Proofpoint, specialista in soluzioni di cyber security e compliance, ha pubblicato il suo “Q3 2019 Threat Report”, nel quale raccoglie tutti i dati relativi alle minacce e ai trend di attacco relativi al terzo trimestre dell’anno in corso. Tra i principali dati emersi dall’analisi, si registra che il volume globale combinato tra Url e allegati pericolosi è diminuito di circa il 40% rispetto al secondo trimestre, grazie all’assenza di Emotet nelle prime dieci settimane del trimestre. Gli Url pericolosi rappresentano l’88% del volume globale combinato Url/allegati, con un lieve incremento rispetto al Q2, ma nel complesso in linea con il trend per il 2019. Oltre il 26% dei domini pericolosi utilizzava certificati Ssl, più del triplo della percentuale dei domini presenti sul web. Queste tecniche di ingegneria sociale condizionano il comportamento, portando gli utenti a controllare la presenza dell’icona del lucchetto che certifichi il livello di sicurezza del sito. I ransomware sono rimasti virtualmente assenti e sono stati utilizzati come paylod principale nelle email solo in alcune piccole campagne che diffondevano Troldesh e Sodinokibi. Gli autori delle minacce hanno sfruttato il Tds (Traffic Direction System) Keitaro sia in attività di malvertising che in attacchi email basati su Url, basandosi sul trend di attacchi a catena più complessi e reindirizzamenti per nascondere le attività e sfruttare molteplici vettori, tra cui i kit exploit.
Il ritorno di Emotet e l’intensificazione degli attacchi di Ta542
Dopo quasi quattro mesi di assenza, si legge in una nota dell’azienda, Emotet ha fatto il suo ritorno a partire dalle ultime due settimane di settembre, rappresentando circa il 12% di tutti gli esemplari di codici pericolosi del trimestre, distribuendo milioni di messaggi con link o allegati fraudolenti.
Ta542, il gruppo di cybercriminali responsabile della distribuzione di Emotet, ha esteso il proprio raggio di azione in nuovi paesi, tra cui proprio l’Italia, oltre a Spagna, Giappone, Hong Kong e Singapore. Per quanto riguarda i metodi utilizzati per la distribuzione, Ta542 ha sfruttato argomenti legati a eventi specifici e di rilievo, invece di esche finanziare generiche.
“Le attività del gruppo Ta542 sono un esempio di come i cyber criminali continuino a innovare e ampliare le proprie tecniche di attacco, per colpire in modo ancora più efficace i dipendenti di ogni azienda,” sottolinea Luca Maiocchi, Country Manager di Proofpoint Italia. “Per essere in grado di neutralizzare queste sofisticate tecniche di ingegneria sociale la sola tecnologia non è più sufficiente: è importante definire un approccio di sicurezza basato sulle persone, che protegga ed educhi gli utenti – l’obiettivo principale di ogni attacco.”
Cambiano le attività di sextortion
Insieme a Emotet, Proofpoint ha rilevato un cambiamento nelle attività di sextortion, con la comparsa di un nuovo malware in grado di fornire prove tangibili ai cyber criminali. PsiXBot, un remote access Trojan (Rat), ha esteso le proprie capacità di comunicazione nel mese di settembre con l’aggiunta di un nuovo “PornModule” che contiene un dizionario con parole chiave legate alla pornografia, utilizzate per monitorare i titoli delle finestre aperte. Se una finestra combacia con il testo, inizia a registrare audio e video della macchina colpita e, una volta completata la registrazione, il video viene salvato con estensione “.avi”, inviato al server di command e control e, presumibilmente, utilizzato poi a scopo estorsivo. In generale, le attività di sextortion si sono confermate significative in Q3, con campagne che hanno sfruttato anche tecniche di ingegneria sociale tramite la botnet Phorpiex.
