About these ads


Posts Tagged ‘Virus’

Exclusive Infographic: All Cyber Attacks on Military Aviation and Aerospace Industry

February 22, 2012 2 comments

Cross Posted from TheAviationist.

2011 has been an annus horribilis for information security, and aviation has not been an exception to this rule: not only in 2011 the corporate networks of several aviation and aerospace industries have been targeted by digital storms (not a surprise in the so-called hackmageddon) but, above all, last year will be probably remembered for the unwelcome record of two alleged hacking events targeting drones (“alleged” because in the RQ-170 Sentinel downed in Iran episode, several doubts surround the theory according to which GPS hacking could have been the real cause of the crash landing).

But, if Information Security professionals are quite familiar with the idea that military contractors could be primary and preferred targets of the current Cyberwar, as the infographic on the left shows, realizing that malware can be used to target a drone is still considered an isolated episode, and even worse, the idea of a malware targeting, for instance, the multirole Joint Strike Fighter is still something hard to accept.

However, things are about change dramatically. And quickly.

The reason is simple: the latest military and civil airplanes are literally full of electronics, which play a primary role in managing avionics, onboard systems, flight surfaces, communcation equipment and armament.

For instance an F-22 Raptor owns about 1.7 millions od line of codes , an F-35 Joint Strike Fighter about 5.7 millions and a Boeing 787 Dreamliner about 6.5 millions. Everything with some built in code may be exploited, therefore, with plenty of code and much current and future vulnerabilities, one may not rule out a priori that these systems will be targeted with specific tailored or generic malware for Cyberwar, Cybercrime, or even hacktivism purposes.

Unfortunately it looks like the latter hypothesis is closer to reality since too often these systems are managed by standard Windows operating systems, and as a matter of fact a generic malware has proven to be capable to infect the most important U.S. robots flying in Afghanistan, Pakistan, Libya, and Indian Ocean: Predator and Reaper Drones.

As a consequence, it should not be surprising, nor it is a coincidence, that McAfee, Sophos and Trend Micro, three leading players for Endpoint Security, consider the embedded systems as one of the main security concerns for 2012.

Making networks more secure (and personnel more educated) to prevent the leak of mission critical documents and costly project plans (as happened in at least a couple of circumstances) will not be aviation and aerospace industry’s information security challenge; the real challenge will be to embrace the security-by-design paradigm and make secure and malware-proof products ab initio.

While you wait to see if an endpoint security solution becomes available for an F-35, scroll down the image below and enjoy the list of aviation and aerospace related cyber attacks occurred since the very first hack targeting the F-35 Lightning II in 2009.

Of course aviation and aerospace industries are not the only targets for hackers and cybercriminals. So, if you want to have an idea of how fragile our data are inside the cyberspace, have a look at the timelines of the main Cyber Attacks in 2011 and 2012 (regularly updated) at hackmageddon.com. And follow @pausparrows on Twitter for the latest updates.

As usual the references are after the jump…

Read more…

About these ads

Oops, My Drone Was Infected!

October 8, 2011 3 comments
UAV Operators at Joint Base Balad (LSA Anacond...

Image via Wikipedia

Do you remember the intrepid Jeff Goldbum injecting malicious code on the Alien mothership during one of the most famous scenes of  Independence Day? Easy, no alien invasion is happening, simply a similar event occurred for US drones which were targeted with a common Key-Logger “civil” malware.

Of course no foreign country plugged any malicious ship to US facilities, indeed what has really happened was much more simple and common, an hard-drive which accidentally infected the Ground Control System at Creech Air Force Base in Nevada.

This does not sound surprising to me since I wrote several posts about the growing use of Consumer Technologies for military purposes (but I should have included consumer anti-malware software as well), moreover I also predicted specific malware targeting military planes. Although this is not exactly what happened, there are several points in common with my prediction, essentially the fact that consumer technologies (as simple PCs are) open security doors inside sophisticated military weapons.

So, at this point it should not be surprising, as Wired reports, that a computer virus has infected Predator drones and Reaper drones, logging pilots’ keystroke during their fly missions over Afghanistan and other warzones.

The virus was detected nearly two weeks ago at the Ground Control System (GCS) at Creech Air Force Base in Nevada and has not prevented drones from flying their missions. Nevertheless it has shown an unexpected strength so that multiple efforts were necessary to remove it from Creech’s computers, network security, Wired reposts.

Although Fox News quotes a senior Air Force source according to whom, Wired’s story is “blown out of proportion” and “vastly overwritten.”, this event points out the risks associated with the use of standard technologies to control sophisticated military weapons that play a central role in both its conventional and shadow wars, allowing U.S. forces to attack targets and spy on its foes without risking human lives.

Although they suffer of native security holes (for instance the footage is transmitted in clear), that they are just computers, after all, and hence controlled by standard PCs, that may get virtually sick like any other civil companion.

Although the malware seemed benign, it is still not clear how it could make its way inside the systems and most of all, since it affected classified and unclassified system, if it was able to leak information and send it to a remote source. On the other hand a key-logger is able to steal whatever information is typed on the keyboard to control the drone. As the famous aviation expert David Cenciotti said:

Do you want to know what a keylogger can grab fm a Predator control station? Think to your keyboard inputs when playing w/ Flight Simulator.

Maybe the virus could have accidentally spread: the Ground Control Stations handling more exotic operations are top secret and none of the remote cockpits are supposed to be connected to the public internet, this should make them immune to viruses and other network security threats.

Unfortunately hard disks and pen drives may build bridges connecting public and classified networks, and this could have possibly have happened at the base at Creech since the Predator and Reaper drone crews use removable hard drives to load map updates and transport mission videos from one computer to another. The same hard drives could have spread the malware and, as a consequence, drone units at other Air Force bases worldwide have now been ordered to stop their use.

This is not the first time that an infection has been spread through an hard drive: in late 2008, for example, the drives helped introduce the agent.btz worm to hundreds of thousands of Defense Department computers. It looks like the Pentagon is still disinfecting machines, three years later.

Curiously the virus showed to be very resistant to digital vaccines, and after several attempts to remove it with standard procedures (following removal instructions posted on the website of the Kaspersky security firm), the only safe method to clean it was to wipe the infected hard drives and rebuild them from scratch: a time consuming operations. As to say: sophisticated military weapons and technologies suffer the same issues than civil users (how many Windows installations from scratch after a malware infection), on the other hand the drone virus was detected by the military’s Host-Based Security System, a flexible, commercial-off-the-shelf (COTS)-based application. If you look carefully at the HBSS web site you will also be able to identify the commercial security technology which lays behind the HBSS.

Is it times for drones to be natively equipped with anti malware?

Il Mobile Malware Contagioso

March 15, 2011 2 comments

Come saprete sicuramente ieri al Security Summit di Milano si è tenuta la tavola rotonda “Mobile Security: Rischi, Tecnologie, Mercato“. Sicuramente è stata una occasione molto interessante per valutare lo scenario di rischio attuale, le evoluzioni di tecnologie e mercato e soprattutto la prospettiva degli operatori. Nell’attesa di condividere le impressioni sottolineo il fatto che, a forza di parlare di mobile malware, alla fine il malware l’ho preso io. Uno dei virus deve essere passato dall’Androide all’Uomo e ha contagiato anche me. Oggi mi ritrovo a letto con 38 di febbre!

Categories: Mobile, Security Tags: , ,

Sono Rimasto di Stuxnet…

March 1, 2011 1 comment

Dietro ogni incontro, anche il più impensabile, si nasconde un fatto divertente. Durante una delle riunioni di lavoro di oggi, uno dei partecipanti, lettore del blog, mi ha casualmente raccontato che pochi giorni or sono, durante una attività professionale di tutt’altro tipo, si era imbattuto in Stuxnet, il famigerato Virus delle Centrali Nucleari. Dal momento che il malware era stato prontamente rilevato dall’Antivirus a bordo del Notbeook, non ho resistito alla tentazione e gli ho chiesto se la sua macchina recava ancora i segni dell’infezione.

Il risultato è davanti ai vostri occhi e in effetti devo ammettere che alla visione dell’immagine sottostante mi sono leggermente emozionato perché finalmente, dopo tanto parlarne, mi sono indirettamente imbattuto anch’io nel terrore dello SCADA e delle Infrastrutture Critiche, nonché indiscusso protagonista del panorama di sicurezza informatica del 2010.

Domanda facile facile: secondo voi quale è stato il meccanismo di infezione tra quelli disponibili dal Malware? Mentre indovinate la facile risposta vi invito comunque a non preoccuparvi: l’incontro ravvicinato del terzo tipo non è avvenuto in una centrale nucleare…

La Sindrome Cinese

February 17, 2011 Leave a comment

Nel giorno in cui anche alla RSA Conference 2011 è stato ribadito che “E’ ora di prepararsi per le minacce mobili”, la Sindrome Cinese ha nuovamente colpito l’Androide che, in poche ore, è stato vittima di un nuovo malanno informatico. Ancora proveniente dalla Cina, ancora caratterizzato dal fatto di utilizzare come vettore di infezione un store di applicazioni parallelo cinese. A quanto pare quindi il malware Geinimi ha fatto proseliti.

A seguire le sue orme è oggi il malware HongTouTou (conosciuto anche con il nome di Android.Adrd o anche Android/Adrd.A nella sua ultima variante).

Le dinamiche di questo nuovo contagio dell’Androide Cagionevole (che alcuni ritengono essere una variante di Geinimi) sono le medesime, purtroppo collaudatissime, del suo illustre predecessore: il malware è rimpacchettato dentro applicazioni Android popolari e distribuito tramite market di applicazioni parallele e forum frequentati da utenti di lingua cinese. Ovviamente l’utente dovrebbe accorgersi dei permessi sospetti richiesti durante la fase di installazione.

Il malware, di cui sono state rilevate 14 istanze, è impacchettato dentro applicazioni lecite (tra cui il famosissimo Robo Defense con cui ho passato ore di riposo all’ombra di un ombrellone sotto il Sol Leone dell’Agosto passato). Una volta installata l’applicazione richiede i seguenti permessi, in realtà un po’ sospetti per un semplice passatempo o per un wallpaper:



All’avvio dell’applicazione infetta,  il malware si insinua nel telefono colpito viene eseguito al verificarsi di una delle condizioni sottostanti:

  • Sono passate 12 ore dell’avvio del Sistema Operativo;
  • E’ cambiata la connettività di rete (ad esempio è stata persa e ristabilita);
  • Il dispositivo infetto riceve una chiamata.

All’avvio il Trojan tenta di rubare le seguenti informazioni;

  • 3gnet
  • 3gwap
  • APN
  • cmnet
  • cmwap
  • Hardware information
  • IMEI
  • IMSI
  • Network connectivity
  • uninet
  • uniwap
  • Wifi

e le invia cifrate ad una coppia di domini remoti:



In risposta, HongTouTou riceve una pagina Web, ed un insieme di parole chiave di ricerca da inviare come query. Le richieste vengono inviate ad alcuni link noti. Un esempio di stringa è la seguente:

wap.baidu.com/s?word=[ENCODED SEARCH STRING]&vit=uni&from=[ID]


Lo scopo delle query è quello di incrementare il ranking e quindi la visibilità del sito Web.

A questo punto il malware emula il processo di richiesta utilizzando le parole chiave, analizza i risultati della ricerca con il ranking maggiore ed emula i click su specifici risultati, come se fosse l’utente ad effettuarli. Per il motore di ricerca truffato, le richieste sembrano provenire da un utente mobile che utilizza come browser il programma UCWeb Browser, “casualmente” un progamma di navigazione mobile “Made in China” (l’User-Agent corrisponde a J2ME/UCWEB7.4.0.57).

Il malware inoltre è in grado di scaricare pacchetti di installazione Android APK e quindi di autoaggiornarsi. Anche se ancora non è stato osservato sembrerebbe che il malware sia anche in grado di monitorare le conversazioni SMS e inserire contenuto inopportuno all’interno della conversazione SMS.

Ancor prima di dotarsi di una applicazione anti-malware mobile, come al solito le raccomandazioni sono sempre le stesse:

  • Evitare, a meno che non sia strettamente necessario, di abilitare l’opzione di installazione delle applicazioni da Sorgenti Sconosciute (pratica definita anche “sideloading”).
  • Fare attenzione in generale a ciò che si scarica e comunque installare esclusivamente applicazioni da sorgenti fidate (ad esempio l’Android Market ufficiale, le cui applicazioni non sono infette). Buona abitudine è anche quella di verificare il nome dello sviluppatore, le recensioni e i voti degli utenti;
  • Controllare sempre i permessi delle applicazioni durante l’installazione. Naturalmente il buon senso corrisponde al migliore anti-malware per verificare se i permessi sono adeguati allo scopo dell’applicazione;
  • Fare attenzione ai sintomi comportamenti inusuali del telefono (ad esempio SMS inusuali o una sospetta attività di rete) che potrebbero essere indicatori di una possibile infezione.

Aldilà delle raccomandazioni, applicabili in qualsiasi contesto, non posso fare a meno di notare che HongTouTou (o Android.Adrd) è il secondo malware per l’Androide proveniente dalla Cina in meno di due mesi. Poiché sovente i produttori cinesi di sicurezza sono  stati accusati di mettere in circolazione essi stessi il malware per promuovere i propri prodotti, mi domando a questo punto se certe scorciatoie non siano sbarcate anche nel mondo mobile…

I Cinque Domini Dell’Apocalisse

February 15, 2011 2 comments

Quando la sicurezza Informatica incontra (involontariamente) l’arte…

Zoom Del Grafico Infezione al Dominio E (Aprile 2010 - Dati Symantec)

Symantec ha da poco pubblicato un aggiornamento relativo al proprio documento di analisi del malware Stuxnet. In questa versione del documento, che rappresenta forse il lavoro più esaustivo dedicato al malware delle centrali nucleari, il produttore di sicurezza di Cupertino ha aggregato i dati raccolti relativi al traffico effettuato dal malware verso i server di controllo remoto, con lo scopo di tracciare la linea spazio-temporale che ha caratterizzato l’infezione.

Come molti ricorderanno Stuxnet è stato da subito caratterizzato da una notevole complessità tecnica sancita, oltre che dall’uso massiccio di vulnerabilità 0-day, anche da molteplici meccanismi di infezione. A partire dall’infezione di una qualsiasi macchina Windows connessa in rete (il paziente zero), il malware è stato in grado di propagarsi con virulenza inaudita [e con l' (in)sperato supporto delle Vulnerabilità 0-day di Microsoft] all’interno della LAN. Come ultimo livello di infezione, grazie alla possibilità di propagarsi tramite drive USB, il malware ha raggiunto il vero (presumibile) obiettivo finale costituito dai nodi di programmazione PLC (definiti field PG) dei miscelatori delle Centrali Nucleari (soprattutto quelle Iraniane), nodi che tipicamente non sono connessi in rete.

Oltre a molteplici meccanismi di infezione, il team di sviluppo di Stuxnet (perché di un team deve essersi trattato considerata la complessità dell’architettura) ha dotato il malware della possibilità di aggiornarsi (per contrastare l’aggiornamento dei sistemi operativi e dei software di protezione anti-malware) e di essere controllato da remoto. In effetti il virus delle centrali nucleari non si è fatto mancare nulla ed i suoi creatori hanno previsto, seguendo la tendenza attuale del malware evoluto, un efficiente meccanismo peer-to-peer per controllare il malware da remoto ed eventualmente aggiornarlo grazie alla possibilità di connettersi ad un Server remoto di Comando e Controllo (C&C).

Sfrtuttando questo “vizietto” del malware, a partire dal 20 luglio 2010, Symantec ha messo in opera il monitoraggio del traffico dagli host compromessi connessi in rete verso i server di comando e controllo di Stuxnet. L’analisi dei campioni di virus analizzati ha consentito difatti di rilevare che i server di comando e controllo puntavano in realtà (tramite l’usuale http 80) a due domini:


facenti riferimento a server ubicati in Malesia e Danimarca. Una volta smascherati i finti domini il traffico è stato rediretto in lidi più sicuri. Contestualmente è stato possibile monitorare e analizzare il flusso di dati, impedendo ulteriormente il controllo delle macchine compromesse, e provvedendo nello stesso tempo ad avvisare le organizzazioni infette. I dati raccolti, appartenenti unicamente ai nodi compromessi connessi in rete, si sono rivelati estremamente preziosi per comprendere l’evoluzione dell’infezione. Ogni connessione verso i server di comando e controllo difatti, contiene dati quali: indirizzi IP interni ed esterni, nome del Computer, versione del Sistema Operativo, ed inoltre un indicatore che consente di capire se la macchina infetta ospita (e fa girare) il software di controllo industriale SIMATIC Step 7.

Grazie all’analisi di questi dati è stato possibile rilevare che alla  data del 29 settembre 2010 vi erano nel mondo 100.000 host infetti dei quali oltre il 60% localizzati in Iran. Dove peò i dati cominciano a farsi interessanti, è nel modo in cui è nata l’infezione: Symantec sostiene infatti che l’infezione sia nata da 5 punti ben precisi, ovvero tutto farebbe pensare che l’operazione sia stata concepita a tavolino per far partire il suo attacco mortale da cinque domini (il produttore giallo non rivela quali), da cui poi si è diffusa in tutto il globo.

A queste conclusioni si è giunti raccogliendo 3280 campioni del virus, “in rappresentanza” delle tre varianti del malware. Dal momento che il virus, ogni volta che infetta una nuova macchina, registra un timestamp oltre ad altre informazioni del sistema infetto; ogni campione racconta la storia del computer infetto, inclusa la prima infezione, il cosiddetto Paziente 0. Ovviamente con questi dati a disposizione è stato possibile ricostruire l’evoluzione del virus e determinare le caratteristiche di questa Apocalisse informatica:

  • Il nome di dominio registrato ha rivelato che Stuxnet è stato un attacco rivolto esplicitamente a cinque organizzazioni diverse;
  • Le cinque organizzazioni hanno subito 12.000 infezioni;
  • Tre organizzazioni sono state attaccate una sola volta, una è stata attaccata due volte, ed una ulteriore addirittura tre volte;
  • Il Dominio A è stato attaccato due volte (Giugno 2009 e Aprile 2010);
  • In ambedue i casi il paziente 0 (ovvero il computer origine dell’infezione) è stato sempre lo stesso;
  • Il Dominio B è stato attaccato tre volte (Giugno 2009, Marzo 2010 e Maggio 2010);
  • Il Dominio C è stato attaccato una sola volta (Luglio 2009);
  • Il Dominio D è stato attaccato una sola volta (Luglio 2009);
  • Il Dominio E sembra essere stato attaccato una sola volta (Maggio 2010), ma con tre infezioni iniziali (ovvero la stessa chiavetta USB galeotta è stata inserita dentro tre computer differenti);
  • Da queste 10 infezioni iniziali hanno avuto origine 12000 infezioni;
  • Sono stati registrati 1800 nomi di dominio diversi;
  • Tutte le date di infezione sono riconducibili a Giugno 2009, Luglio 2009, Marzo 2010, Aprile 2010 e Maggio 2010;
  • Tutte le organizzazioni infette hanno presenza in Iran;

Il grafici seguenti mostrano le lugubri figure geometriche derivanti dalla ricostruzione dell’infezione:

Infezioni per i domini A e B a Giugno 2009 (Dati Symantec)

Dominio B: Infezione Marzo 2010 (Symantec)

Sono stati riscontrati 10 cluster di infezione, il più virulento dei quali è stato quello che ha visto protagonista il Dominio B nel marzo 2010. Gli attacchi del 2009 hanno registrato il minore impatto, forse un artefatto causato dal numero ridotto di campioni raccolti per quell’anno. Inoltre, i grafici di infezione hanno principalmente rami lineari come se una singola infezione potesse influenzare un solo computer. Questo sarebbe solo parzialmente dovuto alle caratteristiche di autolimitazione del codice, mentre, probabilmente, potrebbe essere un artifatto introdotto dal numero ridotto di campioni raccolti.

Infezioni Aprile 2010 (Dati Symantec)

I dati evidenziano inoltre un non trascurabile effetto collaterale: il fatto che dagli iniziali 5 domini ne siano stati colpiti 1800 con 12000 indezioni, dimostra che Stuxnet è riuscito a sfuggire dai confini dei domini inizialmente colpiti, probabilmente per la collaborazione involontaria di partner e fornitori che, mediante una chiavetta USB galeotta, hanno propagato l’infezione oltre il perimetro virtuale del dominio obiettivo iniziale.

Il documento Symantec è estremamente curato e dettagliato, e questo ultimo aggiornamento è ulteriormente interessante e suggestivo (i grafi di evoluzione del virus sembrano opere arte ed hanno a mio avviso un contenuto artistico molto maggiore rispetto a certe opere che ho visto al MAXXI). Curiosamente, però, non ho potuto fare a meno di osservare che il documento Symantec è stato pubblicato subito dopo il report McAfee relativo al virus Night Dragon (che attacca facility differenti, appare meno raffinato del suo predecessore Stuxnet, ed ha inoltre sollevato reazioni controverse tra altri vendor di sicurezza). Questo sembrerebbe delineare una nuova tendenza dei produttori: ieri mettevano alla prova la bontà della propria tecnologia e dei propri laboratori di ricerca sfidandosi reciprocamente nella corsa dei tempi di rilascio delle signature per le nuove infezioni; oggi la sfida risiede nello sradicare per primi le minacce di nuova generazione (i cosiddetti Advanced Persistent Threat), soprattutto quando queste, anche utilizzando metodi di infezione “tradizionali”, effettuano il salto di qualità e minano alla base le infrastrutture critiche che presiedono all’Ordine Mondiale (almeno così come lo consociamo).

Matrimonio D'(Intel)esse…

January 31, 2011 1 comment

Il titolo di questo post non è tratto da una commedia cinese, ma rappresenta la mia personale interpretazione di una notizia che in questi giorni riecheggia tra i forum di sicurezza informatica.

Come abbiamo commentato tra le previsioni per il 2011, gli Advanced Persistent Threat e le vulnerabilità saranno tra i fattori di rischio informatico maggiormente al centro dell’attenzione per l’anno corrente, turbando i già poco tranquilli sonni dei professionisti di sicurezza informatica,

A tranquillizzarli potrebbe pensarci Intel, il colosso di Santa Clara, il cui CTO e direttore dei laboratori, Justin Rattner, in una intervista bomba, ha dichiarato che il gigante dei processori sta lavorando ad una tecnologia rivoluzionaria in grado di eliminare gli attacchi che sfruttano le vulnerabilità 0-day, ovvero quelle vulnerabilità per cui, nel momento di azione dell’exploit, non è ancora disponibile una pezza patch. La misteriosa tecnologia, interamente in Hardware, potrebbe addirittura essere presentata entro la fine dell’anno e utilizzerà un approccio completamente nuovo non basato su signature (ovvero pattern di comportamento noti), poiché, come prevedibile, un approccio tradizionale basato su impronte comportamentali conosciute per analizzare le applicazioni sospette, non è in grado di contrastare in alcun modo minacce sconosciute.

Sembra che Intel stesse già lavorando segretamente a questa tecnologia, ancora prima dell’acquisizione di McAfee (che ha da poco ricevuto il semaforo verde da parte della Comunità Europea): questo spiegherebbe il motivo per cui il principale produttore di processori abbia improvvisamente deciso di fare shopping nel supermercato della sicurezza: l’apparente inopinato ingresso del patrimonio tecnologico McAfee tra la proprietà intellettuali del Gigante di Santa Clara avrebbe avuto lo scopo di portare all’interno della tecnologia top secret, ulteriore know-how da parte di uno dei principali produttori di sicurezza anti-malware.

D’altro canto, questo strano matrimonio d’interesse (o meglio d’Intelesse) è sempre stato considerato strategicamente confuso da parte degli analisti, divisi tra una spiegazione riconducibile ad una focalizzazione di Intel nel mondo del mobile con la conseguente realizzazione di soluzioni di sicurezza integrate (per le quali McAfee possiede un portafoglio di soluzioni, frutto di acquisizioni, estremamente evoluto e capillare) ed una spiegazione riconducibile al desiderio di integrare soluzioni di sicurezza all’interno del processore.

In virtù delle nuove rivelazioni, il quadro propenderebbe per una terza ipotesi a metà tra le due precedentemente citate: il colosso di Santa Clara sarebbe già stato al lavoro per una tecnologia di sicurezza rivoluzionaria, basata su hardware, mirata a contrastare le minacce 0-day, e applicabile a qualsiasi tipo di dispositivo inclusi i terminali mobili (Intel stava cioè sviluppando la forma della tecnologia), e avrebbe fornito alla propria tecnologia know-how prezioso acquisendo uno dei principali produttori di soluzioni di sicurezza informatica (ovvero garantendo il contenuto alla propria tecnologia).

In questo scenario, potremmo veramente essere di fronte a una killer application per il panorama della sicurezza informatica, capace di cambiare le regole del gioco, come dicono i suoi creatori, anche se da parte di molti permane il dubbio se un approccio di tipo hardware possa garantire le necessarie dinamicità e flessibilità contro le minacce sconosciute, per contrastare le quali la concorrenza (Symantec, Kaspersky e Trend Micro in primis), utilizza un approccio di classificazione dinamica basato sul cloud al quale vengono inviati i file anomali rilevati dalla propria base di prodotti installata in tutto il globo.

Ad ogni modo i commenti della concorrenza non si sono fatti attendere. Per prima Sophos, tramite un articolo del proprio blog ha laconicamente liquidato la notizia con la battuta:

Intel to eliminate zero-day threats, pigs to fly

Ovvero letteralmente: “Intel sta per eliminare le minacce 0-day, i maiali stanno per volare”. Nel suo articolo il produttore inglese riconosce il possibile interesse per la tecnologa classificandola tuttavia più come una eventuale architettura su cui potranno poggiarsi i sistemi operativi per innalzare il livello di sicurezza, piuttosto che una tecnologia definitiva. Non senza aver acidamente sottolineato l’eccessivo clamore sollevato dall’annuncio, Sophos conclude che alla fine la tecnologia provocherà soltanto qualche emicrania in più agli hacker ma non sarà la panacea contro le minacce sconosciute.

La speranza, comunque, è che l’emicrania venga tolta ai professionisti della sicurezza informatica, che potrebbero avere una freccia in più nel proprio arco e di conseguenza dormire sonni più tranquilli tendendo nel comodino, accanto alle proverbiali tisane tranquillanti, un bel processore Intel.

Previsioni Di Sicurezza 2011: 6 Produttori A Confronto (Aggiornamento)

January 26, 2011 8 comments

Dopo aver esaminato le previsioni 2011 di Sophos e Cisco, ho pensato di ampliare la griglia di confronto redatta in un post precedente, includendo le previsioni degli ultimi due arrivati. Il quadro che ne risulta conferma che, alla domanda secca: “Quale sarà la maggiore fonte di preoccupazione per gli IT Manager del 2011?”  La risposta è sicuramente una: “Il Mobile!“. L’emicrania da minaccia mobile raccoglie difatti la preferenza di 5 produttori su 6 e il 2011 ci rivelerà se la moda del mobile ha contagiato anche il mondo della sicurezza informatica, oppure se le mele con il jailbaco o gli Androidi dirootati (con le insonnie che ne derivano per gli IT Manager) sono una conseguenza del processo di consumerization dell’IT (ovvero la tendenza ad utilizzare tecnologie provenienti dal mondo consumer e quindi prive nativamente delle caratteristiche di sicurezzza ,e non solo, necessarie per un uso professionale).

Nelle preferenze dei produttori analizzati, seguono a ruota gli Advanced Persistent Threat, Hactivism e Social Media che raccolgono le preferenze di 4 brand sui 6 presi in esame, mentre le altre tipologie di minacce appaiono estremamente frammentate.

Per confrontare correttamente le previsioni occorre considerare il fatto che i produttori esaminati non sono perfettament omogenei tra loro: se da un lato Kaspersky, Sophos ,Symantec e Trend Micro sono vendor focalizzati principalmente sulla sicurezza dell’Endpoint, McAfee rappresenta una via di mezzo (nato dall’Endpoint ha progressivamente ampliato la propria offerta sino a coprire anche la sicurezza di rete), mentre Cisco appare fortemente orientato alla sicurezza di rete. La diversa natura si riflette anche da una diversa impostazione dei report: le previsioni di Cisco e McAfee si basano sulla raccolta di dati da parte della propria rete di sensori, le previsioni di Sophos e Trend sulla raccolta di dati dei propri laboratori che analizzano minacce provenienti dagli endpoint (pertanto le previsiono dei produttori appena citati prendono spunto da eventi e trend del 2010), mentre le previsioni di Symantec e Kaspersky appaiono (soprattutto nel secondo caso) piuttosto visionarie come impostazione.

La diversa prospettiva di analisi (ed in sostanza le diverse strategie dei produttori) si riflettono anche sui risultati della griglia comparativa: le previsioni di Sophos abbracciano una vasta gamma di minacce e sono assimilabili ad una sorta di sintesi tra le previsioni di McAfee e Trend Micro; mentre le previsioni di Cisco appaiono molto vicine a quelle di McAfee (Cisco non cita direttamente le vulnerabilità di Apple poiché le annega all’interno dei sistemi operativi), verosimilimente perché le previsioni dei Cisco Security Intelligence e McAfee Global Labs sono basate sui dati raccolti dalla propria rete di sensori (approccio simile, ciascuno con le proprie tecnologie).

Symantec costituisce il vendor che ha fornito maggiore evidenza dei problemi di sicurezza del cloud e delle infrastrutture virtualizzate (probabile eredità ed influenza di Veritas), mentre Kaspersky appare piuttosto visionaria nelle sue previsioni.

Ultima considerazione: il mobile non registra l’en plein tra le previsioni poiché non figura tra le previsioni del solo Kaspersky. Il motivo? Il produttore Russo aveva inserito il mobile malware tra le previsioni dell’anno passato (e non a caso è stato il primo a scoprire un malware per l’Androide ad Agosto 2010).

Previsioni di Sicurezza 2011: Il turno di Sophos

January 23, 2011 3 comments

Confrontando le previsioni per il 2011 da parte dei principali produttori di sicurezza per l’Endpoint (Symantec, Mcafee, Trend Micro e Kaspersky) avevo evidenziato l’indisponibilità di analoghe predizioni da parte di Sophos, produttore di sicurezza inglese focalizzato su endpoint e protezione perimetrale considerato uno dei leader tecnologici e punto di riferimento assieme alle tecnologie già citate (per la cronaca Symantec, McAfee, Trend Micro e Sophos occupano ormai da alcuni anni posizioni di leadership nel Quadrante Magico di Gartner mentre Kaspersky, tra gli outsider, è la tecnologia che ha registrato la crescita maggiore).

Finalmente il gruppo è completo dal momento che sono da poco state rilasciate le previsioni di Sophos, previsioni che vale la pena analizzare per aggiungere un ulteriore punto di vista alla poco ambita hit parade delle minacce informatiche che turberanno il sonno dei professioni di sicurezza e degli utento nel corso del 2011.

In realtà l’analisi di Sophos prende spunto da quelle che sono state le principali minacce nel 2010 proiettandone l’impatto in ottica 2011, e per questa impostazione si discosta leggermente dalle previsioni degli altri produttori; nonostante le differenze di impostazione è comunque possibile estrapolare quelle che avranno l’impatto maggiore nel corso dell’anno da poco entrato, secondo le indicazioni del produttore di Sua Maestà.

Il 2010 si è chiuso con un impatto elevato da parte di:

  • Falso Software Antivirus, di cui si sono registrate nel corso dell’anno passato, oltre mezzo milione (!!) di varianti;
  • L’utilizzo di tecniche di marketing e ottimizzazione dei motori di ricerca (SEO Search Engine Optimization) per “avvelenare” le ricerche, ovvero fare in modo che i siti malevoli scalino le posizioni nell’ambito dei risultati, aumentando implicitamente la probabilità che utenti inconsapevoli approdino verso siti malevoli;
  • L’utilizzo di tecniche di “ingegneria sociale” all’interno del “social network”. Un aspetto questo che lega indissolubilmente aspetti tecnologici e aspetti sociali e umani (curiosità, debolezze dei singoli) di cui sono vittima gli utenti con meno esperienza (tecnologica ed emotiva) che, seguendo un semplice link, finiscono con l’essere infettati da trojan, o ad inserire i propri dati personali in falsi form, preda di malintenzionati. La piaga è talmente diffusa che è stata coniata una apposita minaccia definita Likejacking che unisce i termini Like (il classico badge con cui gli utenti mostrano il proprio apprezzamento a post e contenuti) e Hijacking usato per indicare i dirottamenti (reali e virtuali come in questo caso).
  • Lo Spam ha continuato ad imperversare anche nel corso dell’anno passato (il report cita il fatto che nei soli Stati Uniti 36 milioni di utenti abbiano comprato medicinali da siti offshore) eludendo i controlli della temibile FDA. Va tuttavia aggiunto il fatto che secondo la ricerca lo spam ha leggermente cambiato forma, privilegiando di veicolare gli utenti verso siti dove è possibile scaricare malware piuttosto che verso improbabili store (dove comunque spesso gli utenti rimangono vittima di truffe successive da parte di falsi agenti FDA).
  • Stuxnet: come poteva mancare il fenomeno informatico dell’anno? Ovviamente anche il produttore anglosassone evidenzia il suo impatto, anche se, in maniera un po’ controcorrente, evidenzia maggiormente l’impatto mediatico rispetto a quello informatico.

Nel corso del 2011, secondo Sophos dovremo invece preoccuparci di:

Debolezza delle Password

Questo aspetto è principalmente umano, piuttosto che tecnologico, ma rischia nel 2011 di avere conseguenze ancora più nefaste rispetto all’anno precedente a causa del sempre maggiore numero di servizi on-line a cui gli utenti si affidano, e alla sempre minore cura nella scelta e nella gestione delle password che spesso sono le stesse per tutti i servizi, deboli e non cambiate da tempi immemorabili. La conseguenza, secondo il produttore blu è presto detta: la debolezza delle password costituisce un rischio maggiore per il furto di identità rispetto al phishing o allo spyware. La soluzione? Una rigorosa politica di controllo (AUP) per tutti gli utenti! Anche perché spesso dove non arrivano gli utenti arrivano i provider che dovrebbero tenere le credenziali al sicuro e sono invece vittime di imbarazzanti incidenti (come nel caso di Gawker rimasto vittima nel 2010 del furto di 1.3 milioni di account.

Mobile e Tablet

I produttori di solito, soprattutto se concorrenti, sono in disaccordo su tutto. Ma se c’è un argomento sul quale, come per miracolo, quasi non esistono divergenze, è proprio la centralità del mondo mobile nelle problematiche di sicurezza per il 2011. Prendendo in esame i diversi sistemi operativi si deduce, nelle previsioni di Sophos, una certa affinità, con le affermazioni a Bloomberg di Steve Chang, presidente di Trend Micro, da cui si deduce una maggiore sicurezza per il sistema operativo per la Mela piuttosto che per l’Androide, fondamentalmente per il maggiore controllo (walled garden) a cui Cupertino sottopone le applicazioni per i propri dispositivi prima di inserirle nell’App Store, e per la natura Open Source del gioiello di casa Page e Brin). Nel report si prendono in esame anche Windophs Phone 7 e RIM (la piattaforma per antonomasia del mondo Enterprise). Ma mentre nel primo caso i problemi di sicurezza provengono soprattutto dalla tendenza da parte del colosso di Redmond di privilegiare la funzionalità rispetto alla sicurezza, nel secondo caso i problemi potrebbero inconsapevolmente provenire prorprio dai governi che stanno chiedendo a RIM di ammorbidire la propria politica di cifratura end-to-end e NOC-Centrica per consentire l’ottemperanza alla legislazione anti terrorismo. Da notare che il povero Symbian occupa posizioni di rincalzo anche in questa classifica, ormai preda dei cracker solo per la maggiore diffusione del sistema.

Un aspetto però deve essere tenuto in considerazione: indipendentemente dalla piattaforma, i sistemi operativi mobili nascono con controlli di sicurezza preventivi (controlli di qualità per l’inclusione negli store) e “consuntivi” (accessi regolati delle applicazioni alle risorse hardware e software del dispositivo). Ad oggi, soprattutto per  la Mela e per l’Androide, tutti i malware mobili riscontrati affliggono dispositivi jailbreakati o rootati e trovano terreno fertile nella scarsa attenzione degli utenti che utilizzano store paralleli e ignorano i permessi di accesso delle applicazioni durante l’installazione.

In questa categoria rientrano anche i Tablet, destinati ad assumere sempre maggiore diffusione nel 2011 anche in ambito corporate.

Social Network

Ovviamente le previsioni di Sophos confermano la maggiore “sensibilità” dei malintenzionati ad utilizzare il social network come mezzo di diffusione del malware, sia perché ormai i diversi siti (Facebook e Twitter in primis) sono ampiamente popolati sia per scopi personali che professionali (si stimano oltre 500 milioni di utenti per la creatura di Zuckerberg con buona pace del suo conto in banca). A detta del produttore in blu, le falle del Social Network si concentrano su:

  • Applicazioni, dove, secondo un sondaggio condotto su 600, il 95% degli utenti di Facebook auspica una maggiore attenzione verso la sicurezza, auspicando un modello di controllo walled garden (giardino recintato) sulla falsa riga di quello adottato da Cupertino per il proprio App Store. Queste misure andrebbero unite ad una maggiore consapevolezza degli utenti verso i permessi delle applicazioni e ad un maggiore controllo sulle stesse;
  • Impostazioni di privacy, vera spina nel fianco del social network Facebook, dove oltre il 76% del campione del sondaggio citato al punto precedente, dichiara che lascerebbe il sito in caso di problemi di privacy;
  • Infrastrutture Sicure: il Caso di Twitter ha portato alla ribalta gli effetti derivanti dalla presenza di bachi nelle applicazioni server dei Social Network, e per questo motivo il produttore inglese auspica maggiore sicurezza (e maggiore attenzione degli utenti) in questo campo.


Ormai le postazioni di lavoro sono diventate un coacervo di applicazioni, tutte fondamentali per svolgere le proprie attività e tutte potenziali vettori di vulnerabilità. Il 2010 è stato l’anno delle vulnerabilità di Adobe (i suoi PDF e Flash sono ormai la base di qualsiasi attività produttiva). Basta dare una occhiata a questa classifica di metà 2010 relativa alle vulnerabilità più sfruttate per rendersi conto dell’impatto delle applicazioni nei problemi di sicurezza (e quante di queste ogni utente utilizza ogni giorno: Internet Explorer, Adobe Reader, Real Player, c’è n’è veramente per tutti i gusti.

Media Rimovibili

Nelle valutazioni di Sophos figurano anche i media rimovibili come vettori di infezione. Il caso di Stuxnet insegna come anche i mezzi più tradizionali e bistrattati non vadano sottovalutati (soprattutto come vettori iniziali di infezione per le postazioni non connesse ad Internet).

Sistemi Operativi

Windows 7 sta ampiamente guadagnando consensi tra gli utenti e, secondo le previsioni condivisibili di Sophos,  tra gli autori di malware, che concentreranno i propri sforzi verso questo sistema operativo. Ovviamente gli sforzi sono direttamente proporzionali alla diffusione dell’OS e pertanto destinati a crescere ulteriormente nel corso del 2011 proporzionalmente all’incremento delle quote di mercato dell’ultimo nato di casa Redmond.

Per quanto riguarda gli utenti della Mela, sino ad oggi questi hanno sempre vissuto circondati da un (falso) senso di sicurezza derivante dal nobile lignaggio UNIX del sistema operativo. In realtà la sicurezza deriva dalla minore attenzione dei malintenzionati come conseguenza della minore diffusione in ambito corporate del Mac OS e quindi, in proporzione, dal minor numero di infezioni. Naturalmente il trend di crescita del sistema operativo della Mela in ambito corporate causerà, con tutta probabilità, un incremento delle infezioni informatiche per questo sistema operativo nel 2011. Poiché l’aumento di infezioni è drasticamente facilitato dal comportamento irresponsabile degli utenti nell’installare software senza verificarne attentamente origine e provenienza, Apple è corsa ai ripari mediante la recente creazione dell’App Store anche per il sistema operativo Mac OS, in cui le applicazioni sono sottoposte al controllo di qualità.

Minacce Veicolate dai Server Web

Le minacce diffuse mediante navigazione Web rimarranno nel corso del 2011 una delle principali fonti di infezione. Queste minacce sono veicolate ad insaputa degli amministratori perché nascoste, ad esempio, su link pubblicitari gestiti all’esterno apparentemente legittimi. Le categorie di minacce veicolate tramite Web, identificate dal produttore anglosassone sono le seguenti:

  • Malvertising: Pubblicità di falsi prodotti (ad esempio i fake antivirus citati in precedenza) che spingono l’utente ad installare software per ottimizzare le prestazioni o curare infezioni informatiche, che si rivelano in realtà essere trojan o malware di altro tipo.
  • Siti Web Compromessi: Sophos stima che ogni giorno ci siano 30.000 siti malevoli, il 70% di questi sono siti legittimi compromessi. Questa tendenza purtroppo verrà confermata nel corso del 2011.

Email Spam

Lo spam rimarrà un mezzo di diffusione delle infezioni anche nel 2011 (in questo senso un previsione analoga era stata redatta anche da Trend Micro).

Vulnerabilità 0-day

Sophos prevede per il 2011 un ulteriore incremento di malware che farà uso di vulnerabilità 0-day.


In questa area le previsioni di Sophos sono allineate a quelle degli altri produttori, ponendo il problema su due piani: un piano prettamente politico (come nei casi di Operation Aurora e Wikileaks) ed un piano prettamente enterprise, ovvero il Cybercrime verrà utilizzato sempre di più per rubare informazioni da utilizzare direttamente o da vendere al miglior offerente.

In conclusione

Anche nel caso di questo produttore viene confermato, nel 2011, il ruolo centrale di Mobile e Social Networking per quanto riguarda le problematiche di sicurezza. In particolare la continua attenzione verso il Social Networking, ribadita da questo produttore, evidenzia la necessità di un nuovo modello di sicurezza e salvaguardia dei dati. Stupisce, tra i fattori evidenziati, l’assenza del cloud (direttamente o indirettamente – è di questi giorni la notizia dell’utilizzo del servizio cloud di Amazon da parte di un hacker tedesco per decifrare la password WPA del proprio vicino di casa), mentre viene evidenzato, come nel caso di Trend Micro, il ruolo dello Spam e dei siti Web compromessi per la distribuzione del malware.

Gears Of Cyberwar

January 19, 2011 1 comment

Il 2010 verrà ricordato tra gli annali della sicurezza informatica soprattutto per due eventi: Operation Aurora e Stuxnet. Sebbene estremamente diversi tra loro per natura e origine (nel primo caso si parla di un attacco perpetrato dalla Cina per rubare informazioni di dissidenti e nel secondo caso di un malware progettato da USA e Israele con lo scopo di sabotare le centrali nucleari iraniane), i due eventi sono accomunati da un minimo comune denominatore: la matrice politica, ovvero il fatto che la minaccia informatica sia stata creata a tavolino per azioni di spionaggio nel primo caso e guerra sabotaggio nel secondo.

Secondo le indicazioni dei principali produttori di sicurezza sembra proprio che nel 2010 sarà necessario abituarsi a convivere con eventi di questo tipo, effettuati per scopi politici da nazioni fazioni sempre più organizzate utilizzando come vettori minacce simil-stuxnet sempre più elaborate e complesse.  In sostanza la percezione è che, dopo l’esempio dell’Estonia nel 2007, le guerre si possano sempre di più combattere dietro le tastiere piuttosto che nei campi di battaglia. Dopo le fosche tinte delineate da così  poco promettenti previsioni, naturalmente la domanda sorge spontanea: quale potrebbe essere nell’immediato futuro l’impatto globale di una cyber-guerra?

In realtà molto basso secondo un recente studio dell’OCSE, l’Organizzazione per la Cooperazione e lo Sviluppo Economico, ad opera di Peter Sommer e Ian Brown. Lo studio difatti sostiene che, sebbene i governi debbano essere pronti a prevenire, affrontare ed effettuare il recovery da operazioni di Cyberwar, deliberate o accidentali, la probabilità dell’occorrenza di (e quindi gli effetti derivanti da) eventi di Cyber-guerra su scala globale è piuttosto ridotta. Questo, nonostante l’arsenale delle cosiddette cyberarmi sia oramai ampiamente diffuso e variegato, e includa tra l’altro: tecniche di accesso non autorizzato ai sistemi, rootkit, virus, worm, trojan, (distributed) denial of service mediante botnet, tecniche di social engineering che portano ad effetti nefasti compromissione della confidenzialità dei dati, furto di informazioni segrete, furto di identità, defacciamento, compromissione dei sistemi e blocco di un servizio.

Sebbene l’OSCE (come previsto da alcuni produttori) ritiene che le azioni di cyberguerra siano destinate ad aumentare, solo una concatenazione di eventi su scala globale (ad esempio la contemporaneità di un cyber-evento con pandemie, calamità naturali o terremoti fisici o bancari), potrebbe portare a conseguenze gravi su scala planetaria.

I motivi del ridotto impatto, secondo gli autori dello studio, sono i seguenti:

  • Gli impatti di eventi quali malware, DDoS, spionaggio informatico, azioni criminali, siano esse causate da hacker casuali o hacktivisti sono limitiate nello spazio (ovvero localizzate in una determinata regione) e nel tempo (ovvero di breve durata);
  • Attacchi sulla falsa riga di Stuxnet non sono così probabili poiché devono combinare diverse tecniche (uso massiccio di vulnerabilità 0-day, conoscenza approfondita della tecnologia vittima, possibilità di occultamento dell’attaccante e dei metodi utilizzati). In sostanza investimenti massicci, come anche dimostrato dalle recenti rivelazioni, secondo le quali lo sviluppo del malware Stuxnet ha richiesto oltre due anni di sviluppo da parte di due superpotenze.
  • Una vera e propria cyberguerra è improbabile poiché la maggior parte dei sistemi critici sono ben protetti dagli exploit e il malware conosciuto cosicché i “progettisti” delle nuove cyberarmi sono costretti a individuare nuove vulnerabilità e sviluppare ex novo i relativi exploit, e queste operazioni non sono immediate. Inoltre, poiché gli effetti dei cyberattacchi sono difficili da prevenire, le armi potrebbero essere meno potenti del previsto o peggio ritorcersi contro gli stessi creatori o i propri alleati.

Lo studio identifica anche i motivi che potrebbero facilitare azioni di Cyberguerra:

  • La tendenza dei Governi ad aprire i propri portali per applicazioni verso i cittadini o verso i propri contrattori. Sebbene questo porti ad economie di scala, i portali potrebbero diventare facili obiettivi per azioni nefaste (come accaduto in Estonia nel 2007);
  • La tecnologia cloud che apre la strada a nuovi servizi flessibili, ma anche a nuove problematiche di sicurezza ancora non completamente esplorate;
  • La tendenza dei Governi a dare in outsourcing le proprie infrastrutture IT. Sebbene questo fatto porti vantaggi dal punto di vista economico, i livelli di servizio potrebbero non essere adatti ad affrontare eventi eccezionali come un Cyber-attacco.
  • Il mancato principio di deterrenza per le Cyberguerre: dal momento che spesso le azioni malevole vengono effettuate da reti di macchine compromesse (le cosiddette botnet), non è così facile riconoscere il mandante con la conseguenza che non è applicabile l’equilibrio per le armi reali che ha sostenuto il mondo nel baratro del collasso nucleare ai tempi della guerra fredda.

Dobbiamo rassegnarci ad essere vittime impotenti di cyber-eventi? Fortunatamente no, anzi tra le azioni che potrebbero essere effettuate per contrastare un Cyber-attacco lo studio identifica:

  • Attività di risk analysis sponsorizzate dal top management: il retrofitting non è mai conveniente per cui dovrebbero essere effettuate campagne continue di gestione degli accessi, educazione degli utenti, frequenti audit di sistema, back-up puntuali, piani di disaster recovery e conformità con gli standard;
  • Contromisure tecnologiche continue quali: progettazione sicura dall’inizio, applicazione puntuale delle patch di sicurezza a sistemi e applicazioni, utilizzo di software anti-malware, firewall e sistemi di Intrusion Detection, utilizzo di tecnologie atte ad aumentare disponibilità, resilienza e affidabilità dei servizi;
  • Attività di Penetration Test possono essere utili per identificare buchi su sistemi e applicazioni (spesso immesse nel mercato dai produttori con un non sufficiente livello di maturità).

Get every new post delivered to your Inbox.

Join 2,943 other followers