Introduzione

Contesto strategico: un mondo inquieto

Per interpretare i dati presenti in questo report è necessario avere una visione d'insieme su scala globale. In effetti le minacce informatiche che prendono di mira le aziende di tutto il mondo non esistono nel nulla. Fra i fattori principali dei rischi informatici rientrano le guerre e altri casi di forza maggiore, i cambiamenti economici e le nuove vulnerabilità che possono emergere ogni volta che un team apporta dei cambiamenti a modelli aziendali, partner chiave, processi fondamentali, adozione di tecnologie e conformità normative. Ecco alcuni dei fattori che hanno influenzato i dati sulle minacce nel primo trimestre 2023.

• L'invasione russa dell'Ucraina e la guerra asimmetrica contro l'Occidente: gli attacchi informatici lanciati da stati-nazione a scopo di spionaggio, guerra e disinformazione al servizio di ambizioni politiche, economiche e territoriali continua a intensificarsi. Gli hacker sferrano attacchi informatici sempre più sofisticati contro imprese, infrastrutture ed enti pubblici occidentali.
• La morsa di Xi Jinping sulla Cina e le sue ambizioni geopolitiche: gli obiettivi nazionalistici, la politica estera decisa e le pratiche di spionaggio industriale della Cina continuano ad aumentare i rischi informatici, mentre i gruppi APT affiliati alla Cina dominano il panorama globale.
• Le economie in via di sviluppo e la rapida espansione delle infrastrutture: molti paesi in via di sviluppo stanno ampliando infrastrutture e tecnologia di pari passo alla loro crescita economica, ma spesso la sicurezza informatica viene trascurata, portando a numerose vulnerabilità informatiche nelle infrastrutture critiche. 
• L'inflazione globale e il suo impatto politico ed economico: questo trimestre ha visto volatilità del mercato, crisi finanziarie e politiche e pressioni sulle priorità di spesa e sui budget per la sicurezza informatica.
• La supply chain ancora scossa dopo il COVID: nuove viene d’accesso al mercato in tutte le regioni hanno portato a cambiamenti nei partner, nelle reti di trasporto, nella condivisione delle informazioni e, di conseguenza, nei rischi informatici. Poiché le minacce informatiche hanno un impatto quotidiano sulla filiera, la necessità di funzionalità Zero Trust rimane forte in tutti i settori. 
• Il mito della superiorità dell’ambiente di sicurezza di Apple: questo mito persiste, nonostante gli ambienti macOS non possano più essere considerati sicuri. I criminali informatici sfruttano su vasta scala il malware basato su Golang e moltiplicano i vettori di attacco per coprire numerosi sistemi operativi. 
• L'intelligenza artificiale è arrivata sulla scena mondiale, promettendo sconvolgimenti: machine learning ottimizzato, elaborazione del linguaggio naturale e altri progressi dello stesso genere hanno un impatto sia positivo che negativo sulla sicurezza informatica. A fronte di un’evoluzione mondiale delle minacce informatiche molto più rapida di quanto possa essere gestibile dalle persone, le soluzioni di intelligenza artificiale diventano vitali per la difesa informatica delle aziende.

Sicurezza informatica: le sfide per i CISO e la rivoluzione SecOps

Fatti salienti delle minacce in breve: 1° trimestre 2023

Il panorama dei ransomware

• L'ondata del ransomware: il ransomware continua a dominare il paesaggio mondiale degli attacchi informatici. Gli schemi di social engineering per ingannare e manipolare le persone e indurle a divulgare informazioni riservate o personali, come il phishing, sono più prevalenti e sofisticati che mai.
• La predominanza di Cuba e Play: sebbene all'inizio dell'anno abbiamo osservato un calo dell'attività di criminalità informatica legata ai ransomware, le famiglie di ransomware più diffuse nel primo trimestre sono state Cuba (9%) e Play (7%).
• La persistenza di LockBit: nonostante una riduzione dell'attività per due trimestri consecutivi, LockBit continua a essere il ransomware più aggressivo nello spingere le vittime a soddisfare le richieste di riscatto.
• La potenziale ascesa di Magecart Group: secondo i report pubblici indicano, l'attività di questo gruppo specializzato nel furto di dati delle carte di credito e nelle truffe di ecommerce è aumentata enormemente nel primo trimestre del 2023. Questa minaccia raramente opera sulla stessa scala di attività delle altre principali APT sponsorizzate dagli Stati, il che indica potenzialmente un riemergere di Magecart Group in tutto il mondo. 

L’evoluzione delle tattiche del ransomware

• Obiettivi economici: non sorprende che i moventi del ransomware rimangano principalmente economici. I settori delle assicurazioni (20%) e dei servizi finanziari (17%) hanno rilevato il maggior numero di potenziali attacchi. 
• Grande impatto sulle aziende di medie dimensioni: l’analisi dei dati associati ai siti di divulgazione rivela che le vittime di questi attacchi sono più principalmente le aziende di medie dimensioni con 51 - 200 dipendenti (32,3%) e da 10 a 50 milioni di dollari di fatturato (38,3%). 
• Gli Stati Uniti, l'obiettivo principale: gli Stati Uniti (15%) sono stati il paese più colpito dai gruppi di ransomware. Sono stati anche il paese con la percentuale più alta di vittime aziendali (48%) che hanno deciso di "riacquistare i propri dati" dai ricattatori, una cifra sei volte superiore a quello del secondo paese nell'elenco, il Regno Unito.
• Cobalt Strike è l'arma preferita: i dati di telemetria di Trellix identificano questo strumento come di gran lunga il preferito dai gruppi di ransomware (28% degli incidenti). Sembra che tra questi gruppi stia crescendo in popolarità e utilizzo, nonostante i tentativi del fornitore Fortra alla fine del quarto trimestre del 2022 di renderne più difficile l'utilizzo da parte dei criminali informatici.

Attacchi sponsorizzati dagli Stati

• I protagonisti: i gruppi APT legati alla Cina, tra cui Mustang Panda e UNC4191, sono stati i più attivi nel prendere di mira gli Stati nel primo trimestre. Gli attori delle minacce affiliati alla Cina hanno dominato la scena globale, generando il 79,3% di tutta l'attività degli Stati, seguiti da quelli legati a Corea del Nord, Russia e Iran. 
• Gruppo APT più attivo: Mustang Panda è rimasto per il terzo trimestre consecutivo il gruppo APT più attivo al mondo (72%), a indicare i continui e crescenti sforzi da parte della Cina a scopo di spionaggio e di generare disagi. 

Vulnerability Intelligence

• Mancata correzione delle vulnerabilità note: la maggior parte delle vulnerabilità più critiche di questo trimestre è costituita da vulnerabilità note non ancora corrette.
• Vecchie vulnerabilità: il bug di una vulnerabilità Apple divulgata nel febbraio di quest'anno risaliva all'exploit FORCEDENTRY, utilizzato da NSO Group come parte del suo spyware Pegasus reso pubblico nel 2021. 

Sicurezza delle email

• Nuovi vettori d’attacco: sebbene Microsoft abbia iniziato a bloccare gli allegati macro per la piattaforma Office, i criminali informatici hanno rapidamente adottato altri vettori di infezione per continuare a prendere di mira i dispositivi Windows, come l'avvelenamento SEO, OneNote e gli allegati ZIP.
• Marchi inaffidabili: oltre alle email di i malintenzionati sfruttano sempre di più marchi e servizi legittimi, come quelli di PayPal, Google, DWeb e IPFS, per truffare le vittime e rubare le loro credenziali di identificazione online.

Accesso non autorizzato al cloud

• Evoluzione delle tattiche: gli attacchi contro le infrastrutture cloud continuano ad aumentare man mano che sempre più aziende migrano da un’infrastruttura on premise alle opzioni più convenienti e scalabili di Amazon, Microsoft, Google e altri.
• Account validi: nonostante la diffusione degli attacchi più sofisticati con autenticazione a più fattori, proxy ed esecuzione di API, la tecnica di attacco dominante restano gli account validi, con una frequenza più che doppia rispetto al secondo vettore di attacco più utilizzato. Ciò sottolinea che il rischio di accesso non autorizzato è reale, poiché i criminali informatici accedono a credenziali di account o siti web legittime per infiltrarsi e lanciare attacchi.

Gli strumenti di terze parti più pericolosi come Cobalt Strike, Mimikatz e Sharphound vengono utilizzati in scenari legittimi. I pen tester che tentano di infiltrarsi in una rete possono utilizzare questi strumenti per raccogliere password, impostare dei beacon o aumentare i privilegi. Gruppi di criminali informatici li utilizzano allo stesso modo, riducendo i tempi di sviluppo e consentendo a un utente malintenzionato di sfruttare gli strumenti utilizzati di recente o lasciati accidentalmente su una macchina o di risiedere nel sistema di un utente finale curioso.

Nel primo trimestre del 2023 Magecart Group, APT29 e APT41 sono stati i tre collettivi più attivi nel prendere di mira gli utenti di aree geografiche e settori scelti, come metodi per guadagnare denaro, rubare segreti governativi o inibire l'uso delle infrastrutture. Siamo rimasti sorpresi nel constatare che Magecart Group sia in cima alla lista, in quanto raramente opera alla stessa scala degli altri principali gruppi APT affiliati agli Stati. Nei prossimi mesi monitoreremo l'attività del gruppo per valutare se i dati del periodo attuale indicano il suo riemergere sulla scena globale.

Nelle passate campagne globali, le meno sofisticate tecniche "spray-and-pray", concepite per invogliare gli utenti suscettibili a fare clic su un link dannoso o scaricare un file pericoloso hanno seminato caos in diversi settori. Gli attacchi mirati sono diventati più sofisticati, aumentando la propria persistenza nei settori manifatturiero, finanziario e sanitario. Sebbene gli altri due settori, telecomunicazioni ed energia, sembrino essere stati colpiti meno frequentemente negli eventi globali, sono ugualmente importanti e le aziende associate potrebbero non aver segnalato le violazioni o rilevato incidenti contro di loro.

Gli eventi segnalati che sono stati analizzati e controllati dai nostri ricercatori, contengono una grande quantità di informazioni, correlazioni o attribuzioni a un singolo criminale informatico, un gruppo o collettivi APT più sofisticati. Gli strumenti, le tecniche e le procedure, oltre alle famiglie di malware, includono i malware di caricamento e downloader, gli strumenti di amministrazione a distanza (RAT), i ladri di informazioni e il ransomware. Sulla base degli eventi del primo trimestre 2023, analizzati e disponibili tramite Insights, l'Ucraina è risultata il Paese colpito più di frequente, seguita da vicino dagli Stati Uniti.

Nello stesso periodo le famiglie di ransomware più attive sono state Royal Ransom, Trigona e Maui. Trellix ha di recente pubblicato un'analisi dettagliata di Royal Ransom e del suo modus operandi con file eseguibili Windows e Linux. Sebbene le statistiche rappresentate siano emerse specificamente dalla nostra piattaforma Insights, molti altri eventi si sono verificati nell'infrastruttura connessa a livello globale, inclusi noti eventi segnalati o mantenuti riservati e gli eventi che devono ancora essere identificati e risolti.

Paesi colpiti secondo le segnalazioni pubbliche: 1° trimestre 2023

7

Sulla base degli eventi pubblici disponibili per l'analisi, abbiamo stabilito che l'Ucraina è il Paese più colpito dai criminali informatici, seguito a ruota dagli Stati Uniti.

1.

Ucraina

7%

2.

Stati Uniti

7%

3.

Germania

4%

4.

Corea del Sud

3%

5.

India

3%

Ransomware utilizzati secondo le segnalazioni pubbliche: 1° trimestre 2023

1.

Royal Ransom

7%

2.

Trigona

4%

3.

Maui

4%

4.

Magniber

3%

5.

LockBit

3%

Attività degli Stati-Nazione

Le informazioni sugli attacchi sponsorizzati dagli Stati provengono da più fonti il che ci permette di delineare un quadro più completo del panorama delle minacce e ridurre gli errori di osservazione. In primo luogo, utilizziamo le statistiche estratte dalla correlazione tra i gruppi sponsorizzati dagli Stati, gli indicatori di compromissione (IOC) e i dati di telemetria dei clienti di Trellix. In secondo luogo, forniamo informazioni tratte da vari rapporti pubblicati dal settore della sicurezza, vagliati e convalidati dal gruppo di Intelligence sulle minacce.

Come sopra detto, queste statistiche sono quelle delle campagne, non dei rilevamenti stessi. A causa dell’aggregazione di vari registri, dell'uso da parte dei nostri clienti di framework di simulazione delle minacce e di correlazioni di alto livello con la base di conoscenza di intelligence sulle minacce, i dati vengono filtrati manualmente per soddisfare i nostri obiettivi d’analisi.

I nostri dati di telemetria globale rivelano indicatori di compromissione (IoC) che appartengono a più campagne lanciate dai gruppi APT. Il panorama globale continua a essere dominato dai collettivi affiliati alla Cina. Mustang Panda è stato all’origine di una significativa maggioranza di rilevamenti nel primo trimestre del 2023. Dato l’uso massiccio del trasferimento locale diretto (sideloading) e di altre tecniche furtive, è possibile che i gruppi APT affiliati alla Cina cambino gli strumenti malware con minore frequenza rispetto ad altri criminali informatici. E, se è così, questa pratica potrebbe portare a un “distorsioni delle proiezioni” o a una stima gonfiata dei rilevamenti di hash affiliati alla Cina.

I seguenti paesi e criminali informatici, insieme ai loro strumenti e tecniche, nonché i paesi e i settori colpiti rappresentano i più diffusi nelle campagne che abbiamo identificato.

Vulnerability Intelligence

Gli esperti di reverse engineering e in analisi delle vulnerabilità del Trellix Advanced Research Center monitorano continuamente le ultime vulnerabilità al fine di fornire indicazioni ai clienti su come i criminali informatici le sfruttano e su come ridurre la probabilità e l'impatto di questi attacchi.

Uno dei nostri risultati più importanti, ma non sorprendenti, del primo trimestre 2023 è che molte delle vulnerabilità più critiche di questo periodo corrispondono all’elusione di patch per CVE precedenti, bug della supply chain derivanti dall'utilizzo di librerie obsolete o vulnerabilità da tempo corrette che sono sopravvissute al loro momento di gloria.

Consideriamo per esempio CVE-2022-47966, una vulnerabilità critica (9,8) identificata nei prodotti ManageEngine di Zoho che è circolata a gennaio. ManageEngine è utilizzato da migliaia di aziende nel mondo, perciò non siamo rimasti sorpresi che lo sfruttamento di tale vulnerabilità sia stato rilevato nell’ambiente reale. Quello che ci ha stupito è stata la causa alla radice: l'utilizzo di Apache Santuario 1.4.1, una versione molto vecchia che conteneva un problema noto che consente l'iniezione XML. Zoho ha corretto questa vulnerabilità nella propria suite di prodotti a ottobre. Poco meno di tre mesi dopo la CISA ha segnalato un avviso di sicurezza dello sfruttamento nell’ambiente reale, chiedendo ai produttori di applicare una patch.

Un altro esempio è CVE-2022-44877, una vulnerabilità critica in Control Web Panel (CWP). Benché non direttamente correlata, questa vulnerabilità presenta molte caratteristiche in comune con l'esempio precedente: si tratta di una RCE 9.8 oggetto di un ampio e attivo sfruttamento a gennaio, nonostante la patch fosse stata applicata a ottobre. La causa alla radice non era degna di una conferenza Black Hat, in quanto si trattava di un'immissione di comandi che utilizzava l'espansione di una variabile shell standard in un parametro URL.

Un terzo esempio è CVE-2021-21974, vulnerabilità identificata nel servizio OpenSLP di VMware ESXi, corretta nel febbraio 2021, quasi due anni prima del suo improvviso riemergere con uno sfruttamento nell’ambiente reale. Quando segnalammo tale vulnerabilità nel Report dei bug di febbraio, evidenziammo che, secondo Shodan, circa 48.000 server accessibili da Internet stavano ancora eseguendo versioni vulnerabili di ESXi. Oggi tale numero è ancora superiore a 38.000, un calo inferiore al 22%.

Tabella 1: Risultati della scansione Shodan per le istanze ESXi vulnerabili eseguita tra la fine di febbraio e la fine di aprile.

Studiando i dispositivi Apple all'inizio di quest'anno abbiamo trovato altri esempi: CVE-2023-23530 e CVE-2023-23531. Queste due vulnerabilità differiscono dalle precedenti nel senso che il loro impatto è limitato all’elevazione locale dei privilegi, non all'esecuzione di codice remoto. Non è tuttavia un buon motivo per trascurarne l'importanza, poiché una vulnerabilità molto simile è stata sfruttata da FORCEDENTRY utilizzato da NSO Group per distribuire il suo spyware Pegasus nel 2021. In effetti, le due vulnerabilità da noi scoperte utilizzano la stessa tecnica primitiva alla base dell'exploit FORCEDENTRY: un'innocua classe detta NSPredicate. Purtroppo l'approccio di Apple alla prevenzione di FORCEDENTRY ha implicato l’utilizzo di una lunga lista di blocco per neutralizzare lo sfruttamento di NSPredicate: una mitigazione che non è riuscita a risolvere il problema alla radice e che ci ha permesso di eluderla.

È forte la tentazione di puntare il dito a tendenze come queste per concludere che i produttori non prendono sul serio la sicurezza oppure biasimare criminali informatici e ricercatori per i rigurgiti di vecchi exploit, ma non è questo il comportamento corretto. I ricercatori delle vulnerabilità più efficienti analizzano le varianti, perché un bravo ricercatore che emula le priorità dei veri criminali informatici e la scoperta di un meccanismo di elusione della prevenzione o di un vecchio CVE in un prodotto raramente sottoposto a patch produce un maggiore ritorno che il ripartire da zero. Le aziende che sono consapevoli di tale tendenza dovrebbero trarre la seguente conclusione: benché le tecnologie di rilevamento delle minacce siano insostituibili nel moderno panorama delle minacce, si possono ottenere molti risultati nei fondamentali, come i processi di applicazione delle patch e le verifiche della supply chain.

Incidenti cloud

Gli attacchi contro l'infrastruttura cloud, i servizi sviluppati ed erogati da Amazon, Microsoft, Google e altri, continuano ad aumentare. La tabella seguente mostra i dati di telemetria degli attacchi cloud, ripartiti per cliente e per fornitore di servizi cloud.

Metodologia

Acquisizione: Trellix e gli esperti dell’avanzato team Trellix Advanced Research Center raccolgono le statistiche, le tendenze e i risultati delle analisi che compongono questo report da un'ampia gamma di fonti globali.

• Fonti bloccate: in alcuni casi i dati di telemetria sono generati dalle soluzioni di sicurezza Trellix presenti nelle reti di sicurezza informatica dei clienti, nonché nei framework di difesa impiegati in tutto il mondo nelle reti del settore pubblico e privato, comprese quelle che distribuiscono servizi tecnologici, di infrastruttura o di dati. Questi sistemi, nell'ordine di milioni, generano dati a partire da un miliardo di sensori.
• Fonti aperte: in altri casi, Trellix si avvale di una combinazione di strumenti brevettati, proprietari e open source per esaminare siti, registri e archivi di dati presenti in Internet oltre che nel dark web, come i "siti di divulgazione", o i gruppi di ransomware che pubblicano informazioni riguardanti le vittime del ransomware o di proprietà di queste ultime.

Normalizzazione: i dati aggregati alimentano le nostre piattaforme Insights e ATLAS. Sfruttando il machine learning, l'automazione e l'acutezza umana, il team passa attraverso una serie di processi intensivi, integrati e iterativi per normalizzare i dati, arricchire i risultati, rimuovere i dati personali e identificare le correlazioni fra i vari metodi di attacco, agent, settori, regioni, strategie e risultati.

Analisi: in seguito, Trellix analizza questo ampio archivio di informazioni, confrontandole con: (1) la sua ampia knowledgebase di intelligence sulle minacce, (2) i report di settore sulla sicurezza informatica prodotti da fonti molto autorevoli e accreditate, (3) l'esperienza e gli approfondimenti dei propri analisti, investigatori, specialisti in reverse engineering, analisi forense e vulnerabilità.

Interpretazione: infine, il team di Trellix estrae, rivede e convalida i dati significativi che aiuteranno i responsabili e i team SecOps a: (1) comprendere le ultime tendenze nell'ambiente delle minacce informatiche e (2) a utilizzare queste informazioni per migliorare la capacità di prevedere, prevenire e bloccare i futuri attacchi.

Risorse

Archivi dei report sulle minacce

The Mind of the CISO

Trellix Advanced Research Center scopre una nuova classe di bug dell'aumento dei privilegi in macOS e iOS

A Royal Analysis of Royal Ransom

Feeding Gophers to Ghidra

Informazioni sul Trellix Advanced Research Center

Trellix Advanced Research Center dispone dello statuto più esaustivo nel settore della sicurezza informatica ed è all’avanguardia nello studio di metodi, tendenze e gruppi di criminali informatici emergenti nel panorama delle minacce. Partner fondamentale dei team responsabili delle operazioni di sicurezza in tutto il mondo, il Trellix Advanced Research Center fornisce intelligence sulle minacce agli analisti di sicurezza e contenuti di prim’ordine, alimentando al contempo la nostra avanzata piattaforma XDR. Inoltre, il Gruppo Threat Intelligence di Trellix Advanced Research Center offre prodotti e servizi di intelligence sulle minacce ai clienti di tutto il mondo.

Trellix Advanced Research Center

A proposito di Trellix

Trellix è un’azienda internazionale che ridefinisce il futuro della cyber security. La piattaforma XDR (eXtended Detection and Response) aperta e nativa di Trellix aiuta le aziende a proteggersi dalle minacce sempre più sofisticate che ogni giorno si trovano ad affrontare, e a gestire le proprie attività di business in modo sicuro e con resilienza. Trellix, supportata da un ampio ecosistema di partner, sta accelerando l’innovazione tecnologica attraverso il machine learning e l’automazione per sostenere oltre 40.000 clienti in ambito privato e pubblico grazie alla sicurezza dinamica.

Iscriviti per ricevere le nostre informazioni sulle minacce

Questo pagina Web e le informazioni in esso contenute descrivono le ricerche sulla sicurezza informatica esclusivamente a fini didattici e per i clienti Trellix. Trellix conduce ricerche in conformità con la sua Policy di divulgazione responsabile delle vulnerabilità | Trellix. Qualsiasi tentativo di ricreare in tutto o in parte le attività descritte è esclusivamente a rischio dell'utente. Trellix e le sue società affiliate declinano ogni responsabilità al riguardo.

Trellix è un marchio registrato di Musarubra US LLC o sue affiliate negli Stati Uniti e/o in altri paesi. Gli altri nomi e marchi appartengono ai rispettivi proprietari.