Archivio mensile:Marzo 2021

Trend Micro: nel 2020 bloccate 16,7 milioni di e-mail ad alto rischio sulla scia della pandemia di COVID-19

Pubblicato il Cloud App Security Roundup. Tra i fenomeni osservati un aumento dei malware, delle attività di phishing e del furto di credenziali

A cura di Lisa Dolcini, Head of Marketing Trend Micro Italia

Nel 2020, Trend Micro ha bloccato 16,7 milioni di e-mail che contenevano minacce ad alto rischio indirizzate ai clienti di servizi email basati su web e che avevano oltrepassato i filtri nativi di queste applicazioni. Rispetto al 2019, queste minacce sono cresciute di un terzo.

Il dato è evidenziato dal report Cloud App Security Roundup, elaborato sui dati della soluzione Trend Micro Cloud App, che offre un secondo livello di protezione per Microsoft Exchange Online, Gmail e altri servizi.

La pandemia di COVID-19 ha costretto molte organizzazioni ad accelerare i propri piani di digital transformation e le app SaaS sono diventante indispensabili per il lavoro da remoto. Purtroppo però, ovunque ci sono degli utenti ci sono anche delle minacce e i cybercriminali hanno preso di mira i punti più deboli delle aziende, resi ancora più fragili dalla pandemia. Trend Micro Cloud App Security si è confermata indispensabile nel fornire un ulteriore livello di protezione e ognuna delle minacce intercettate rappresenta un rischio sventato di subire un furto dati, un attacco ransomware o altro di ancora più grave.

I malware, il furto di credenziali e le mail di phishing sono raddoppiati nel 2020, mentre le truffe BEC (Business Email Compromise), hanno registrato una lieve diminuzione.

I dati del report Cloud App Security Roundup

E-mail contenenti malware: Trend Micro ha rilevato 1,1 milioni di e-mail che contenevano malware, facendo registrare un +16% rispetto al 2019. Emotet e Trickbot i malware maggiormente rilevati

Phishing: Trend Micro ha intercettato 6,9 miioni di e-mail di phishing, facendo registrare un +19% rispetto al 2019. Senza considerare i tentativi di furto di credenziali, il numero di minacce in questa categoria è cresciuto del 41% rispetto all’anno precedente. Sfruttando anche la pandemia, i cybercriminali hanno tentato di estorcere informazioni personali o finanziarie

Phishing di credenziali: Trend Micro ha rilevato 5,5 milioni di tentativi di furto di credenziali, permessi dagli attuali filtri di sicurezza cloud nativi. Il dato segna un +14% rispetto al 2019. Alcuni attacchi sono anche supportati da truffe telefoniche

BEC (Business Email Compromise): in questa categoria di attacchi si è registrata una diminuzione del 18%, ma le perdite sono invece aumentate del 48% tra il primo e il secondo trimestre 2020

Trend Micro Cloud App Security offre una protezione multi livello integrata che comprende:

  • Capacità di machine learning attraverso la soluzone Writing Style DNA
  • Capacità di intelligenza artificiale per rilevare i tentativi di phishing
  • Analisis sandbox dei malware
  • Tecnologie di file, web ed e-mail reputation
  • Capacità di rilevare documenti infetti
  • Data Loss Prevention
  • Trend Micro Vision One, una soluzione integrata per il rilevamento e risposta delle minacce all’interno dell’intera infrastruttura

I dati del report sono generati da Trend Micro Cloud App Security™, una soluzione API che protegge una vasta gamma di applicazioni e servizi cloud tra cui Microsoft OneDrive for Business, SharePoint Online, Microsoft Teams, Google Drive, Box, Dropbox e Salesforce.

Ulteriori informazioni sono disponibili al seguente link

Cybersecurity 2020: l’Italia è quinta al mondo per attacchi macro malware (prima in Europa), settima per attacchi malware e undicesima per attacchi ransomware

Trend Micro presenta il report annuale delle minacce. L’Italia continua a essere tra i Paesi più colpiti al mondo da malware e ransomware

A cura di Gastone Nencini, Country Manager Trend Micro Italia

Le minacce informatiche continuano a flagellare l’Italia, che nel 2020 a livello mondiale risulta il quinto Paese più colpito dai macro malware (primo in Europa) il settimo per attacchi malware e l’undicesimo per attacchi ransomware. I dati emergono da “A Constant State of Flux: Trend Micro 2020 Annual Cybersecurity Report”, il report di Trend Micro Research sulle minacce informatiche che hanno colpito nel corso dell’anno passato.

Mondo: rilevate 119.000 minacce al minuto

Nel 2020 Trend Micro ha rilevato 119.000 minacce al minuto, facendo registrare un +20% rispetto al 2019. Le cause di questo incremento sono da ricercarsi nel lavoro da remoto che ha determinato l’incremento della pressione cybercriminale su molte infrastrutture. Gli attacchi alle reti domestiche sono infatti cresciuti del 210% raggiungendo i 2,9 miliardi. Il phishing continua a essere una delle tattiche più sfruttate dai cybercriminali, il 91% di tutte le minacce è arrivato infatti via email e gli URL unici di phishing intercettati sono stati 14 milioni. Il numero di vulnerabilità pubblicate dalla  Zero Day Initiative di Trend Micro è cresciuto del 40%, per un totale di 1.453 vulnerabilità, l’80% delle quali è stato etichettato “ad alto rischio”.

Italia: cosa è successo nel 2020

  • Macro Malware – L’Italia è il Paese più colpito in Europa, quinto al mondo, con 12.953 attacchi ricevuti
  • Malware – Il numero totale di malware intercettati in Italia nel 2020 è di 22.640.386. Cinque milioni in più rispetto al 2019. L’Italia occupa la posizione numero sette a livello mondiale
  • Ransomware – Nel 2020 l’Italia, preceduta dalla Germania, è il secondo Paese più colpito in Europa, con il 12,2% dei ransomware di tutto il continente. Nel mondo, l’Italia è l’undicesimo Paese maggiormente attaccato da questa minaccia. Ai primi tre posti Turchia, Cina e India
  • App maligne – Il numero di app maligne scaricate nel 2019 è di 170.418. L’Italia è undicesima al mondo
  • Le minacce arrivate via mail sono state312.232.742
  • Visite a siti maligni – Le visite ai siti maligni sono state 11.548.546. I siti maligni ospitati in Italia e bloccati sono stati 2.883.335
  • Online Banking – i malware di online banking intercettati sono stati 4.468

In tutto il mondo, Trend Micro ha bloccato nel 2020 un totale di 62,6 miliardi di minacce

  • Il report completo è disponibile a questo link
  • Ulteriori informazioni sono disponibili all’interno del sito Trend Micro

App e social media solo audio: quali sono i rischi per gli utenti e come proteggersi

Trend Micro ha studiato e approfondito il fenomeno dei social media audio attraverso una ricerca, svolta tra l’8 e l’11 febbraio.

A cura di Federico Maggi, Senior Threat Researcher di Trend Micro

Recentemente i social media basati su audio come ClubHouseRiffrListen, Audlist, e HearMeOut hanno catturato l’interesse di un numero sempre maggiore di utenti. Come qualsiasi altra tecnologia però, app come queste non sono immuni dai rischi per la sicurezza.

Quali sono i rischi per la sicurezza degli utenti di queste nuove piattaforme social basate su audio?

Ecco di seguito una cartella dei rischi di queste piattaforme.

1. Intercettazione del traffico di rete e intercettazioni in generale

Un utente malintenzionato può scoprire chi partecipa alla conversazione analizzando il traffico di rete. Questo processo può essere automatizzato e consente di ottenere informazioni riservate, anche riguardo alle chat private tra due o più utenti. In questo caso, ClubHouse è al lavoro per implementare opportune contromisure.

2. Clonazione della voce e deepfake

Un utente malintenzionato potrebbe impersonare un personaggio pubblico clonando la voce e utilizzandola per far dire cose che la persona non direbbe mai, con conseguenze anche gravi sulla reputazione. Un malintenzionato potrebbe anche clonare la voce e creare un profilo falso di un famoso trader, attirare gli utenti a unirsi in una stanza e avallare una determinata strategia finanziaria, per esempio.

3. Registrazione opportunistica

Come indicato nei termini di servizio della maggior parte (se non di tutte) le app, il contenuto della maggior parte dei social network solo audio è pensato per essere effimero e “solo per i partecipanti”. Chiaramente questo non impedisce ai malintenzionati di effettuare registrazioni, clonare account, seguire automaticamente tutti i contatti dell’account per renderlo più autentico, unirsi a un’altra stanza e utilizzare il campione del discorso per far dire alla voce “clonata” frasi che possono compromettere la reputazione del personaggio “vittima.”

4. Molestie e ricatti

Tipicamente gli utenti ricevono una notifica quando gli utenti seguiti si uniscono a stanze pubbliche. Questo meccanismo fornisce la possibilità a un malintenzionato di sapere quando la propria vittima si unisce a una stanza pubblica. L’aggressore potrebbe quindi unirsi a quella stanza, chiedere al moderatore di parlare e dire qualcosa o trasmettere in streaming un audio preregistrato per ricattare o molestare la vittima. Questo processo può essere facilmente eseguito automaticamente tramite l’uso di script. Fortunatamente, la maggior parte delle app ha anche funzionalità per bloccare e segnalare utenti offensivi.

5. Servizi underground

Alcuni utenti stanno già discutendo circa l’acquisto di pacchetti di follower, con presunti sviluppatori che promettono di creare bot utilizzabili per black marketing. Sebbene illegali, questi servizi non costituiscono un rischio diretto per i dispositivi digitali del cliente, ma prevedono che il cliente interagisca con soggetti non accreditati e tipicamente interessati al profitto tramite attività illecite.

6. Canali audio nascosti

Utilizzando queste piattaforme, i cybercriminali possono utilizzare l’audio per creare cosiddetti “covert channel,” (ad esempio attraverso tecniche di steganografia), creando dei canali di comando e controllo (C&C). Se i social network audio continuano a essere popolari, gli aggressori possono considerarli un canale alternativo affidabile per future botnet.

Come proteggersi?

Alcuni suggerimenti per un uso sicuro degli strumenti social basati su audio:

  • Unirsi a stanze pubbliche e parlare come se si parlasse in pubblico. Gli utenti dovrebbero dire cose che direbbero solo in pubblico, in quanto c’è la possibilità che qualcuno, nella stanza virtuale, stia registrando (anche se la registrazione senza consenso scritto è contraria ai termini di servizio della maggior parte, se non di tutte, le app)
  • Non fidarsi di qualcuno solo per il suo nome. Queste piattaforme al momento non hanno processi di verifica dell’account. Meglio controllare sempre che la biografia, il nome utente e i contatti dei social media collegati siano autentici
  • Concedere solo le autorizzazioni necessarie e condividere i dati strettamente indispensabili. Ad esempio, se gli utenti non vogliono che le app raccolgano tutti i dati dalla propria rubrica, possono negare l’autorizzazione e lo strumento continuerà a funzionare correttamente

La ricerca è stata condotta tra l’8 e l’11 febbraio 2021 da Federico Maggi, Senior Threat Researcher Trend Micro. Al momento della pubblicazione, alcuni dei problemi descritti in questo documento potrebbero essere stati o sono attualmente in fase di risoluzione da parte dei fornitori delle app. I marchi qui menzionati sono stati informati dei risultati della ricerca.

Ulteriori informazioni sono disponibili a questo link

Connected car sempre più vulnerabili agli attacchi cyber

Il nuovo studio Trend Micro analizza le nuove minacce informatiche ai veicoli e come difendersi

A cura di Federico Maggi, Senior Threat Researcher di Trend Micro

La tecnologia che supporta le auto connesse rimane vulnerabile agli attacchi informatici. Il dato emerge da “Cyber Security Risks of Connected Cars”, l’ultimo studio Trend Micro, leader globale di cybersecurity. La ricerca descrive alcune situazioni spiacevoli in cui i conducenti potrebbero ritrovarsi e le minacce alla sicurezza e all’incolumità delle persone all’interno del veicolo. I ricercatori Trend Micro hanno infatti valutato 29 scenari di attacco, secondo il modello di minaccia DREAD[1] per l’analisi qualitativa del rischio. Questi attacchi potrebbero essere lanciati da remoto contro i veicoli delle vittime, ma anche dall’interno di questi ultimi.

Esempi e highlights degli attacchi cyber alle connected car:

  • Gli attacchi DDoS ai sistemi di trasporto intelligenti (ITS) potrebbero sovraccaricare le comunicazioni delle auto connesse e rappresentare un rischio elevato di malfunzionamento. In questa categoria di attacchi si possono trovare alcuni esempi, come cartelli stradali compromessi per mostrare messaggi di attivismo politico, macchine per il pagamento dei pedaggi messe fuori uso da ransomware, monitor delle stazioni non funzionanti e sistemi di controllo del traffico esposti direttamente su Internet, tra cui segnali stradali, sensori ambientali e telecamere a circuito chiuso.
  • I sistemi delle auto connesse che sono esposti e vulnerabili sono facilmente individuabili e questo li rende a rischio ancora maggiore di subire attacchi
  • Oltre il 17% di tutti i vettori di attacco esaminati è ad alto rischio secondo il modello DREAD e richiede una conoscenza limitata della tecnologia dei veicoli per essere sfruttato. Per questa ragione, gli attacchi potrebbero essere realizzati anche da persone poco qualificate

Questa ricerca dimostra che gli aggressori che cercheranno di sfruttare le tecnologie a bordo delle moderne auto connesse beneficiano di ampie possibilità. Fortunatamente, al giorno d’oggi le opportunità di attacco sono limitate e i criminali non hanno ancora trovato modi affidabili per monetizzare, anche se abbiamo visto che ne parlano nei vari forum underground. Grazie alle recenti normative delle Nazioni Unite, che impongono a tutte le auto connesse di includere la sicurezza informatica e a un nuovo standard ISO, questo è sicuramente il momento migliore per identificare e affrontare al meglio il rischio informatico delle auto, mentre andiamo verso un futuro di veicoli connessi e autonomi.[2]

In tutto il mondo, le spedizioni di autovetture con connettività integrata raggiungeranno i 125 milioni nel 2022 e il futuro è rappresentato da veicoli completamente autonomi. Questo progresso creerà un ecosistema complesso, che comprenderà cloud, IoT, 5G e altre tecnologie chiave, ma che presenterà però anche un’enorme superficie di attacco, costituita da milioni di endpoint e utenti finali.

Man mano che il settore continuerà a svilupparsi, criminali informatici, hacktivisti, terroristi, Stati Nazionali, addetti ai lavori e persino operatori senza scrupoli avranno molteplici opportunità di monetizzare e sabotare. Dopo aver studiato i 29 vettori di attacco, la ricerca afferma che il rischio complessivo di attacchi informatici è “medio”. Tuttavia, ogni volta che applicazioni SaaS vengono incorporate nell’architettura elettrica/elettronica (E/E) dei veicoli e i criminali informatici creano nuove strategie di monetizzazione, l’evoluzione negli attacchi porta a minacce di rischio più elevate.

Per mitigare i rischi delineati nello studio, la sicurezza delle auto connesse deve essere progettata con una visione integrata di tutte le aree critiche, per proteggere la supply chain dei dati end-to-end.

Trend Micro suggerisce le seguenti linee guida per la protezione delle connected car:

  • Implementare processi di avviso, contenimento e mitigazione efficaci, presupponendo di subire una compromissione
  • Proteggere la supply chain dei dati end-to-end attraverso la rete E/E dell’auto, l’infrastruttura di rete, i server back-end e il VSOC (Vehicle Security Operations Center)
  • Rafforzare ulteriormente le difese e prevenire la ripetizione degli incidenti in base agli eventi subiti
  • Le tecnologie di sicurezza pertinenti includono firewall, crittografia, controllo dei dispositivi, sicurezza delle app, scanner di vulnerabilità, code signing, IDS per CAN, AV e molto altro

Trend Micro offre soluzioni di sicurezza informatica IoT specifiche per le auto connesse, ulteriori informazioni sono disponibili a questo link

Ulteriori informazioni sulla ricerca e il white paper sono disponibili a questo link


[1] Il modello DREAD valuta quanto è grave il danno, quanto è facile l’attacco da lanciare e replicare, quanto è facile trovare una debolezza sfruttabile e quanti utenti potrebbero essere interessati

[2] https://unece.org/press/un-regulations-cybersecurity-and-software-updates-pave-way-mass-roll-out-connected-vehicles   

Se me lo dicevi prima

A cura di Tiberio Molino, Senior Sales Engineer di Trend Micro Italia

Forse una delle meno conosciute, Se me lo dicevi prima è una canzone dell’indimenticabile Enzo Jannacci – gran milanista – dove racconta la brutta abitudine di scansare le richieste di aiuto, con la scusa di averlo saputo troppo tardi. Vero, non vero, chissà.

Sapere le cose prima e agire per tempo è però un imperativo nella sicurezza in generale e – nello specifico – per combattere il cybercrime, rapido a sfruttare le falle di sicurezza o di configurazione, anche quelle meno evidenti.

RSS, feeding, alert sono tutte valide fonti di avvisi disponibili in abbondanza sul web, ci vuole comunque un certo impegno (le risorse), la costanza (il tempo) e le conoscenze (la professionalità) per armonizzare e tradurre nel pratico questo flusso continuo di informazioni, sapendo distinguere quelle veramente importanti per l’ambiente nel quale si opera da altre più generiche.

Saper intercettare nei segnali definiti a bassa intensità  le caratteristiche di campagne di attacco a livello locale o globale è fondamentale per acquisire la consapevolezza di quanto sta accadendo.

Esempi di segnali a bassa intensità sono nomi di file tipicamente di Sistema Operativo trovati al di fuori delle cartelle di sistema, creazione o modifica ricorrente dei parametri di task schedulati, richieste di sapere il nome host e così via.

Mentre questo approccio preventivo è piuttosto consolidato, la proattività nelle segnalazioni prende nuove vie che possiamo trovare in  Trend Micro Vision One – la piattaforma di servizi per semplificare le attività di protezione e la difesa delle organizzazioni – attraversola app Identity and Risk Insight, che tiene in considerazione utenti, dispositivi, indirizzi IP e applicazioni usati dall’organizzazione.

Figura 1- Identity and Risk Insights

Per esempio, è possibile segnalare sulla base delle informazoni ricavate da Active Directory se un utente ha dei comportamenti anomali, così come dai metadati delle mail ricevute e inviate oppure dal traffico e dal  netflow dei dati di rete.

È interessante notare la divisione tra app sanzionate – quelle legittime a conoscenza dell’ITe app non sanzionate – quelle per esempio usate impropriamente in smart working da casa e conosciute anche come “shadow IT” –  accedute magari senza interfacce di Identity Management o procedure di single sign-on.

Figura 2- App Security Posture

L’abuso delle applicazioni non sanzionate non è di facile percezione – e certo lo smart working non aiuta – però è un indicatore importante sia del  grado di rischio complessivo a cui si espone l’organizzazione sia del rischio specifico di alcuni sistemi o account, che va sotto il nome di Immediate Risk.

Come per tutte le attività di un SOC, la capacità di dare priorità alle situazioni fa la differenza per intervenire tempestivamente, l’indice Immediate Risk segnala entità che mantengono un livello di rischio superiore a una certa soglia nel tempo e che sono quindi potenzialmente compromesse.  Individuate queste entità, dopo le indagini del caso si possono considerare una serie di azioni di mitigazione, da svolgere direttamente dalla console Trend Micro Vison One XDR.

In sintesi, Trend Micro Vision One XDR offre un servizio di analisi sofisticato ma semplice da usare che indirizza con rapidità la ricerca di entità a rischio prima che sia troppo tardi, perché non capiti più di finire sotto attacco e dire “Eh, se me lo dicevano prima…”.

Ulteriori informazioni sono disponibili a questo link.