Menu

Osint

Open Source Intelligence (OSINT) è la raccolta, l’analisi e la diffusione di informazioni pubblicamente disponibili e legalmente accessibili . In questo momento, OSINT è utilizzato da organizzazioni, inclusi governi, aziende e organizzazioni non governative

Che cosa si intende per metadati?

, ,

In questo articolo spiegheremo cosa sono i metadati, la loro importanza e mostreremo un simpatico tool per leggerli ed modificarli.

I metadati, spesso definiti come ‘informazioni su altre informazioni’, giocano un ruolo cruciale nella struttura e nell’organizzazione dei nostri file digitali. Tuttavia, spesso ci dimentichiamo che questi dati aggiuntivi, se non gestiti in modo appropriato, possono rappresentare una potenziale minaccia per la nostra sicurezza e privacy. 

I metadati rappresentano informazioni aggiuntive associate a un file, un documento o un insieme di dati. Queste informazioni offrono contesto e dettagli sul contenuto, sulla struttura o sull’organizzazione dei file stessi.

I metadati possono involontariamente contenere informazioni sensibili come posizione geografica, date e ora di creazione o modifica del file, software utilizzato e persino nomi di persone coinvolte nella creazione del documento.

Rischio di Privacy e Sicurezza

Questa esposizione involontaria di dettagli può mettere a rischio la privacy personale o aziendale, facilitare attacchi informatici mirati o compromettere la sicurezza dei dati sensibili. 

Una delle strategie principali per ridurre il rischio è eliminare o modificare i metadati sensibili prima di condividere i file. Ad esempio:

  • Utilizzare software di editing di immagini che consentono di rimuovere specifici metadati come la posizione GPS dalle foto prima di pubblicarle online.
  • Utilizzare strumenti specializzati per eliminare i metadati sensibili dai documenti prima di inviarli via email o caricarli su piattaforme di condivisione file.

Il seguente video mostra come è semplice visionare i metadati e manipolarli con https://exiftool.org

hybrid-analysis

, , ,

Hybrid Analysis” è un servizio online che fornisce un’analisi dinamica e statica di file sospetti o potenzialmente dannosi. Questo servizio consente agli utenti di caricare file, URL o indirizzi IP per sottoporli a un’analisi dettagliata al fine di identificare comportamenti malevoli, malware o altri rischi per la sicurezza informatica.

Le caratteristiche principali di Hybrid Analysis includono:

  1. Analisi Dinamica: Il servizio esegue i file in un ambiente controllato, monitorando il loro comportamento in tempo reale. Questo processo permette di identificare azioni dannose o comportamenti sospetti.
  2. Analisi Statica: Vengono esaminate le caratteristiche intrinseche dei file, come il codice sorgente, le librerie utilizzate e altri attributi, per rilevare eventuali indicazioni di malware.
  3. Report Dettagliati: Hybrid Analysis genera report dettagliati sull’analisi, inclusi indicatori di compromissione (IoC), firme di malware e altri dettagli utili per la comprensione delle minacce.
  4. Comunità e Condivisione: Gli utenti possono beneficiare della condivisione di informazioni attraverso la comunità di utenti, contribuendo a creare un database condiviso di IoC e informazioni sulle minacce.

Una volta registrati è possibile avere un registro delle scansioni inviate/richieste.

Gli allegati inviati vengono in automatico aperti in macchine virtuali in totale sicurezza direttamente nei laboratori Hybrid, così da avere screenshots da anallizzare

Esempio 1

Abbiamo segnalato un link e questo è il risultato di analisi

Esempio 2

Analisi file sospetto in word rivelatosi una truffa. (risultato analisi)

Campagna di #Phishing Agenzia Entrate e Riscossione

, ,

Una sofisticata campagna di phishing sta attualmente prendendo di mira imprese private e pubbliche amministrazioni, sfruttando loghi e simulazioni di comunicazioni dall’Agenzia delle Entrate e Riscossione.

Le e-mail, presentando l’oggetto “Avviso Raccomandata”, inducono le vittime a seguire il link fornito nel corpo del messaggio per consultare una presunta notifica. Tuttavia, è importante notare che il collegamento non conduce al dominio ufficiale dell’Agenzia delle Entrate, ma a un dominio differente.

Questo primo dominio, a sua volta, reindirizza verso un secondo dominio recentemente registrato situato in Russia. Quest’ultimo dominio svolge un ruolo cruciale, verificando l’indirizzo IP della vittima e decidendo se indirizzarla verso una pagina di phishing creata ad-hoc con la tecnica di typosquatting. Il dominio finale di phishing, anch’esso registrato di recente in Russia e caratterizzato dalla mancanza di una lettera “i” rispetto al nome reale dell’Agenzia delle Entrate, è stato creato con l’obiettivo di sottrarre le credenziali d’accesso.

Entrambi i domini, utilizzati per la verifica delle informazioni di provenienza e per l’esecuzione della truffa di phishing, sono stati registrati nella giornata di ieri (12/11/2023) e hanno una localizzazione in Russia.

L’obiettivo principale di questa campagna è ottenere le credenziali d’accesso delle vittime, utilizzate per accedere ai servizi dell’Agenzia delle Entrate. È importante notare che l’accesso tramite SPID, CIE o CNS non è disponibile, rendendo le credenziali tradizionali un obiettivo primario.

Gli indicatori di compromissione rilevati, già condivisi con le pubbliche amministrazioni accreditate al Flusso IoC del CERT-AGID, forniscono dettagli cruciali per la comprensione e il contrasto di questa minaccia. Si consiglia vivamente di sensibilizzare gli utenti, verificare attentamente gli URL prima di cliccare su link e segnalare qualsiasi e-mail sospetta alle autorità competenti per prevenire potenziali danni.

In casi di dubbi su link, url e allegati consigliamo utilizzare tool di analisi gratuito e semplice

Link Download Ioc

che cosa è un IoC?

,

IoC sta per “Indicator of Compromise” (Indicatore di Compromissione). Gli IoC sono elementi di dati che indicano la presenza di una violazione della sicurezza o di un potenziale rischio per la sicurezza informatica. Gli analisti di sicurezza informatica utilizzano gli IoC per identificare eventuali intrusioni o attività malevole nei sistemi informatici.

Gli IoC possono assumere diverse forme, tra cui:

  1. Indirizzi IP sospetti: Gli indirizzi IP associati a attività malevole o noti per essere coinvolti in violazioni di sicurezza.
  2. Nomi di dominio sospetti: I nomi di dominio che possono essere utilizzati per attività di phishing o altri tipi di attacchi informatici.
  3. Hash di file dannosi: L’hash di un file può essere un indicatore utile quando si tratta di identificare versioni specifiche di malware.
  4. Modelli di comportamento malevolo: Segni di comportamento anomalo o sospetto nei log di sistema o nelle registrazioni di rete.
  5. Firme di malware: Specifiche firme digitali che indicano la presenza di malware noto.
  6. Pattern di traffico di rete: Modelli di traffico anomalo che potrebbero indicare un attacco informatico in corso.

La condivisione di IoC tra organizzazioni e comunità di sicurezza informatica è essenziale per rafforzare la difesa contro minacce comuni. Le organizzazioni spesso partecipano a scambi di informazioni sugli IoC per proteggersi in modo più efficace dagli attacchi informatici.

che cosa è il typosquatting?

,

Il typosquatting è una pratica di registrazione di nomi di dominio che sfrutta errori di battitura comuni o varianti ortografiche di nomi di dominio legittimi. L’obiettivo è ingannare gli utenti che commettono errori di digitazione nell’indirizzo di un sito web cercando di visitare una pagina web legittima. Invece di visualizzare un messaggio di errore, gli utenti vengono indirizzati a un sito web fraudolento controllato da terze parti.

Ad esempio, considera un sito web legittimo con l’indirizzo “esempio.com”. Un typosquatter potrebbe registrare un dominio simile, come “exemplo.com” o “esmepio.com”, sfruttando errori di battitura comuni. Quando gli utenti commettono errori di digitazione nell’URL del sito legittimo, finiscono per atterrare su un sito web fasullo, che potrebbe essere utilizzato per attività dannose come phishing o distribuzione di malware.

Il typosquatting è una tecnica ingegnosa utilizzata per approfittare degli errori di digitazione comuni e indurre gli utenti a interagire con siti web fraudolenti. È importante essere consapevoli di questa minaccia e prestare attenzione agli URL digitati per evitare di finire su siti web dannosi.

Come proteggerti dal typosquatting?
Le aziende possono anche cercare di registrare quanti più domini simili ai propri per prevenirne le manomissioni e reindirizzare gli utenti all’URL corretto.
Questa è in genere nota come registrazione difensiva ed è la forma legale di Typosquatting cui accennavamo nei paragrafi precedenti.

Molto utile è il sito checkphish.ai con il quale possiamo monitorare un dominio gratuitamente per vedere tutte
le varianti di typosquat, sia in fase di prima registrazione di un nostro nuovo dominio che stiamo per acquistare oppure per capire i domini simili al nostro.
La versione gratuita permette un monitoraggio al giorno e registrandoci possiamo avere traccia dei nostri controlli.
Buon lavoro

ZeroFont: L’Innovativo Stratagemma di Phishing che Inganna Outlook e Mostra Scansioni Antivirus False

, ,

Gli hacker criminali stanno adottando un astuto stratagemma che sfrutta i caratteri speciali nelle e-mail per fuorviare le protezioni di Microsoft Outlook, mostrando così scansioni antivirus contraffatte.

Sebbene la tecnica di phishing ZeroFont fosse stata già utilizzata in passato, questa è la prima volta che viene documentato il suo impiego in questa particolare modalità.

In un recente rapporto del ricercatore di sicurezza Jan Kopriva presso ISC Sans, si avverte che questo nuovo inganno potrebbe avere un impatto notevole sulla riuscita degli attacchi di phishing, pertanto è importante che gli utenti siano consapevoli della sua presenza e delle modalità con cui viene utilizzato.

Nel dettaglio, un’email di phishing individuata da Jan Kopriva rivela che un malintenzionato sta sfruttando l’attacco ZeroFont per manipolare le anteprime dei messaggi su client di posta elettronica molto diffusi, come Microsoft Outlook.

L’email in questione presenta un messaggio diverso nell’elenco delle email di Outlook rispetto a quanto visualizzato nella vista di anteprima. Ad esempio, nell’elenco delle email, compare la seguente affermazione: “Verificato e protetto da Isc®Advanced Threat Protection (APT): 22/09/2023, ore 6:42 AM”. Tuttavia, nella vista di anteprima/lettura dell’email, il messaggio inizia con “Offerta di Lavoro | Opportunità di Impiego”.

Cosa implicano gli attacchi ZeroFont? Per esempio, si potrebbe inviare un’email a un destinatario cercando di farla sembrare come una notifica relativa al limite di quota di Office 365. Il messaggio potrebbe apparire come un tipico tentativo di phishing proveniente da un servizio amministrativo, ma in realtà, in questo caso, non è stato riconosciuto da Microsoft come un’email di phishing.

Questo avviene poiché l’hacker ha inserito testo casuale all’interno dell’email per suddividerlo in segmenti, evitando così che il sistema di elaborazione del linguaggio naturale di Microsoft lo identifichi come un messaggio di phishing.

In alcuni casi, vengono impiegate parole casuali. I caratteri speciali inseriti vengono incorporati nel codice HTML dell’email, rendendoli invisibili al destinatario. Qui di seguito è possibile visualizzare un frammento del codice HTML grezzo, che mostra i caratteri ZeroFont inseriti.

Quando il destinatario legge l’email, tutto il testo con “FONT-SIZE: 0px” scompare, lasciando visibile solamente il testo desiderato dall’aggressore.

Questo tipo di attacco è concepito per eludere i filtri di sicurezza, inserendo termini innocui ma invisibili che si mescolano con contenuti sospetti, confondendo l’interpretazione del contenuto da parte dell’intelligenza artificiale e degli strumenti di controllo di sicurezza.

È importante notare che la tecnica di attacco ZeroFont è stata documentata per la prima volta da Avanan nel 2018. Questa metodologia di phishing sfrutta le vulnerabilità nei sistemi di intelligenza artificiale e di elaborazione del linguaggio naturale (NLP) utilizzati nelle piattaforme di sicurezza delle email per analizzare il testo.

Nel loro rapporto del 2018, Avanan aveva messo in guardia contro il fatto che ZeroFont era riuscito a eludere le misure di protezione avanzata dalle minacce (ATP) di Office 365 di Microsoft, anche quando le email contenevano parole chiave dannose ben note.

Cosa si intende per data breach?

Un data breach è una violazione dei dati è qualsiasi incidente di sicurezza in cui soggetti non autorizzati ottengono l’accesso a dati sensibili o informazioni riservate, inclusi dati personali (numeri di conto bancario, dati sanitari ecc) o dati aziendali (dati dei clienti, proprietà intellettuale, informazioni finanziarie).

Organizzazioni di ogni dimensione e tipo sono vulnerabili alle violazioni: imprese grandi e piccole, aziende pubbliche e private, governi federali, statali e locali, organizzazioni no-profit. Ma le conseguenze di una violazione dei dati sono particolarmente gravi per le organizzazioni in settori quali la sanità, la finanza e il settore pubblico. Il valore dei dati gestiti da queste aziende (segreti governativi, informazioni sulla salute dei pazienti, numeri di conto bancario e credenziali di accesso) e le severe multe e sanzioni normative che queste organizzazioni devono affrontare in caso di violazione rendono i costi di violazione ancora più elevati. Ad esempio, secondo il rapporto IBM, una violazione media dei dati sanitari è costata 10,10 milioni di dollari, più del doppio del costo medio di tutte le violazioni.

I costi della violazione dei dati derivano da diversi fattori, alcuni più sorprendenti di altri. La conseguente perdita di affari, ricavi e clienti costa alle vittime della violazione dei dati in media 1,42 milioni di dollari. Ma i costi per individuare e contenere una violazione sono leggermente più elevati e ammontano in media a 1,44 milioni di dollari. Inoltre, le spese post-violazione, che comprendono multe, transazioni e spese legali, fino ai costi di segnalazione e al monitoraggio gratuito del credito da parte dei clienti interessati, costano alla vittima media di una violazione dei dati 1,49 milioni di dollari. I requisiti di segnalazione della violazione dei dati possono essere particolarmente costosi e richiedere molto tempo.

Esistono numeri siti/tool per verificare la perdita di dati di account registrazione, data base o vedere se la propria email è stata pwned,

di alcuni abbiamo discusso in questo articolo OSINT e violazione dei dati parte1

Qual è la migliore difesa contro il phishing?

,

I tuoi filtri antispam e-mail potrebbero tenere molte e-mail di phishing fuori dalla tua casella di posta. Ma i truffatori cercano sempre di superare in astuzia i filtri antispam, quindi ulteriori livelli di protezione possono essere d’aiuto. Ricordiamo che il più importante filtro è l’uomo.

Ecco quattro modi per proteggersi dagli attacchi di phishing.

Quattro modi per proteggersi dal phishing

1. Proteggi il tuo computer utilizzando il software di sicurezza . Impostare il  software per l’aggiornamento automatico  in modo che gestisca eventuali nuove minacce alla sicurezza.

2. Proteggi il tuo cellulare impostando il software per l’aggiornamento automatico.  Questi aggiornamenti potrebbero fornire una protezione critica contro le minacce alla sicurezza.

3. Proteggi i tuoi account utilizzando l’autenticazione a più fattori.  Alcuni account offrono una sicurezza aggiuntiva richiedendo due o più credenziali per accedere al tuo account. Questa è chiamata autenticazione a più fattori. Le credenziali extra necessarie per accedere al tuo account rientrano in tre categorie:

  • qualcosa che conosci, come un passcode, un PIN o la risposta a una domanda di sicurezza.
  • qualcosa che hai, come un passcode di verifica una tantum che ricevi tramite SMS, e-mail o da un’app di autenticazione; o una chiave di sicurezza
  • qualcosa che sei, come una scansione della tua impronta digitale, della tua retina o del tuo viso

L’autenticazione a più fattori rende più difficile per i truffatori accedere ai tuoi account se ottengono il tuo nome utente e password.

4. Proteggi i tuoi dati eseguendo il backup.  Esegui il backup dei dati sul tuo computer  su un disco rigido esterno o nel cloud. Esegui anche il backup dei dati sul tuo telefono.

Vuoi testare la tua azienda?

Contattaci per una campagna di pishing mirata al fine di testare la preparazione dei tuoi sistemi e la preparazione del tuo personale.

Cos’è il phishing e come riconoscerlo?

,

Cos’è il phishing?

Il “phishing” si verifica quando i criminali utilizzano e-mail. Lo scopo è spesso quello di farti visitare un sito Web, che potrebbe scaricare un virus sul tuo computer o rubare dettagli bancari o altre informazioni personali.

Come riconoscere il phishing

I truffatori utilizzano e-mail o messaggi di testo per cercare di rubare password, numeri di account, account bancario dati inps ecc.. Se ottengono tali informazioni, potrebbero accedere alla tua e-mail, banca o altri account. Oppure potrebbero vendere le tue informazioni ad altri truffatori. I truffatori lanciano migliaia di attacchi di phishing come questi ogni giorno e spesso hanno successo.

I truffatori aggiornano spesso le loro tattiche per stare al passo con le ultime notizie o tendenze, ma ecco alcune tattiche comuni utilizzate nelle e-mail o nei messaggi di testo di phishing:

Le e-mail e i messaggi di testo di phishing spesso raccontano una storia per indurti a fare clic su un collegamento o ad aprire un allegato.  Potresti ricevere un’e-mail o un messaggio di testo inaspettato che sembra provenire da un’azienda che conosci o di cui ti fidi, come una banca, una carta di credito o un’azienda di servizi pubblici. O forse proviene da un sito Web o un’app di pagamento online. Il messaggio potrebbe provenire da un truffatore, che potrebbe

  • affermano di aver notato attività sospette o tentativi di accesso, ma non l’hanno fatto
  • affermare che c’è un problema con il tuo account o le tue informazioni di pagamento – non c’è
  • diciamo che devi confermare alcune informazioni personali o finanziarie – non lo fai
  • includi una  fattura che non riconosci : è falsa
  • desidera che tu faccia clic su un collegamento per effettuare un pagamento, ma il collegamento contiene malware
  • dì che sei idoneo a registrarti per un  rimborso governativo  : è una truffa
  • offrire un coupon per roba gratis – non è reale

Ecco un esempio reale di un’e-mail di phishing:

Immagina di averlo visto nella tua casella di posta. A prima vista, questa email sembra reale, ma non lo è. I truffatori che inviano e-mail come questa sperano che tu non ti accorga che si tratta di un falso.

Ecco i segni che questa e-mail è una truffa, anche se sembra provenire da un’azienda che conosci e utilizza persino il logo dell’azienda nell’intestazione:

  • L’e-mail ha un saluto generico.
  • L’email dice che il tuo account è sospeso a causa di un problema di fatturazione.
  • L’e-mail ti invita a fare clic su un collegamento per aggiornare i tuoi dati di pagamento.
  • Mettendo il mouse sul link di collegamento senza cliccare potrebbe apparire un link non riconducibile all’azienda che ti ha contattato

Mentre le aziende reali potrebbero comunicare con te tramite e-mail, le aziende legittime non invieranno e-mail o SMS con un collegamento per aggiornare le tue informazioni di pagamento. Le e-mail di phishing possono spesso avere conseguenze reali per le persone che forniscono ai truffatori le loro informazioni, incluso il furto di identità. E potrebbero danneggiare la reputazione delle aziende che stanno falsificando.

Come proteggersi dagli attacchi di phishing?

Cosa può fare un inventory IT?

, ,

Un inventory IT, noto anche come inventario degli asset IT, può svolgere diverse funzioni all’interno di un’organizzazione. Ecco alcune delle cose che un inventory IT può fare:

Registrazione degli asset: Un inventory IT registra e tiene traccia di tutti gli asset IT presenti nell’organizzazione, inclusi computer, server, dispositivi mobili, periferiche, software e componenti di rete. Questo aiuta a mantenere un inventario accurato degli asset IT e a conoscere il numero, il tipo e la posizione di ciascun asset.

Monitoraggio delle modifiche: Un inventory IT può rilevare le modifiche apportate agli asset IT. Questo include aggiunte, rimozioni, modifiche di configurazione e aggiornamenti del software. Il monitoraggio delle modifiche consente di tenere traccia delle attività di gestione degli asset e di avere una visione chiara dello stato corrente degli asset IT.

Gestione del ciclo di vita degli asset: Un inventory IT può aiutare a gestire il ciclo di vita degli asset IT. Questo include la registrazione delle informazioni relative all’acquisto, alla garanzia, alla manutenzione e alla sostituzione degli asset. L’inventario consente di pianificare in anticipo la sostituzione degli asset obsoleti o in scadenza di garanzia, garantendo che gli asset siano sempre aggiornati e funzionanti correttamente.

Monitoraggio delle licenze software: Un inventory IT può aiutare a gestire le licenze software dell’organizzazione. Registrando le informazioni sulle licenze software acquisite, è possibile monitorare l’utilizzo delle licenze e assicurarsi che l’organizzazione sia conforme alle licenze d’uso. Ciò aiuta a evitare violazioni dei contratti di licenza e le relative sanzioni legali.

Risoluzione dei problemi e supporto: Un inventory IT può fornire informazioni dettagliate sugli asset IT, compresi i dettagli della configurazione, i numeri di serie e le informazioni sul supporto tecnico. Queste informazioni possono essere utilizzate per risolvere i problemi tecnici e fornire un supporto tempestivo ai dipendenti che riscontrano difficoltà con gli asset IT.

Sicurezza informatica: Un inventory IT può contribuire alla sicurezza informatica identificando gli asset vulnerabili o non conformi alle politiche di sicurezza dell’organizzazione. È possibile utilizzare l’inventario per monitorare la presenza di patch di sicurezza e aggiornamenti del software, nonché per rilevare asset non autorizzati o potenzialmente dannosi sulla rete.

In generale, un inventory IT fornisce una visione completa e aggiornata degli asset IT di un’organizzazione, facilitando la gestione, la manutenzione, il monitoraggio e la sicurezza dell’infrastruttura tecnologica.

Tra i migliori suggeriamo Miradore e Lansweeper che vedremo nel dettaglio nel prossimo articolo

Load More