Archivio mensile:Luglio 2021

Malware e ransomware: è allarme sanità

Nel 2020 il settore più bersagliato in Italia per quantità di malware e ransomware unici è stato quello della sanità. A seguire il banking e la PA

A cura di Alessandro Fontana Head of Sales Trend Micro Italia

Nel 2020 il settore più bersagliato in Italia per quantità di malware e ransomware unici è stato quello della sanità. A seguire il banking e la PA. Il dato emerge dall’ultimo report di Trend Micro Research, la divisione di Trend Micro specializzata in ricerca&sviluppo e lotta al cybercrime. Per malware unico si intende un singolo programma maligno con caratteristiche proprie. Questa analisi prende dunque in considerazione il numero totale di programmi maligni pensati appositamente per un determinato settore e non il numero totale di volte che sono stati utilizzati per un attacco, numero che ovviamente risulterebbe maggiore.

Nel 2020 sono 20.777 i malware unici e 2.063 i ransomware unici che hanno colpito le strutture sanitarie italiane. Un settore già sotto pressione a causa della criticità e sensibilità dei dati custoditi e che ha dovuto fare i conti con una situazione resa ancora più difficile dal momento sanitario globale. L’esigenza di dover garantire al massimo le prestazioni e l’erogazione dei servizi in un periodo di pandemia ha infatti attratto ancora di più i cybercriminali e costretto le strutture sanitarie ad alzare maggiormente le proprie difese. A seguire, i settori più bersagliati sono stati il banking e il tech per quanto riguarda i malware unici e la PA e i trasporti per i ransomware unici. I numeri alti di malware e ransomware unici indicano che nel 2020 i cybercriminali hanno scelto determinati settori e costruito attacchi su misura, caratterizzati da un’alta targettizzazione e profilazione degli obiettivi.

Il settore della sanità è tra i più bersagliati al mondo per la quantità e la qualità di dati sensibili che custodisce e che ovviamente hanno un grande valore economico. Le minacce più utilizzate negli schemi di attacco sono i malware e i ransomware, veicolati anche attraverso comunicazioni e-mail studiate ad hoc. Le azioni criminali non mirano solo a bloccare i sistemi e magari chiedere un riscatto, ma anche a capitalizzare le informazioni sensibili. É prioritario per le strutture sanitarie prevedere un piano d’azione che includa sia una difesa sul piano tecnologico che un piano formativo del personale in ambito Cyber, per aggiornare costantemente le competenze.

A seguire, i dati dei malware e ransomware unici per tipologia e industry.

Attacchi malware unici in Italia per settore

2020
IndustryCount
Healthcare            20.777
Banking            13.181
Technology            11.984
Government            11.203
Manufacturing              8.865
Utilities              2.279
Transportation              2.050
Financial              1.226
Retail              1.069
Food and beverage                 917
Others 12.229
Unknown 157.363
  243.143

Attacchi ransomware unici in Italia per settore

2020
IndustryCount
Healthcare              2.063
Government                 180
Transportation                 153
Food and beverage                   78
Technology                   48
Manufacturing                   47
Retail                   38
Insurance                   20
Banking                   16
Utilities                   12
Others                   87
Unknown              1.752
               4.494

Ulteriori informazioni sulle soluzioni Trend Micro sono disponibili a questo link

Continua l’estate del cybercrime: cosa fare?

I ransomware colpiscono sempre più forte, ecco alcuni consigli su come proteggersi

A cura di Gastone Nencini, Country Manager Trend Micro Italia

Di recente abbiamo definito questa estate come l’estate del crimine informatico. I principali attacchi ransomware continuano a colpire le aziende a livello globale e gli attacchi possono causare danni significativi, dal punto di vista finanziario, della reputazione e della produttività. Nella maggior parte dei casi, gli attacchi potrebbero essere fermati seguendo quelli che sono i processi e le azioni da intraprendere per avere una postura di sicurezza aziendale in linea con le best practice del settore. Questa è la chiave per fermare la crescente tendenza di attacchi ransomware moderni e di successo. 

Gli attacchi ransomware moderni

Il ransomware moderno sfrutta un’ampia gamma di strumenti e tattiche per navigare nell’infrastruttura aziendale e trovare i “gioielli della corona”. Spesso, il punto di ingresso iniziale è rappresentato da vulnerabilità note che non sono state corrette. Uno degli ultimi attacchi a livello globale ha infatti utilizzato vulnerabilità già conosciute del software Kaseya, oltre a vulnerabilità 0-Day. Sebbene questo sia sempre più raro, gli attacchi che utilizzano nuovi bug possono ancora essere fermati. Indipendentemente da come gli aggressori penetrano l’infrastruttura aziendale, esistono diverse metodologie con cui gli attacchi possono essere individuati e fermati, prima che arrivino al punto di crittografare i dati e chiedere un riscatto. 

Queste sono le possibili conseguenze degli attacchi ransomware di oggi:

  • Il ransomware crittografa i file e poi rilascia una richiesta di riscatto con pagamento in bitcoin
  • Doppia estorsione: ransomware + esfiltrazione di dati. In questo caso se l’utente colpito non paga il riscatto rischia di vedere i propri dati resi pubblici. Maze è stato il primo caso documentato ma altri gruppi cybercriminali hanno seguito l’esempio, come visto di recente nell’attacco a Colonial Pipeline
  • Triplice estorsione. Doppia Estorsione + minaccia di un attacco DDoS. Avaddon è  stato il primo caso documentato
  • Estorsione quadrupla. Ransomware + (Possibile Esfiltrazione di dati o DDoS) + invio diretto di e-mail alla base clienti della vittima. Cl0p è stato il primo caso documentato, come descritto da Brian Krebs

Fermare gli attacchi grazie a una corretta igiene della sicurezza

Gli attacchi multi-estorsione possono essere fermati  sfruttando le soluzioni di sicurezza, ma è importante avere una profonda conoscenza della problematica per poter individuare quelli che sono i segnali iniziali. Questa è una lotta quotidiana per molte aziende, che potrebbe essere risolta facendo in modo che un partner di sicurezza gestisca con personale specializzato l’infrastruttura di sicurezza.

In ogni caso esistono alcune azioni che dovrebbero essere attivate rapidamente come parte delle migliori pratiche di sicurezza dell’organizzazione, per mitigare il rischio portato dagli attacchi:

  • Abilitare il monitoraggio del comportamento e il machine learning con le configurazioni consigliate. Ciò impedisce ai client di aver bisogno di aggiornamenti o nuovi rilevamenti quando viene scoperto un importante evento, come l’attacco Kaseya
  • Mantenere un solido piano di gestione delle patch. Questo protegge dalle vulnerabilità note applicando gli aggiornamenti disponibili. Le patch virtuali  possono anche coprire il periodo fino a quando la patch ufficiale non è disponibile o applicata
  • Utilizzare l’autenticazione a più fattori o a 2 fattori per gli account amministrativi critici, in particolare nei sistemi pubblici. Questo rende più difficile per gli aggressori abusare di credenziali compromesse per ottenere l’accesso al sistema
  • Praticare la regola di backup 3-2-1. Se si verifica un attacco ransomware di successo, è fondamentale mantenere almeno tre copie dei dati aziendali in due formati diversi, con una copia air gap posizionata fuori sede. Ciò garantisce di poter ripristinare le funzionalità senza dover pagare il riscatto per decrittografare i file

Queste non sono ovviamente le uniche azioni di sicurezza che aiutano a proteggere le aziende, ma sono quelle che prevengono i punti di ingresso più comuni negli attacchi ransomware di oggi. Avere tutta la potenza di una soluzione di sicurezza attivata e ottimizzata per il proprio ambiente elimina le crepe e le lacune e ferma l’attacco subito. Le capacità di monitoraggio comportamentale e di machine learning di Trend Micro, per esempio, hanno identificato il componente ransomware dell’incidente Kaseya. Questo significa che i clienti Trend Micro erano protetti prima che l’attacco fosse noto. Inoltre, Trend Micro è perfettamente in grado di gestire la security di quelle aziende che non hanno le risorse per mantenere il proprio stack di sicurezza. Questo garantisce il più alto livello di protezione disponibile. 

1/4 delle vulnerabilità vendute nel mercato cybercriminale ha più di tre anni

Una nuova ricerca Trend Micro pone l’accento sull’importanza del virtual patching

A cura di Lisa Dolcini, Head of Marketing Trend Micro Italia

ll 22% degli exploit venduti nei forum underground ha più di tre anni. Questo il dato che emerge da “The Rise and Fall of the N-day Exploit Market in Cybercriminal Underground”, l’ultima ricerca Trend Micro. È quindi assolutamente prioritario, per le aziende, focalizzare la propria attenzione e gli sforzi relativi al patching su quelle vulnerabilità che mettono più a rischio l’organizzazione, anche se “vecchie” di diversi anni.

I criminali sono al corrente che le aziende lottano per stabilire le priorità e applicare tempestivamente le patch. La nostra ricerca mostra che i ritardi vengono spesso sfruttati. La validità di una vulnerabilità o di un exploit non è correlata alla disponibilità di una patch, gli exploit più vecchi sono più economici e quindi potrebbero essere più popolari tra i criminali che fanno acquisti nei forum underground. L’applicazione di patch virtuali rimane il modo migliore per mitigare i rischi di minacce note e sconosciute.

Il report rivela diverse curiosità legate alle vulnerabilità e agli exploit legacy, ad esempio:

  • L’exploit più vecchio venduto nell’underground era relativo alla vulnerabilità CVE-2012-0158, un RCE Microsoft
  • La vulnerabilità CVE-2016-5195, nota come exploit della “mucca sporca – dirty cow”, è ancora in corso dopo cinque anni
  • Nel 2020 WannaCry era ancora la famiglia di malware più rilevata e a marzo 2021 erano presenti oltre 700.000 dispositivi vulnerabili in tutto il mondo
  • Il 47% dei criminali informatici ha cercato di prendere di mira i prodotti Microsoft negli ultimi due anni

Il rapporto rivela anche un calo del mercato delle vulnerabilità zero-day e N-day negli ultimi due anni. Questo è dovuto in parte alla popolarità dei programmi di bug bounty, come la Zero Day Initiative di Trend Micro, ma anche all’incremento della modalità Access-as-a-Service come nuova forza nel mercato degli exploit. Un pacchetto Access-as-a-Service ha i vantaggi di un exploit e la maggior parte del lavoro è già stato fatto. I prezzi nell’underground partono da 1.000 USD.

Le diverse tendenze cybercriminali si stanno combinando e questo crea un rischio maggiore per le organizzazioni. Con quasi 50 nuove vulnerabilità scoperte al giorno, la pressione sui team di sicurezza, che si ingegnano per stabilire le priorità e distribuire patch tempestive, non è mai stata così grande. Oggi il tempo medio per avere una patch relativa a una nuova vulnerabilità è di circa 51 giorni. Per colmare questa lacuna nella sicurezza, è fondamentale il virtual patching, basato sulla tecnologia di prevenzione delle intrusioni, che offre un modo semplice per proteggere i sistemi vulnerabili, o a fine ciclo, da minacce note e sconosciute.

Ulteriori informazioni sono disponibili a questo link

Il report “The Rise and Fall of the N-day Exploit Market in Cybercriminal Underground” è disponibile a questo link

Una strategia cloud-first genera un rating del 79% per il canale dedicato alla cybersecurity

Trend Micro conferma la posizione di leadership nella Canalys Global Cybersecurity Channel Matrix

A cura di Gastone Nencini, Country Manager Trend Micro Italia

Siamo felici di annunciare di essere stati nominati “Champion” nella Canalys Global Cybersecurity Leadership Matrix per il secondo anno consecutivo. In seguito a un importante aggiornamento del nostro partner program, abbiamo visto miglioramenti straordinari nel programma di canale, che ha raggiunto una valutazione del 79%.

“Lo status di Champion di Trend Micro dimostra la forza della sua strategia channel-first e l’efficace supporto di partner con diversi modelli di business”. Ha affermato Matthew Ball, Chief Analyst di Canalys. “Trend Micro ha dimostrato di essere un leader e un partner abilitatore nelle principali aree emergenti, inclusa la protezione della migrazione cloud e la hybrid security, tramite i marketplace cloud“.

Canalys colloca Trend Micro al secondo posto nel quadrante, con le migliori metriche per quanto riguarda i partner che si contraddistinguono per “velocità dei prezzi e competitività” (82%) e “impegno nei confronti dei partner di canale” (80%).

Canalys sottolinea gli eccezionali progressi di Trend Micro in numerose aree chiave:

  • A dicembre 2020, il 53% dei partner aveva venduto prodotti SaaS, di cui oltre il 30% era passato a un modello SaaS-only
  • 28% di crescita anno su anno nell’area MSP, grazie alla campagna Hello MSP e all’offerta Vision One (SOCaaS)
  • 9% di nuovi clienti in più grazie ai partner, rispetto all’anno precedente. Crescita nel fatturato dell’8%
  • Oltre 25.000 partner attivi
  • La forza di una piattaforma cloud-first


In Trend Micro sappiamo che la nostra leadership nel cloud è più forte quando i partner fanno parte dell’ecosistema. Ecco perché ci impegniamo così tanto per aggiornare il nostro programma e per raddoppiare le attività di canale cloud-first. Siamo molto soddisfatti che un’altra analisi indipendente sulle nostre prestazioni elogi così tanto l’impegno continuo che abbiamo nei confronti dei partner.

Annunciato nell’aprile 2021, il principale aggiornamento del programma di canale Trend Micro offre più risorse di servizi cloud ai partner e premia i successi del cloud-first con sconti aggiuntivi. “Trend Micro è leader nell’assicurare la protezione dei workload cloud dei clienti tramite i partner”. Ha affermato Canalys. “Ha semplificato l’approvvigionamento e la distribuzione tramite i marketplace cloud ed è stato il primo fornitore di sicurezza indipendente a consentire il costo a consumo per i clienti su AWS Marketplace”.

Più recentemente, abbiamo annunciato una nuova piattaforma di servizi per supportare la crescita continua dei partner durante la pandemia. Questa include nuovi servizi:

  • Partner Mobile App: lanciata in ottobre e con oltre 1.300 download a Q1 2021
  • Marketing Central: Una piattaforma di contenuti per le campagne che ha generato un aumento del 55% dei download di documenti di vendita rispetto al 2019, e circa 7.000 download di contenuti di vendita e marketing nel primo trimestre del 2021
  • Demo Cloud / Product Cloud: una funzionalità basata su cloud che consente ai partner di provare le soluzioni Trend Micro e invitare i clienti a testarle, uno strumento avvincente per la generazione di lead. I partner hanno eseguito oltre 20.000 demo istantanee nel 2020, continuando la lead generation durante la pandemia
  • Un portale per i partner rinnovato: gli accessi unici dei partner sono cresciuti del 143% nel 2020, rispetto al 2019, e del 76% nel primo trimestre del 2021


Ulteriori informazioni sul partner program Trend Micro sono disponibili a questo link

Sistemi di controllo industriali: è allarme ransomware

Nuova ricerca Trend Micro, che coinvolge anche l’Italia, sugli ambienti industriali

A cura di Gastone Nencini, Country Manager Trend Micro Italia

In tutto il mondo, Italia compresa, le industrie sono a rischio di subire blocchi della produzione e furti di dati sensibili a causa di attacchi ransomware. Il dato emerge da “2020 Report on Threats Affecting ICS”, l’ultima ricerca Trend Micro.

I sistemi di controllo industriali sono molto difficili da proteggere e il rischio è di avere numerose lacune di security pronte a essere sfruttate dai cybercriminali. Alcuni governi, come quello degli Stati Uniti, equiparano oggi la gravità di un attacco ransomware e di uno terroristico, anche questo dovrebbe convincere i proprietari di aziende nei mercati industriali a mettere la security in cima alla lista delle priorità e a rifocalizzare gli sforzi di sicurezza.

I sistemi di controllo industriali (ICS) sono elementi cruciali all’interno di industrie, fabbriche e impianti e sono utilizzati per il monitoraggio dei processi industriali nelle reti IT-OT. Un ransomware che riesce a penetrare questi sistemi è in grado di bloccare le operazioni per giorni e di entrare in possesso di dati critici, come progetti, programmi, invenzioni e brevetti.

La ricerca Trend Micro svela che i ransomware più pericolosi per le industrie, e che insieme hanno raggiunto più della metà delle infezioni nel 2020, sono Ryuk (20% di attacchi), Nefilim (14,6%), Sodinokibi (13,5%) e LockBit (10,4%).

Il report inoltre rivela:

  • I cybercriminali utilizzano gli endpoint ICS per il mining di criptovalute, sfruttando sistemi operativi senza patch che sono ancora vulnerabili a EternalBlue
  • Alcune varianti di Conficker si stanno diffondendo all’interno di endpoint ICS che utilizzano nuovi sistemi operativi, attraverso attacchi di “forza bruta”  ai privilegi degli amministratori
  • Alcuni vecchi malware come Autorun, Gamarue e Palevo, sono ancora presenti nelle reti IT-OT e si diffondono attraverso i dispositivi rimovibili

Lo studio di Trend Micro pone l’accento sull’urgenza di una cooperazione più stretta tra i team IT e OT, per identificare i sistemi chiave e le dipendenze, come ad esempio la compatibilità con i sistemi operativi e i requisiti di up-time, con l’obiettivo di sviluppare strategie di security più efficaci.

Trend Micro raccomanda le seguenti misure:

  • Implementare un patching veloce è vitale. Nel caso non sia possibile, si può considerare la segmentazione della rete o il virtual patching, come quello offerto da Trend Micro
  • Affrontare i ransomware in seguito a un’intrusione mitigando le cause dell’infezione alla radice, attraverso software di application control e strumenti di rilevamento e risposta, per pulire le reti in base agli indicatori di compromissione
  • Limitare le condivisioni di rete e rinforzare l’utilizzo di combinazioni username/password forti, per prevenire gli accessi non autorizzati attraverso la forzatura di credenziali
  • Utilizzare un IDS o un IPS per sondare i comportamenti normali di rete e identificare attività sospette
  • Scansionare gli endpoint ICS in ambienti air gap, utilizzando strumenti indipendenti
  • Stabilire punti di scansione malware all’interno dei dispositivi USB, e verificare gli strumenti utilizzati per trasferire dati tra endpoint in ambienti air gap
  • Applicare il principio del privilegio minimo agli amministratori e agli operatori delle reti OT

Ulteriori informazioni sono disponibili a questo link

Il report “2020 Report on Threats Affecting ICS” è disponibile a questo link