16 Ago, 2019

Weekly Threats N. 33 2019

Nel corso della settimana di ferragosto sono state segnalate campagne internazionali di diversa natura. 
Nell’area dei Balcani, le repubbliche della ex Yugoslavia, Serbia in testa, sono state interessate da una operazione di spionaggio basata sui due malware battezzati dagli analisti BalkanDoor e BalkanRAT; i target appartengono al settore finanziario e l’obiettivo degli attaccanti sembra essere esclusivamente quello economico.  L’attività di spear phishing che l’APT di matrice indiana Bitter ha condotto contro il Ministero degli Affari Esteri della Repubblica Popolare di Cina e contro organizzazioni governative e imprese statali ha mirato invece alla raccolta di credenziali. Red October, team individuato anche coi nomi Cloud Atlas e Inception, ha sfruttato nuove minacce contro, tra le altre, realtà governative dell’area ex sovietica e anche contro entità del settore economico in Portogallo. Fonti giornalistiche riferiscono inoltre due fatti: Turla, il gruppo russo noto anche come Krypton, avrebbe preso di mira l’infrastruttura informatica del Governo di Malta, senza però ottenere risultati apprezzabili; una commissione parlamentare della Repubblica Ceca avrebbe invece denunciato una campagna state-sponsored contro i sistemi del Ministero degli Esteri.
Il versante vulnerabilità ci rimanda soprattutto notizie riguardanti gravi falle dei prodotti Microsoft. Il bollettino che la compagnia rilascia ogni secondo martedì del mese stavolta comprende interventi per diverse falle RCE (remote code execution) che non richiedono l’interazione da parte della vittima. Due di queste sono definite “warmable” poiché, abusando di RDP (Remote Desktop Protocol), consentono la propagazione nelle reti (CVE-2019-1181 e CVE-2019-1182); un’altra riguarda Bluetooth e può essere sfruttata per aggirare le restrizioni di sicurezza (CVE-2019-9506); una quarta, scoperta e annunciata dal ricercatore Tavis Ormandy – che ne ha poi rilasciato anche la Proof of Concept – affligge tutte le versioni di Windows ed è causata da una combinazione di debolezze del protocollo CTF sfruttato da Text Service Framework (CVE-2019-1162). Inoltre, assieme ai consueti bollettini di sicurezza di Adobe, Joomla!, Intel e Mozilla, e alle Note del del SAP Patch Tuesday, segnaliamo una Nota rilasciata dal CERT della Carnegie Mellon University su 8 vulnerabilità di tipo DoS (Denial of Service) che affliggono il protocollo HTTP/2 e un paper di ricercatori israeliani che illustra quello che è stato definito Rogue7 – uno scenario di attacco che coinvolge i PLC (programmable logic controller) SIMATIC S7, distribuiti dalla Siemens, e che si basa su vulnerabilità del protocollo di comunicazione S7 e del software TIA Portal (CVE-2019-10929).
Chiudiamo questa rassegna settimanale con alcuni casi di esposizione di informazioni sensibili. Il più grave riguarda un database lasciato accessibile senza protezioni e contenente oltre 1 milione di dati associati alla soluzione di sicurezza Biostar 2 della compagnia Suprema; dati biometrici per il riconoscimento facciale e impronte digitali sono rimasti esposti insieme a dettagli personali di impiegati di banche e agenzie governative di mezzo mondo. Infine, sono stati riscontrati problemi per due grandi compagnie aeree: il sistema di e-ticket della British Airways trasmette ai propri clienti email con link non cifrati alle prenotazioni di volo; a seguito di una compromissione dei sistemi della Air New Zealand sono stati esposti nomi ed email di oltre 112.000 viaggiatori.
Tags:Microsoft, Red October, Turla

EMAIL WEEKLY

Le immagini presenti nei post sono dettagli di antiche incisioni giapponesi che raffigurano samurai alle prese con demoni e creature mitologiche. Alcuni approfondimenti: Watanabe no Tsuna, Utagawa Kunioshi