Nella notte tra l’1 e il 2 novembre, in decine di supermercati europei, frigoriferi e congelatori hanno smesso di raffreddare. Non era un guasto: qualcuno è entrato da Internet nei sistemi che li controllano, ha alzato le temperature o ha avviato lo sbrinamento, e il cibo è andato buttato. È successo anche in Italia, in alcuni punti vendita della Sicilia. Ecco cosa è successo, cosa sappiamo su chi c’è dietro e cosa insegna questa storia a chiunque abbia un dispositivo connesso.

Il primo attacco: la Francia, a ottobre

Lo stesso schema si era già visto nella notte dell’11 ottobre in Francia. Lì sono stati colpiti centinaia di supermercati di diverse catene, tra cui Intermarché, Netto, Carrefour, Coopérative U e Monoprix. I banchi frigo sono stati messi in sbrinamento con la merce dentro e, secondo le ricostruzioni, in molti casi sono arrivati fino a 50 °C. Interi reparti di freschi e surgelati sono finiti nei rifiuti, con danni stimati in milioni di euro. L’agenzia francese per la sicurezza informatica ha diffuso un’allerta già il giorno dopo.

La seconda ondata, anche in Italia

Tre settimane dopo è toccato a una decina di Paesi europei, tra cui Belgio, Lussemburgo, Paesi Bassi, Svezia, Irlanda, Estonia, Finlandia, Portogallo, Germania e Romania. Nessuna catena ha avuto più di qualche decina di negozi colpiti, ma il quadro è lo stesso: temperature impostate fino a 50 °C, sbrinamenti avviati di notte, prodotti ritirati per precauzione.

In Italia il gruppo Radenza, che gestisce in franchising supermercati a marchio Coop in Sicilia, ha confermato attacchi intorno alle 4 del mattino in almeno tre punti vendita a Catania e uno a Palermo. Alcune testate parlano di una ventina di negozi tra Palermo, Catania, Ragusa e Trapani. L’Agenzia per la Cybersicurezza Nazionale (ACN) ha inoltre segnalato un’azienda toscana della ristorazione collettiva, che ha notificato l’incidente, e un attacco a un produttore di surgelati in Emilia-Romagna.

Come hanno fatto

Non è stato usato un virus. Gli impianti di refrigerazione dei negozi sono gestiti da centraline elettroniche che i tecnici controllano a distanza attraverso una pagina web. In molti casi quella pagina era raggiungibile direttamente da Internet, senza una rete protetta in mezzo, e a volte bastava una password predefinita o debole per entrare.

• In Francia la maggior parte delle centraline colpite erano modelli Danfoss vecchi, gli AK-SM 800 e AK-SC 355, che il produttore non aggiorna più.
• L’allerta francese riguarda anche i sistemi di supervisione Copeland e Dixell XWEB.
• Danfoss ha spiegato che il punto debole principale è il software non aggiornato e che nei Paesi Bassi alcuni impianti usavano ancora le password di fabbrica.

Una volta dentro, è bastato cambiare le impostazioni come farebbe un tecnico: alzare le soglie di temperatura o avviare lo sbrinamento. Proprio perché non c’è un programma malevolo, restano poche tracce da seguire.

Chi c’è dietro

Al momento non si sa. Due gruppi di hacker filorussi, NoName057(16) e Z-Pentest, hanno rivendicato gli attacchi su Telegram, ma le rivendicazioni non sono state verificate e diversi ricercatori dubitano che siano davvero loro: potrebbero essersi presi il merito dopo l’attenzione dei media. Il commissario europeo all’Agricoltura Christophe Hansen ha parlato di «un tentativo deliberato di interrompere la nostra catena di approvvigionamento alimentare». L’agenzia per la cybersicurezza romena, al contrario, l’ha definito un attacco «semi-amatoriale» e ha escluso la pista di uno Stato. In Belgio la procura federale ha aperto un’indagine.

La risposta in Italia

• ACN: ha aggiornato il 3 novembre il bollettino pubblicato il 13 ottobre. Chiede agli operatori di verificare con urgenza che i sistemi di controllo e teleassistenza non siano esposti su Internet e di separarli dalle reti aziendali. Raccomanda inoltre accessi remoti solo tramite VPN con autenticazione a più fattori, la verifica degli account con privilegi e l’aggiornamento o la sostituzione dei dispositivi non più supportati.
• Governo: il 3 novembre il sottosegretario Alfredo Mantovano ha riunito a Palazzo Chigi il ministro Francesco Lollobrigida, l’ACN e i vertici dell’intelligence. Secondo i primi accertamenti l’impatto in Italia è «fortemente limitato»: poche unità commerciali su migliaia, con sistemi di sicurezza obsoleti e interfacce esposte su Internet. «Non sussiste quindi alcun allarme», ha fatto sapere il governo. Non risultano rischi per la salute legati allo scongelamento dei prodotti, e le anomalie vengono segnalate ai NAS dei Carabinieri.
• Polizia Postale: sta ricostruendo origine e portata degli attacchi e i possibili collegamenti con gli altri Paesi.

Come consumatori, dobbiamo preoccuparci?

Gli attacchi hanno riguardato pochi negozi e i prodotti finiti fuori temperatura sono stati ritirati. Resta comunque buona abitudine, quando compri surgelati, controllare che le confezioni non mostrino segni di scongelamento: cristalli di ghiaccio all’interno, prodotto compatto in un unico blocco, confezione deformata o bagnata. Nel dubbio non comprarli e segnalalo al personale.

E il frigorifero di casa? Questi attacchi hanno colpito impianti professionali, non gli elettrodomestici domestici. Il principio però vale per qualsiasi oggetto connesso, dalla telecamera al robot aspirapolvere: un dispositivo raggiungibile da Internet, con la password di fabbrica e senza aggiornamenti, è una porta lasciata aperta. Nei prossimi giorni pubblicheremo una guida pratica per mettere in sicurezza gli elettrodomestici smart.

La lezione

Non è servito un attacco sofisticato. Sono bastati dispositivi vecchi, esposti in rete e protetti male. È la stessa regola che vale a casa e in ufficio: togliere da Internet ciò che non deve stare su Internet, cambiare le password di fabbrica, aggiornare e sostituire ciò che non riceve più aggiornamenti.

Fonti

• Il Post – Chi ha attaccato i frigoriferi dei supermercati europei, e perché?
• Il Fatto Quotidiano – Attacchi hacker ai supermercati in tutta Europa
• Teleborsa – L’ACN in allerta sull’Italia, casi in Toscana ed Emilia-Romagna
• Adnkronos – Il vertice a Palazzo Chigi e gli accertamenti della Polizia postale
• The Hacker News – New wave of refrigeration cyberattacks hits supermarkets across Europe
• Cybernews – Le rivendicazioni dei gruppi filorussi

The post Attacco hacker ai frigoriferi dei supermercati: cosa sappiamo appeared first on Sitissimo.com.

Lo ricostruiamo passo per passo, con i dati pubblicati dai ricercatori di sicurezza di Sucuri. In fondo trovi i controlli da fare sul tuo sito e le regole per non correre lo stesso rischio.

Il protagonista: Balada Injector

Balada Injector è una campagna di attacchi che da anni colpisce i siti WordPress sfruttando plugin e temi non aggiornati. Secondo Sucuri, nel solo settembre 2023 il suo scanner SiteCheck ha trovato varianti di Balada Injector su oltre 17.000 siti, quasi il doppio rispetto ad agosto. Più di 9.000 di questi casi erano legati alla falla che raccontiamo qui.

La porta d’ingresso: tagDiv Composer

• tagDiv Composer è un plugin per costruire le pagine (un page builder) distribuito insieme ad alcuni temi commerciali molto usati dai siti di notizie e dai blog.
• La falla, identificata come CVE-2023-3169, permetteva a chiunque, senza nemmeno essere registrato, di salvare codice JavaScript nelle impostazioni del sito. È stata resa pubblica a metà settembre 2023 e corretta con la versione 4.2 del plugin.
• Gli attacchi sono partiti subito dopo. Molti siti, però, sono rimasti scoperti a lungo: i plugin inclusi nei temi a pagamento spesso si aggiornano solo insieme al tema, e per questo restano indietro più facilmente.

Come si sviluppa un’infezione

1. L’ingresso. Il codice malevolo viene salvato in un’impostazione del database chiamata td_live_css_local_storage, dentro un blocco che comincia con <style id="tdw-css-placeholder">. Da lì viene stampato in tutte le pagine pubbliche del sito.
2. I visitatori. Lo script carica altro codice da domini controllati dagli attaccanti e può dirottare chi visita il sito verso pagine truffa.
3. Gli amministratori. Se a visitare il sito è un amministratore collegato, lo script agisce con i suoi permessi e crea un nuovo account amministratore. Nelle prime ondate si chiamava “greeceman”; poi i nomi sono diventati le prime quattro lettere del dominio seguite da “mann”, per esempio “exammann” per example.com. La password viene inviata agli attaccanti.
4. Le porte di servizio. Per sopravvivere alla pulizia, il malware installa un plugin che si nasconde dall’elenco in bacheca (i nomi trovati da Sucuri sono wp-zexit e wp-swamp), inserisce una backdoor nel file 404.php del tema e aggiunge codice in cima ad alcuni file JavaScript di WordPress, come jquery-migrate.min.js.

Il risultato è un sito che a vista sembra normale, ma che lavora per qualcun altro. E cancellare solo la prima iniezione non basta: le porte di servizio rimettono tutto com’era.

Come accorgersene

Di solito non ci sono segnali evidenti. Questi controlli richiedono pochi minuti:

• Guarda il codice delle pagine. Apri il sito da una finestra privata, premi Ctrl+U (su Mac Cmd+Opzione+U) e cerca script che non riconosci, soprattutto quelli offuscati, cioè scritti apposta per essere illeggibili, o con indirizzi strani.
• Controlla gli utenti. Cerca amministratori che non hai creato, in particolare con i nomi visti sopra.
• Guarda i plugin dal server, via FTP o dal pannello dell’hosting, e non solo dalla bacheca: alcuni plugin malevoli lì non compaiono.
• Usa uno scanner online come SiteCheck di Sucuri per una prima diagnosi.
• Leggi i log del server, se puoi: secondo Sucuri, richieste POST che ricevono una risposta 404 possono indicare che qualcuno sta usando la backdoor.

Come si ripulisce, passo per passo

Una regola prima di cominciare: finché lo script è attivo, ogni visita al sito da amministratore può reinfettarlo. Per questo la rimozione del malware va fatta per prima, e nel frattempo il sito non va navigato da collegati.

1. Backup completo prima di toccare qualsiasi cosa. File e database, salvati fuori dalla cartella pubblica del sito. Anche una copia del sito infetto serve: per tornare indietro se qualcosa va storto e per capire cosa è successo.
2. Rimuovi l’iniezione dal database. Trova il codice nell’impostazione td_live_css_local_storage, salvane una copia a parte e cancellalo.
3. Elimina gli amministratori sconosciuti.
4. Cerca plugin nascosti e backdoor: la cartella dei plugin sul server, il file 404.php del tema, i file JavaScript di WordPress modificati. Verifica che i file di WordPress siano quelli originali, per esempio con il comando wp core verify-checksums di WP-CLI.
5. Svuota la cache. È il passaggio che si dimentica più spesso: le pagine salvate in cache continuano a servire il codice infetto anche dopo la pulizia.
6. Controlla gli altri siti sullo stesso hosting. Quando più siti condividono lo spazio, un’infezione può spostarsi dall’uno all’altro.
7. Togli la causa, non solo il sintomo. Aggiorna tagDiv Composer almeno alla versione 4.2 oppure, se non ti serve più, disattivalo ed eliminalo insieme al tema che lo richiede. Poi aggiorna WordPress, i temi e tutti i plugin.
8. Cambia tutte le password (WordPress, pannello dell’hosting, database) e rigenera le chiavi di sicurezza di WordPress, così le sessioni eventualmente rubate smettono di funzionare.

Perché il malware punta agli amministratori

Questi script si attivano nel browser di chi visita il sito. Se il visitatore è un amministratore collegato, il codice può agire con i suoi permessi: creare utenti, installare plugin, modificare file. Per questo Sucuri consiglia di non navigare il proprio sito mentre si è collegati come amministratore: per vederlo come un lettore usa una finestra privata o un altro browser.

Le regole per non correre lo stesso rischio

• Aggiorna subito WordPress, temi e plugin, soprattutto quando l’aggiornamento corregge una falla di sicurezza. Vale doppio per i plugin inclusi nei temi a pagamento, che non sempre si aggiornano dalla bacheca.
• Meno plugin possibile. Ogni plugin è codice in più da tenere aggiornato. Quelli che non usi vanno disattivati e cancellati.
• Solo fonti ufficiali. Temi e plugin “premium” scaricati gratis da siti non ufficiali sono una delle porte d’ingresso più comuni.
• Backup automatici fuori dal server, e ogni tanto prova a ripristinarne uno.
• Disattiva l’editor di file in bacheca aggiungendo define('DISALLOW_FILE_EDIT', true); al file wp-config.php: se qualcuno ruba un accesso, non può modificare il codice da lì.
• Un account editor per scrivere. Usa l’account amministratore solo quando serve davvero.

Pensi che il tuo sito sia infetto?

1. Non cancellare niente di getto: prima fai un backup, anche del sito infetto.
2. Passa il sito in uno scanner online per una prima diagnosi.
3. Se il sito usa tagDiv Composer, controlla subito la versione del plugin e l’impostazione td_live_css_local_storage nel database.
4. Controlla utenti amministratori, plugin installati e file modificati di recente.
5. Dopo la pulizia aggiorna tutto, svuota la cache e cambia tutte le password.

Se non te la senti di mettere mano al database, fatti aiutare da chi lo fa di mestiere: un intervento sbagliato può fare più danni dell’infezione.

Fonti

• Sucuri – Balada Injector e la falla di tagDiv Composer (ottobre 2023)
• Rapid7 – tagDiv Composer, CVE-2023-3169

The post Malware su WordPress, un caso studio: la falla di tagDiv Composer appeared first on Sitissimo.com.

Il virus di origine militare DuQu ha permesso di scoprire una nuova vulnerabilità su tutti i sistemi Windows sfruttando il meccanismo di riconoscimento dei font per infettarlo. Per essere colpiti basta aprire un allegato ricevuto via email.

L’allegato, di solito, si presenta come un documento di Word con all’interno un font malevolo che, non appena viene interpretato dal sistema Windows, permette ai malintenzionati di installare programmi, visualizzare, modificare o cancellare dati, creare nuovi account con tutti i permessi sul computer in uso.

Le versioni coinvolte da questa falla sono tutte quelle di Windows, essendo un bug riguardante il kernel, ovvero il cuore, di tutte le versioni di Windows, da XP a Windows 7.

Microsoft, ha già annunciato interventi in tal proposito, e si prospetta una patch correttiva nel giro di pochi giorni, onde evitare problemi di contagio di migliaia di pc sia di privati che di aziende.

The post Windows, il pericolo arriva via font appeared first on Sitissimo.com.

Microsoft con l’aggiornamento rilasciato ieri, ha inibito, la famosa funzione di “autorun.inf” che permetteva di aprire in automatico dei file (ma anche a utenti malintenzionati di eseguire codice maligno) nello stesso momento in cui si collegava un dispositivo USB (al momento nessuna modifica per quanto riguarda cd/dvd).

In Windows 7, la procedura di Autorun era già stata sostituita inserendo il controllo utente, ma nelle versioni precedenti (compreso Windows Server 2008) rimaneva il vecchio e dannoso sistema, che poteva essere manualmente modificato dall’utente, andando a cambiare alcune voci direttamente nel registro di Windows.

L’esecuzione automatica del codice in autorun.inf ha costituito, da sempre, il mezzo più facile per veicolare malware che si diffondeva anche soltanto inserendo una chiavetta USB nel PC, senza nemmeno aprirla e in qualche modo all’oscuro dell’ignaro utente.

Un portavoce Microsoft ha spiegato che l’azienda avrebbe voluto operare i cambiamenti prima, ma si è scontrata con l’opposizione di alcuni produttori hardware.

The post Niente più Autorun per i sistemi Windows appeared first on Sitissimo.com.

Una breve lista di 10 delle applicazioni gratuite più scaricate per la sicurezza del proprio Pc, dai vari Antivirus, passando per Firewall, Proxy internet e Anti malware.

1- AVG Anti-Virus Free Edition
Ormai è quasi diventato sinonimo di Antivirus freeware, AVG è un’antivirus completo e completamente gratis (esistono anche versioni a pagamento con alcune feature in più) che è tra i più scaricati in assoluto, anche se probabilmente non è proprio il migliore in assoluto, resta un’ottima scelta.

2- Avast Free Antivirus
Al secondo posto c’è Avast, altro completo antivirus, utilizzabile gratuitamente con un numero seriale, fornito via mail, valido un anno.

3- Avira AntiVir Personal – Free Antivirus
A detta di molti, l’antivirus gratuito con il miglior database di virus e minacce per la sicurezza, si assesta al terzo posto delle applicazioni più scaricate.

4- Malwarebytes Anti-Malware
Quest’applicazione rimuove malware e virus, particolarmente utile quando gli antivirus tradizionali non sono efficaci. Da portare sempre sulla propria penna USB.

5- Ad-Aware Free Anti-Malware
Uno dei primi programmi anti malware usciti per windows, ancora oggi molto scaricato nonostante le molte alternative disponibili.

6- IObit Security 360
Altra applicazione utile nello scovare e eliminare malware e minacce varie.

7- Spybot – Search & Destroy
Una delle applicazioni per la sicurezza più conosciute, protegge anche dagli indirizzi web (noti) malevoli. Oltre ovviamente alla protezione tradizionale da malware.

8- ZoneAlarm
Il firewall free per eccellenza, quando ancora non erano diffusi i router (a favore dei modem), era sicuramente tra le applicazioni più scaricate, i router di oggi incorporano già un firewall interno, oltre ovviamente al classico firewall di XP.

9- Hotspot Shield
Questa utility serve a rimanere anonimi su reti wireless che non si conoscono o si ritengono poche sicure (reti wireless pubbliche ad esempio) criptando i dati del proprio collegamento, utilizzabile gratuitamente (vedrete però una piccola pubblicità) e con un limite di 5Gb di trasmissione dati al mese.

10- A Squared Free
Utility per scansionare e rimuovere Malware dal proprio computer, con 4 tipi di scansione: Quick, Smart, Custom and Deep scans. Ovviamente con grosse differenze di tempo impiegato per la scansione, soprattutto tra la Quick (più breve e sommaria) e la Deep scans (analizza proprio tutti i file, anche quelli compressi, e quindi impiega molto tempo in più).

via makeuseof

The post Le 10 applicazioni per la sicurezza più scaricate appeared first on Sitissimo.com.

In questi giorni si sta registrando un numero sempre maggiore di utenti che hanno ricevuto una mail di questo genere, con mittente Facebook:

“Der user of facebook, because of the measures taken to provide safety to our clients, your password has been changed. You can find your new password in attached document. Thanks, Your Facebook”.

Inutile dire, che Facebook non c’entra niente con questa mail e che probabilmente aprendo l’allegato si rischia di compromettere la sicurezza del proprio pc. Si tratta di un’attacco SCAM, già conosciuto per altri attacchi molto simili, falsificando l’identità del mittente con quella di una famosa banca, o di un qualsivoglia provider di servizi.

Occhi aperti quindi!

The post Attenzione alle false mail di Facebook appeared first on Sitissimo.com.

I ricercatori di Core Security Technologies hanno dimostrato che un nuovo attacco al bios è in grado di colpire quasi tutti i Bios attualmente in uso. Sarebbero circa un centinaio di righe scritte in Python a flashare il bios e installare in esso un Rootkit.

In quanto il bios entra in azione prima di qualsiasi altro software nessun antivirus sarà in grado rilevare la minaccia.

Anche se l’antivirus fosse in grado rimuovere il virus una volta flashato il bios, la macchina sarà comunque controllabile da remoto, nemmeno la reinstallazione del sistema operativo rimuoverebbe il Rootkit. L’unica soluzione sarebbe quella di reflashare il bios o nel caso peggiore sostituire il chip con uno nuovo.

The post Un nuovo attacco al Bios, che elude i controlli antivirus appeared first on Sitissimo.com.

Avira ha rilasciato una versione aggiornata del suo antivirus. AntiVir 9 che viene distribuito in versione free e a pagamento. Una bella novità è sicuramente quella di avere (con la nuova versione) incluso anche la protezione da spyware e adware, oltre alla normale protezione contro i virus informatici.

Avira AntiVir Premium include, oltre a tutte le caratteristiche della versione gratuita, uno scanner per le mail, un modulo WebGuard per la “navigazione sicura” e la possibilità di creare un disco di ripristino. La versione premium è venduta a 19,95 €.

The post Avira Antivirus 9, aggiunge i tool anti spyware e adware appeared first on Sitissimo.com.

Websense Security Labs, ha ricevuto diverse segnalazioni di email che fingono di arrivare da Facebook, il noto social network che coinvolge più di 170 milioni di persone. “Queste email sono molto simili a quelle originali di Facebook e invitano a vedere il video sexy di una ragazza che balla. Se si clicca sul link si viene rimandati a un sito maligno che assomiglia a quello di Facebook ma che in realtà installa sul pc un file chiamato “Adobe_Player11.exe“, difficilmente rilevabile dalla maggior parte degli anti-virus sul mercato”

La mail invoglia a seguire il link con uno dei seguenti messaggi:

• FaceBook message: Dancing Girl Drunk In The Pub- facebook Video (Last rated by Betsy Person)
• FaceBook message: Dancing girl oriental dance … (Last rated by Abdul Kay)
• FaceBook message: Magnificent Striptease Dance (Last rated by Rosalind Lindsey)
• FaceBook message: Watch the Oooh! Super Beautiful Girl Dancing (Last rated by Delores Tucker)
• FaceBook message: Hot Girl Dancing At Striptease Dance Party

via wintricks

The post Attenti alla ballerina sexy di Facebook appeared first on Sitissimo.com.

Ninja Pendisk è una piccola utility per Windows Xp/Vista in grado di proteggere la nostra penna Usb da programmi maligni che si avviano in automatico, al collegamento della penna USB infettata al PC.

Il programma è Stand Alone e quindi non necessita di alcuna installazione, basta avviarlo e subito si preoccuperà di disinfettare gli eventuali file infetti presenti sulla pendrive (in particolar modo controllerà i servizi autorun.inf e ctfmon.exe che sono i più diffusi).

Ninja Pendisk è in grado di “immunizzare” la nostra pendrive creando un file autorun.inf con permessi speciali per prevenire le future intrusioni, e quindi proteggere la vostra pendrive anche in futuro.

>> Download di NINJA PENDISK

via ilarialab

The post Proteggiamo la nostra Penna USB con Ninja Pendisk appeared first on Sitissimo.com.