziative che possono contribuire a migliorare significativamente la postura di sicurezza dell’azienda, riducendo la superficie di attacco e implementando le best practice più consolidate.

«Soprattutto in un contesto di lavoro ibrido – evidenzia Mazzarella – le aree di focalizzazione dei progetti sono le identità e gli endpoint, oltre ad applicazioni, infrastrutture, reti e dati».

Le tecnologie vincenti per concretizzare gli obiettivi di cyber security

Dal punto di vista tecnologico, secondo Horizon Security, un tassello fondamentale della strategia contro i cyber attack è rappresentata dall’autenticazione multi-fattore, che consente di ottenere accessi sicuri e può ridurre l’efficacia degli attacchi basati su password del 99,9%, come riporta Mazzarella.

Tra gli strumenti di sicurezza oggi indispensabili, vengono citate le soluzioni EDR (Endpoint Detection and Response) e XDR (Extended Detection and Response) che monitorano in tempo reale gli eventi all’interno dei dispositivi oppure su superfici più ampie che includono anche le reti, gli utenti, i carichi di lavoro in cloud. «Oggi il perimetro aziendale tradizionale – sottolinea Mazzarella – non esiste più, ma è rappresentato dall’insieme di dispositivi, reti e servizi in senso esteso. Diventa quindi indispensabile dotarsi di strumenti che permettono, attraverso un’orchestrazione centralizzata, di rilevare pattern d’attacco molto complessi e distribuiti, garantendo una protezione dei sistemi e dei dati end-to-end».

La strategia contro i cyber attack deve includere anche tecniche di cifratura del dato, per garantire protezione ovunque, indipendentemente dal sistema in cui è collocato, anche in caso di esfiltrazione.

Un altro elemento vincente in tema di cyber security riguarda i sistemi SOAR (Security Orchestration, Automation and Response), che, nella forma più evoluta e grazie all’intelligenza artificiale, garantiscono non solo il riconoscimento dei pattern di attacco, ma avviano automaticamente una serie di azioni di risposta, oltre a inviare messaggi di alert agli specialisti.

«Horizon Security – puntualizza Strabla – offre anche servizi gestiti di Threat Intelligence, per cui si forniscono alle aziende informazioni aggiuntive rispetto a quanto vedono nei loro sistemi. Così possono ottenere visibilità sull’identità degli attaccanti oppure conoscere fenomeni che riguardano ad esempio le attività illecite sul dark web, come la vendita di credenziali rubate».

Insomma, il tema della sicurezza oggi va davvero affrontato a 360 gradi, non solo per l’estensione del perimetro e la proliferazione delle minacce, ma anche alla luce dei cambiamenti organizzativi lungo la supply chain. «Le aziende – conclude Strabla – non sono più isole, ma piuttosto sempre più interconnesse. La sicurezza dei dati, quindi, dipende anche dai partner e non solo dalle difese aziendali. La superficie di attacco e il rischio dei movimenti laterali si estendono quindi ai collaboratori, fornitori e clienti, rimanendo fuori dal controllo. Per questo è importante richiedere dei requisiti minimi di sicurezza ai partner e impegnarsi nel costruire una strategia di protezione efficace contro i cyber attack».

https://www.cybersecurity360.it/nuove-minacce/cyber-attack-come-definire-una-strategia-di-protezione-efficace/