Made in Italy sotto attacco: industria e banche nel mirino

Il nuovo rapporto di Yoroi conferma l’uso di email e PEC come vettore di attacco principale verso l’industria e le banche italiane. In base al rapporto 2021 si nota come quasi ogni tipo di violazione dei dati inizia con un attacco di phishing, come nel 2019. Più del 50% dei tentativi di phishing si è registrato nel settore dei Materiali da Costruzione che è composto da industrie produttrici di gesso, cemento, acciaio, legno, vetro e argilla e rappresenta un business importante per l'Italia. Seguono Macchinari, Equipaggiamento e Componentistica, il comparto Software & IT Services (18,60%), molto sensibile al furto di proprietà intellettuale, e i Servizi finanziari.

- Più della metà degli attacchi malware in Italia sono condotti con malware trojan bancario, appartenente per il 40% da parte alla famiglia Ursnif, che si conferma essere la minaccia più persistente nel panorama informatico italiano. Subito dopo c’è il malware Emotet

- Il 75,6% di file malevoli utilizzati per attaccare le organizzazioni sono malware zero-day e malware appena conosciuti che riescono ad aggirare i tradizionali perimetri di sicurezza

- La distribuzione degli attacchi cyber tra i settori non è uniforme: i comparti edilizio, manifatturiero e bancario sono tra i più compromessi

- L’aumento  degli attacchi di “Double Extortion” basati su ransomware richiedono un doppio pagamento: per riscattare i dati e tacere dell’attacco da parte degli aggressori

- La rinnovata importanza di attacchi alla Supply Chain è motivata da spionaggio commerciale e industriale o sabotaggio di specifici target e possono avere un impatto su qualsiasi componente hardware o software in produzione

- La capacità di un attacco di propagarsi lateralmente sottolinea l'importanza di una strategia proattiva che permetta di ridurre i tempi di risoluzione di incidenti prima che si attui la propagazione

Il fattore umano e le attività opportunistiche degli attaccanti. Il phishing, in tutte le sue forme, rimane oggi una delle minacce più attive e insidiose. Questo perché viene realizzato tramite e-mail e utilizza sofisticate tecniche di ingegneria sociale che sfrutta le debolezze umane, in grado di aggirare le difese aziendali. La situazione pandemica ha costretto le aziende ad adottare cambiamenti radicali, come lo smart-working e le conseguenze hanno avuto un impatto negativo sulla sicurezza degli utenti che, in molti casi, operavano fuori dal perimetro di sicurezza.

I vettori di attacco. Utilizzando la telemetria raccolta dall'infrastruttura di monitoraggio del Cyber  Security Defense Center di Yoroi, il rapporto conferma che i documenti di Microsoft Office sono il vettore di distribuzione di malware più rilevante, rappresentando il modo più comune per diffondere la prima fase della catena di infezioni da malware. Infatti, i documenti Microsoft Word (35%) e i fogli di calcolo Excel (33,2%) rappresentano collettivamente il 68,2% di tutti gli allegati dannosi intercettati dai servizi di protezione e-mail di Yoroi.

Il malware sLoad che sfrutta la posta PEC, la tecnologia italiana di posta certificata, è risultato tra i più insidiosi.

Le tecniche di attacco e propagazione. Una delle ultime tattiche adottate dai criminali informatici è quella di comprimere gli allegati all'interno di un file di archivio (zip, gzip o rar, 7zip) e crittografarli con una password citata all'interno del corpo della mail. Metodo semplice ma efficace per i cybercriminali.

Un'altra tecnica ampiamente utilizzata nel 2020 è stata l'abuso di XLM Macro 4.0.
XLM Macro 4.0 è una tecnologia legacy ancora supportata nelle moderne suite Office, che sono state abusate per eludere il rilevamento antivirus e antispam delle classiche firme antivirus e consentire la seconda fase della catena di infezioni da malware.

Distribuzione attacchi. Come dimostrato dalla distribuzione degli attacchi informatici tra i settori, quelli più colpiti per il 2020 sono Machinery, Equipment & Components con una quota del 25,13%, seguiti da Diversified Financial Services con l'11,23%, Textiles & Apparel con il 9,63%, Oil and Gas con il 7,49% seguito da tutti gli altri. Gli ultimi sono Beverages, Water & Other Utilities e Transportation con lo 0,53%.

Gli investimenti. È interessante notare che “Banking Services”, “Retail”, “Logistic Services” e “Software and IT” presentano un'alta percentuale di file scaricati malevoli nonostante tali servizi abbiano anche budget specifici da allocare sulla Sicurezza. Questo accade perché tali ambienti sono più eterogenei di altri e i dipendenti sono più inclini a scaricare servizi per il loro lavoro quotidiano.

Provenienza degli attacchi. Gli Stati Uniti occupano i primi posti con il 34% di share che risulta in aumento rispetto all'anno 2019 (12%). Inoltre i tentativi provenienti dalla Cina (CN) sono scesi dal 31% del 2019 al 24%, come è possibile vedere nell'istogramma allegato. I tentativi provenienti dalla Russia (RU) sono aumentati dal 9% all'11% mentre India (IN), Vietnam (VN), Brasile (BR), Taiwan (TW) e Indonesia (ID) condividono il 26% della distribuzione totale rispetto a un totale del 41% nel 2019. Per il 2020 abbiamo due new entry: Germania (DE) con il 3% e Regno Unito (1%) che diventano apprezzabili in valore assoluto.

Il paziente zero. Spesso gli attacchi informatici vengono duplicati sui target e colpiscono più aziende in un breve lasso di tempo dopo avere colpito la prima organizzazione, il Paziente Zero (PZero).

La tecnologia di difesa DNS di Yoroi ha bloccato 11.297 domini dannosi relativi alle minacce più gravi.