Le nuove minacce - L'evoluzione del Malware e del Cybercrime Antonio Forzieri CISSP, CISA, CISM

Dimensione: px

Iniziare la visualizzazioe della pagina:

Download "Le nuove minacce - L'evoluzione del Malware e del Cybercrime Antonio Forzieri CISSP, CISA, CISM"

Simone Ranieri
8 anni fa
Visualizzazioni

1 Le nuove minacce - L'evoluzione del Malware e del Cybercrime Antonio Forzieri CISSP, CISA, CISM Security Practice Manager Technology Sales Organization 1

2 I grandi temi del 2010 lo scenario Globale delle minacce 2

Stuxnet ha evidenziato l aumento nella complessità degli attacchi di questo tipo: 4 vulnerabilità 0-day.

3 Lo scenario globale delle minacce Attacchi Mirati in continua evoluzione Attacchi mirati ad alto profilo nel 2010 Hydraq e Stuxnet hanno aumentato la consapevolezza sulle conseguenze degli APT. Stuxnet ha evidenziato l aumento nella complessità degli attacchi di questo tipo: 4 vulnerabilità 0-day. Furto di certificati digitali. Capacità di infettare reti isolate. Potenziale danno reale alle infrastrutture. More Info: Descrizione dettagliata: W32.Stuxnet Dossier & W32.Stuxnet 3

4 Lo scenario globale delle minacce Attacchi Mirati in continua evoluzione Anche gli attacchi meno sofisticati hanno avuto un impatto considerevole: Average Number of Identities Exposed per Data Breach by Cause Il costo medio per porre rimedio a una compromissione nel 2010 è stato di circa $7.2 Milioni USD. 4

Lo scenario globale delle minacce Social networking + social engineering = compromissione Short URL 65% Regular URL 35% More Info: Gli attaccanti utilizzano sempre più i social network Descrizione

5 Lo scenario globale delle minacce Social networking + social engineering = compromissione Short URL 65% Regular URL 35% More Info: Gli attaccanti utilizzano sempre più i social network Descrizione dettagliata all interno del doumento The Risks of Social Networking Utilizzano le informazioni del profilo per confezionare attacchi mirati di ingegneria sociale (es. utilizzando l identità di amici o conoscenti) Utilizzano i social network come veicolo per diffondere SPAM (es: Koobface) Il 73% degli URL abbreviati (malevoli) presenti sui social network è stato cliccato 11 volte o più. 5

6 Lo scenario globale delle minacce Hide and seek (vulnerabilità zero-day e rootkit) Rootkit utilizzati per sottrarre il maggior numero di informazioni senza essere rilevati (es: Tidserv, Mebroot, Mebratix) Le vulnerabilità 0-day sono state utilizzate per condurre attacchi mirati nel corso del 2010; Number of documented zero-day vulnerabilities Spesso vulnerabilità 0-day sono vendute agli sviluppatori di kit di attacco. 6

7 Lo scenario globale delle minacce Kit di attacco sempre più utilizzati Continuo aumento nell utilizzo di questi strumenti Exploit Java (multi piattaforma) aggiunti da molti kit esistenti Primi Kit dedicati alle vulnerabilità Java. Multi piattaforma & multi browser. More Info: Informazioni dettagliate in ISTR Mid- Term: Attack Toolkits and Malicious Websites 7

Lo scenario Globale delle minacce Le minacce per I terminali mobili Ad oggi la maggior parte delle minacce è costituita da Trojan sotto le mentite spoglie di applicazioni legittime.

8 Lo scenario Globale delle minacce Le minacce per I terminali mobili Ad oggi la maggior parte delle minacce è costituita da Trojan sotto le mentite spoglie di applicazioni legittime. More Info: 115 vulnerabilities vulnerabilities 2010 Security Issues for Mobile Devices and a review of Apple ios and Google Android Saranno un obiettivo privilegiato all aumentare della penetrazione sul mercato di soluzioni di mobile payment. 8

9 Qualche numero Worldwide

10 Andamento delle minacce Firme antivirus e minacce 3.1B 10M 10M Signatures 286M Malware Variants Malware Attacks 10

Andamento delle minacce Data Breach per settore merceologico Hacking come causa principale di compromissione (attacchi mirati) Healthcare come obiettivo maggiormente colpito.

11 Andamento delle minacce Data Breach per settore merceologico Hacking come causa principale di compromissione (attacchi mirati) Healthcare come obiettivo maggiormente colpito. I dati dei clienti hanno costituito l 85% dei dati sottratti. Average Number of Identities Exposed per Data Breach by Cause Volume of Data Breaches by Sector Average Number of Identities Exposed per Data Breach by Sector 11

12 Andamento delle vulnerabilità Vulnerabilità dei Browser Web Internet Explorer ha la finestra di esposizione più ampia Firefox cede lo scettro di browser più vulnerabile; Chrome è stato il browser più vulnerabile (circa 150 vulnerabilità) ma con la finestra di esposizione meno ampia (< 1 giorno). 12

13 Andamento del Black Market I server dell Underground economy Carte di credito il principale bene pubblicizzato sul Black Market. Prezzi variabili per le carte: da 10 carte di credito a $17 fino a 1000 carte di credito a $300. I prezzi per le carte variano con la geografia (carte IT, US, UK), lo stesso fenomeno non è stato osservato per le credenziali. 13

14 Uno sguardo all Italia 14

15 Attività malevole per paese L Italia continua a scalare la classifica europea L Italia guadagna 3 posizioni in classifica come paese di origine degli attacchi. Attività malevole per paese Paesi di provenienza degli attacchi verso l italia. 15

16 PC infetti da Bot continua la scalata verso il successo L Italia conferma il suo secondo posto come paese più popoloso (in termini di bot) guadagnando un +3% rispetto all anno precedente. Diffusione di PC infetti da bot per paese. Paesi di provenienza spam originato da botnet. 16

17 PC infetti da Bot continua la scalata verso il successo La maggior concentrazione di bot si ha nelle principali città Italiane: Roma quinta città al mondo per numero di Bot 17

18 Mobile Malware: alcuni esempi 18

19 Mobile Malware Vettore di propagazione Un'applicazione legittima è: Scaricata. Infettata. Ridiffusa su canali non ufficiali. Symantec Internet Security Threat Report Volume XVI

20 Mobile Malware Finalità dei malware per dispositivi mobili Furto di informazione/identità Tracking della posizione. Invio SMS a numeri premium. Funzionalità botnet. Aggirare la sicurezza delle transazioni basate su 2 fattori.

Mobile Malware ( ZitMo ) Zeus in the mobile È il componente mobile del kit Zeus (Zbot). Viene solitamente installato tramite tecniche di social engineering.

21 Mobile Malware ( ZitMo ) Zeus in the mobile È il componente mobile del kit Zeus (Zbot). Viene solitamente installato tramite tecniche di social engineering. Può osservare gli SMS in arrivo sul terminale. Riesce a realizzare meccanismi di frode intercettando gli SMS autorizzativi inviati sul cellulare da alcune banche. Attualmente esiste per: Windows; Symbian; Windows Mobile; Blackberry.

ufficiali. Camuffato da app BitTorrent Invia SMS a tutti i contatti.

22 Dolcetto o Scherzetto Android Walkinwat Android.Walkinwat è un trojan, probabilmente scritto dagli stessi autori dell applicazione legittima e diffuso nei market non ufficiali. Camuffato da app BitTorrent Invia SMS a tutti i contatti. Benché tali minacce ci possano far sorridere, non bisogna dimenticare che dispongono inoltre di funzionalità atte a sottrarre dati sensibili dal telefono (nominativi, numeri di telefono, informazioni varie) poi inviati ad un server esterno. 22

23 Reputazione: una nuova tecnica di difesa 23

24 Il problema Lo scenario globale delle minacce è cambiato I codici malevoli hanno un elevato tasso di mutazione: Symantec ha rilevato 286 milioni di nuovi codici malevoli lo scorso anno! Molti di questi sono generati in temo reale per ciascuna vittima. Un singolo campione infetta pochissimi sistemi, rendendo la propria identificazione più complessa. In questo scenario i sistemi che si basano su signature risultano inefficaci. 24

25 Il problema Milioni di varianti Immaginiamo di conoscere: Qualunque file esista al mondo; Quante copie ne esistano; E quali di questi siano fidati e quali malevoli. Ora proviamo ad ordinarli: Malevoli sulla sinistra. Fidati sulla destra. Forum PA - Il Black Market nei nuovi scenari IT 25

26 Prevlalenza Distribuzione di file malevoli e fidati File Malevoli File Fidati Le tecniche di blacklisting funzionano bene qui. Per questa lunga coda serve una nuova tecnica. Le tecniche di whitelisting funzionano bene qui 26

File hash File origin Signer Filename Path Oggi Symantec dispone della più grande base dati di

27 Reputatione L implemetazione realizzata Nel 2007 Symantec ha iniziato a collezionare dati: Norton Community Watch Programma per il collezionamento dei dati. File hash File origin Signer Filename Path Oggi Symantec dispone della più grande base dati di conoscenza circa i nessi tra file, utenti e siti web potendo contare su: milioni di utenti che contribuiscono attivamente miliardi di file conosciuti 27

Reputatione L implemetazione realizzata La base di dati viene analizzata da un algoritmo di reputazione proprietario Norton Community Watch

Symantec Reputation Engine Utilizza i dati collezionati pe calcolare la reputazione del file Il sistema è in grado di identificare ogni

28 Reputatione L implemetazione realizzata La base di dati viene analizzata da un algoritmo di reputazione proprietario Norton Community Watch Programma per il collezionamento dei dati. Symantec Reputation Engine Utilizza i dati collezionati pe calcolare la reputazione del file Il sistema è in grado di identificare ogni singola applicazione esistente 1.2 Miliardi di file conosciuti Contiene dati su file eseguibili, driver, DLL, plugin ecc.. Fornisce per ciascun file: reputazione, numerosità e data di scoperta del file. Symantec File Safety Reputations 28

29 Cambiare le regole Gli attaccanti utilizzano il polimorfismo per evadere le firme degli antivirus. In questo scenario soluzioni antivirus basate su firme non sono efficaci. Ma nuove mutazioni vengono individuate dal sistema di reputazione in maniera semplice Bassa prevalenza + Generato recentemente = BASSA Reputazione! I virus writer si trovano quindi a dover scegliere tra: Far mutare velocemente i malware = BASSA reputazione Far mutare lentamente i malware = facili da individuare per la produzione di una firma 29

30 SEP

31 Thank you! Copyright 2011 Symantec Corporation. All rights reserved. Symantec and the Symantec Logo are trademarks or registered trademarks of Symantec Corporation or its affiliates in the U.S. and other countries. Other names may be trademarks of their respective owners. This document is provided for informational purposes only and is not intended as advertising. All warranties relating to the information in this document, either express or implied, are disclaimed to the maximum extent allowed by law. The information in this document is subject to change without notice. Presentation Identifier Goes Here 31

Documenti analoghi

Symantec Insight e SONAR

Teniamo traccia di oltre 3, miliardi di file eseguibili Raccogliamo intelligence da oltre 20 milioni di computer Garantiamo scansioni del 70% più veloci Cosa sono Symantec Insight e SONAR Symantec Insight