CHECK POINT 2013 SECURITY REPORT CHECK POINT 2013 SECURITY REPORT

CHECK POINT 2013 SECURITY REPORT CHECK POINT 2013 SECURITY REPORT GENNAIO 2013

CHECK POINT 2013 SECURITY REPORT Check Point 2013 Security Report 01 02 03 04 05 06 AP Introduzione e metodologia 004 Minacce per le aziende 006 Applicazioni enterprise 020 Casi di perdita di dati all interno della rete 030 Conclusioni e strategia di sicurezza 036 Check Point Software Technologies 038 Appendice 042 003

2013 CHECK POINT ANNUAL SECURITY REPORT 01 INTRODUZIONE E METODOLOGIA COME L ACQUA NON HA UNA SUA FORMA COSTANTE, ANCHE IN CASO DI GUERRA NON ESISTONO CONDIZIONI COSTANTI. 1 ANCHE SE QUESTA FRASE È VECCHIA DI 2.600 ANNI, È ANCORA SORPRENDENTEMENTE SIGNIFICATIVA E RIFLETTE LE FORME DI GUERRA MODERNE LA GUERRA CIBERNETICA Le tecniche degli hacker cambiano continuamente, sfruttando metodi di attacco sempre più moderni e sofisticati, portando la sfida della sicurezza a nuovi livelli. I data center, i computer e i cellulari dei dipendenti sono l obiettivo primario degli hacker, che si avvalgono di una varietà pressoché infinita di malware come bot, trojan e driveby download. I cyber criminali utilizzano trucchi e social engineering per manipolare utenti innocenti ed ottenere accesso alle informazioni aziendali, quali documenti interni, registri finanziari, numeri di carta di credito e credenziali di accesso, o semplicemente bloccare servizi con attacchi di tipo denial of service. Questa moderna guerra, fatta di minacce ed attacchi avanzati, è qui per rimanere. Le informazioni aziendali salvate nei data center, nei server, nei PC e nei dispositivi mobili aumentano alla velocità della luce, e la crescita in termini di volume di dati e piattaforme genera rischi maggiori. Infine, la lista di minacce alla sicurezza non diventa sicuramente più breve, ed ogni nuovo attacco rivela un livello di sofisticazione superiore. Quali sono stati i principali rischi di sicurezza che la vostra rete si è trovata ad affrontare lo scorso anno? A quali minacce verrà esposta il prossimo anno? Queste sono le questioni principali che hanno occupato il team di ricerche sulla sicurezza di Check Point nel corso degli ultimi mesi. Raccogliendo le risposte a queste precise domande, Check Point è stata in grado di effettuare un approfondita valutazione. Questo report offre un analisi degli eventi di sicurezza di rete che nel corso del 2012 hanno coinvolto le organizzazioni di tutto il mondo. Presenta gli eventi di sicurezza indentificati presso queste organizzazioni, con esempi relativi agli incidenti resi noti, spiegazioni di come alcuni di questi attacchi sono stati condotti, e raccomandazioni su come proteggersi da questo tipo di minacce. Il report è strutturato in tre sezioni distinte, ognuna dedicata a un aspetto differente della security. La prima parte si concentra sulle minacce di sicurezza, quali bot, virus, security breach ed attacchi. La seconda analizza alcune rischiose applicazioni web che mettono a repentaglio la sicurezza di rete delle organizzazioni. La terza è dedicata alle perdite di dati causate da comportamenti non intenzionali da parte dei dipendenti. Metodologia Il Security Report 2013 di Check Point è basato su una ricerca collaborativa e sulla successiva analisi degli eventi di sicurezza raccolti tramite quattro principali risorse: i Check Point Security Gateway Analysis Report 2, Check Point ThreatCloud 3, la rete Check Point SensorNet ed i report Check Point Endpoint Security. Una meta-analisi sugli eventi di sicurezza che hanno coinvolto le reti di 888 aziende è stata condotta utilizzando dati raccolti dai Security Gateway Check Point, che hanno scansito in tempo reale il traffico di rete delle aziende, 004

CHECK POINT 2013 SECURITY REPORT 01 _ INTRODUZIONE E METODOLOGIA in entrata e in uscita. Il traffico è stato analizzato con la tecnologia multilivello delle Software Blade Check Point, per indentificare una serie di minacce alla sicurezza, quali applicazioni ad elevato rischio, tentativi di intrusione, virus e bot, perdita di dati sensibili, ecc Il traffico di rete è stato monitorato in tempo reale, utilizzando Check Point Security Gateway inline o in modalità monitor (tap). In media, il traffico di rete di ogni organizzazione è stato monitorato per 134 ore. Le aziende interessate dalla nostra ricerca provengono da una grande varietà di settori e sono distribuite in tutto il mondo, come mostrato dalle tabelle 1-A e 1-B. Inoltre sono stati analizzati oltre 111,7 milioni di eventi raccolti da 1.494 Security Gateway usando dati generati da Check Point ThreatCloud, un enorme database di sicurezza aggiornato in tempo reale e popolato con dati provenienti da una estesa rete di sensori globali, distribuiti strategicamente in tutto il mondo, che raccolgono informazioni su minacce ed attacchi malware. ThreatCloud permette di identificare i trend e le minacce emergenti a livello di sicurezza globale, creando un network collaborativo per combattere il cybercrime. Nella nostra ricerca abbiamo analizzato dati di ThreatCloud raccolti lungo un periodo di tre mesi, tra agosto e ottobre 2012. Un riferimento per i dati relativi alle minacce è stato raccolto dalla rete di sensori Check Point SensorNet nel periodo che va dal 1 luglio al 30 settembre 2012. Check Point SensorNet è una rete di sensori distribuita a livello mondiale, in grado di fornire informazioni di sicurezza e statistiche di traffico ad un sistema centrale di analisi. Questi dati vengono studiati per identificare tendenze ed anomalie, e per ottenere uno spaccato in tempo reale della sicurezza in tutto il mondo. Infine, una meta-analisi su 628 report di endpoint security condotti presso una grande varietà di organizzazioni. L analisi di sicurezza prevedeva una scansione di ogni singolo host con validazione dei rischi di perdita di dati, di intrusione e legati al malware. L analisi è stata condotta con lo strumento di reportistica Check Point Endpoint Security, verificando se sull host è presente un Anti- Virus, se l Anti-Virus è aggiornato, se i software presenti sono alla versione più aggiornata, ed altro ancora. Lo strumento è gratuito e liberamente disponibile, può essere scaricato dal sito web pubblico di Check Point 4. Questo report è basato su dati raccolti da queste fonti. Fonte: Check Point Software Technologies Provenienza Geografica Settori Verticali 26 % Altro 235 Tabella 1-A 40 % EMEA* 354 39 % Industria 346 14 % Finance 128 40 % America 356 10 % Pubblica Amministrazione 89 *APAC Asia, Pacifico e Giappone. EMEA Europa, Medio Oriente e Africa 20 % APAC* 178 7 % Telco 59 4% Consulenza 31 Settori Verticali Industria Chimica/Petrolchimica, Sanità, Farmaceutica, IT, Manifatturiero, Trasporti, Utility, Infrastrutture Finance Finanza, Contabilità, Banche, Investimenti Pubblica Amministrazione Pubblica Amministrazione, Difesa Telco Telecomunicazioni, Service Provider, ISP, MSP Consulenza Servizi di Consulenza Altro Pubblicità/Media, Distribuzione, Education, Studi legali, Hospitality/Intrattenimento, Vendita all ingrosso e al dettaglio, Titoli di stato, Altro 005

2013 CHECK POINT ANNUAL SECURITY REPORT 02 MINACCE PER LE AZIENDE Edizione straordinaria: rilevato un nuovo attacco informatico Nel 2012, gli attacchi informatici hanno continuato a crescere ed a finire in prima pagina. Quasi ogni giorno le prime pagine dei giornali riportano minacce di software malevoli, attacchi e botnet, portando alla luce il successo di hacker che rubano dati, paralizzano le attività e spiano grandi aziende e governi. Gli esempi che seguono sono solamente la punta dell iceberg degli attacchi informatici che si sono verificati nel corso del 2012: hacker all attacco della rete della Casa Bianca 6, il gruppo hacktivista Anonymous che ha bloccato i siti web di organizzazioni come U.S. Telecom Association e TechAmerica 7, attacchi informatici hanno colpito Capital One Financial, BB&T e HSBC Bank USA 8, e tanti altri ancora. Advanced Persistent Threats I cyber criminali non sono più dilettanti che operano in modo isolato. In molto casi, appartengono ad organizzazioni ben strutturate che ricordano le cellule terroristiche hanno accesso CI SONO SOLO DUE TIPI DI AZIENDE, QUELLE CHE SONO STATE ATTACCATE E QUELLE CHE LO SARANNO. Robert Mueller, Director, FBI, Marzo, 2012 5 a risorse economiche importanti, hanno motivazioni ed obiettivi precisi. I cyber criminali appaiono dedicare significative quantità di tempo e risorse alla raccolta di informazioni utili. Le loro attività criminali causano alle organizzazioni colpite danni ingenti, tra cui: perdita di dati confidenziali, interruzione delle attività di business, danni all immagine ed ovviamente danni finanziari. Per gli attacchi più sofisticati e di lungo periodo, condotti pensando ad obiettivi specifici pre-determinati, è stato coniato il termine di Advanced Persistence Threat (APT). Questi attacchi vengono scoperti molto raramente dai tradizionali sistemi di sicurezza, cosa che mette le reti di enti pubblici, di grandi e piccole aziende ed anche di singoli individui a rischio. In caso di attacchi APT, la prima BLACKHOLE UN KIT DI ATTACCO PER LE MASSE Parte dell enorme incremento dell attività malevola registrata negli ultimi anni può essere attribuita alla possibilità per gli hacker di utilizzare con grande semplicità tool e pacchetti di attacco preconfezionati. Con un solo click, ognuno può scaricare una suite di attacco pienamente funzionale e molto sofisticata. Una di queste suite è il BlackHole exploit kit un pacchetto software web-based largamente diffuso. BlackHole comprende una raccolta di strumenti pensati per sfruttare le falle di sicurezza dei browser web per scaricare virus, bot, trojan ed altre forme di agenti software malevoli sui computer di vittime inconsapevoli. I prezzi per questi kit variano dai 50 dollari per un giorno di utilizzo fino ai 1500 dollari di un abbonamento annuale 9.

02 _ MINACCE PER LE AZIENDE CASI DI DATA BREACH NEL 2012 Nel 2012 si sono verificati numerosi casi di data breach, che hanno riguardato dati salvati su server aziendali e relativi a carte di credito, oppure informazioni di clienti, studenti o pazienti. Queste attività malevole sono caratterizzate dal comune obiettivo di acquisire informazioni confidenziali. Questi alcuni esempi di casi realmente accaduti: Global Payments Inc. Società globale di elaborazione di pagamenti colpita dagli hacker a giugno 2012. Le informazioni di oltre 1.500 carte di pagamento sono state sottratte. Clarksville Tennessee U.S. A giugno 2012, alcuni hacker hanno colpito il sistema scolastico della Contea di Clarksville-Montgomery, rubando nomi, numeri di Sicurezza Sociale ed altri dati personali di circa 110.000 persone. Gli hacker hanno usato informazioni postate online da dipendenti e studenti per penetrare nel sistema 10. Serco Thrift, piani di risparmio A maggio 2012, un attacco informatico condotto contro Serco negli Stati Uniti ha portato alla sottrazione di informazioni relative a 123.000 dipendenti federali. University of Nebraska è stata oggetto di un caso di data breach che ha portato al furto di oltre 650.000 file di dati personali relativi a studenti, ex-studenti, genitori e dipendenti universitari, dal database del Nebraska Student Information Systems. Dipartimento di Tecnologia, Utah A marzo 2012, 780.000 registri di pazienti legati al programma sanitario Medicaid sono stati rubati da un server, ad opera di hacker probabilmente provenienti dall Europa orientale. Servizio Sanitario Nazionale, Regno Unito Tra luglio 2011 e luglio 2012, il Servizio Sanitario Nazionale del Regno Unito è stato oggetto di diversi casi di data breach che hanno esposto quasi 1,8 milioni di cartelle cliniche 11. azione da intraprendere tipicamente è quella di raccogliere informazioni relative al bersaglio designato. Successivamente, gli attaccanti compiono una prima intrusione nella rete obiettivo, per aprire una backdoor e mantenere una presenza persistente sul network. Questo solitamente si accompagna all infezione di un host con un bot, che permette a chi attacca di comunicare con l host infetto senza venire individuato. L attaccante poi cerca di ottenere un accesso più ampio alla rete e di compromettere ulteriori nodi. Una volta fatto ciò, TOOLKIT PER BOT VENGONO VENDUTI ONLINE PER 500 DOLLARI, I DANNI CHE PROVOCANO COSTANO ALLE AZIENDE MILIONI DI DOLLARI l obiettivo è di fatto raggiunto, e l hacker può sfruttare gli host infetti per raccogliere dati o causare i danni desiderati da remoto, mantenendo una presenza costante ed invisibile per un lungo periodo. Le botnet sono qui per restare Una delle minacce più significative in tema di sicurezza di rete che oggi le organizzazioni si trovano ad affrontare è rappresentata dalle botnet. Un bot è un software malevolo che invade ed infetta un computer per consentire a criminali di controllarlo da remoto. Il computer infetto può eseguire attività illegali come rubare dati, inviare spam, distribuire malware e partecipare ad attacchi Denial of Service (DoS), ed il suo proprietario può essere del tutto all oscuro di queste attività. I bot giocano anche un ruolo chiave in caso di attacchi APT mirati. Ci sono due trend 007

2013 CHECK POINT ANNUAL SECURITY REPORT 02 _ MINACCE PER LE AZIENDE principali nell attuale scenario delle minacce guidati da attacchi bot. Il primo è il crescente mercato del cybercrime sempre più guidato dai profitti si tratta di un mercato che comprende cyber criminali, operatori del malware, fornitori di tool, coder e programmi affiliati. I loro prodotti possono essere facilmente ordinati online su numerosi siti (ad esempio, kit malware fai-date, invii di spam, furti di dati e attacchi Denial of Service), e per le organizzazioni diventa sempre più difficile combattere con successo questi attacchi. Il secondo trend è quello degli attacchi ideologici e guidati da stati, che prendono di mira persone o organizzazioni per promuovere una causa politica o guidare una vera e propria guerra elettronica. Le botnet sono qui per restare. A differenza di virus ed altre forme tradizionalmente statiche di malware (con codici e forme che rimangono gli stessi), le botnet sono per loro natura dinamiche e possono modificare velocemente forma e pattern di traffico. Toolkit per bot vengono venduti online a prezzi che possono scendere fino a 500 dollari, e i loro attacchi costano alle aziende attività delle botnet Inviare messaggi spam tramite email Diffondere virus Distribuire software malevolo Attaccare computer e server Sottrarre dati

IL 63% DELLE ORGANIZZAZIONI CONSIDERATE NELLA RICERCA è RISULTATA INFETTA DA BOT milioni di dollari. La questione dei bot non va sottovalutata. Le botnet sono dappertutto, ma quanto è critica la situazione? Si stima che fino a un quarto di tutti i personal computer connessi ad Internet possa far parte di una botnet. La ricerca mostra come nel 63% delle organizzazioni sia stato individuato almeno un bot. La maggior parte delle organizzazioni sono risultate infette da più bot differenti. Come lavorano le botnet Una botnet conta tipicamente su una serie di computer che sono stati infettati da un software malevolo, che stabilisce una connessione di rete con uno o più sistemi di controllo, definiti server Command & Control. Quando un bot infetta un computer, ne prende il controllo e neutralizza le difese Controllore dei bot Computer su internet Spam, Virus, DDoS Command & Control Bot Anti-Virus. I bot sono difficili da individuare perché si nascondono all interno del computer e modificano il modo in cui appaiono al software Anti-Virus. Il bot poi si collega al centro di Command & Control (C&C) per ricevere istruzioni dai cyber criminali. Per questi collegamenti, vengono usati numerosi protocolli di comunicazione, tra cui Internet Relay Chat (IRC), HTTP, ICMP, DNS, SMTP, SSL e, in qualche Numero di host infetti da bot (% delle organizzazioni) 10 % 7-9 host 18 % 10-21 host Tabella 2-A 6 % più di 21 host 48 % 1-3 host 18 % 4-6 host )Fonte: Check Point Software Technologies 009

2013 CHECK POINT ANNUAL SECURITY REPORT 02 _ MINACCE PER LE AZIENDE caso, protocolli personalizzati creati dagli ideatori del software della botnet. OGNI 21 MINUTI UN BOT COMUNICA CON IL SUO CENTRO DI COMMAND & CONTROL Attività di Command & Control I bot si presentano sotto vesti e formati molto diversi e possono eseguire tante attività differenti. In molti casi, un singolo bot può creare più minacce. Una volta sotto il controllo del server di Command & Control, la botnet può essere guidata dall hacker a condurre attività illegali senza che l utente ne sia a conoscenza. Queste attività prevedono l infezione di ulteriori macchine per aggiungerle alla botnet, l invio massiccio di messaggi di spam via email, attacchi DDoS e furto di dati personali, finanziari e confidenziali, da parte dei bot che fanno parte della botnet. I bot vengono spesso usati anche come strumenti di attacchi APT, nel corso dei quali i cyber criminali prendono di mira organizzazioni o individui specifici. La tabella 2-B illustra la frequenza con cui i bot comunicano con il loro centri di Command & Control. Il 70% dei bot individuati durante la ricerca comunicava con il suo centro di Command & Control almeno ogni 2 ore. La maggioranza delle attività di Command & Control è stata riscontrata negli USA, seguiti dalla Germania, dai Paesi Bassi e dalla Francia, come mostra la tabella 2-C. I vari tipi di comunicazione tra i bot ed il centro di Command & Control includono un report sui nuovi host che sono stati infettati, messaggi di buon funzionamento e dati raccolti dal sistema host. La nostra ricerca mostra come, in media, un bot comunichi con il suo centro di Command & Control ogni 21 minuti. Quali botnet vanno tenute sotto controllo? Oggi esistono migliaia di botnet differenti. La tabella seguente presenta le botnet più pericolose e preminenti trovate nel corso della ricerca. Per una migliore comprensione di queste minacce, ulteriori informazioni su ognuna di esse sono state rese disponibili nella Appendice A. Famiglia di botnet Zeus Attività malevola Sottrae credenziali bancarie online Frequenza di comunicazione tra un bot ed il suo centro di Command & Control Zwangi Presenta all utente messaggi pubblicitari non desiderati Tabella 2-B 25 % meno di 1 ora 6 % 2ogni 2-4 ore 24 % più di 4 ore 45 % ogni 1-2 ore Fonte: Check Point Software Technologies Sality Kuluoz Juasek Papras Per ulteriori dettagli vedi l Appendice A Si diffonde autonomamente sotto forma di virus Esegue file malevoli da remoto Esegue azioni malevole da remoto: apre shell di comando, cerca/crea/ cancella file, ed altro Sottrae informazioni finanziarie ed ottiene accesso remoto 010

PRINCIPALI PAESI IN CUI SI TROVANO I CENTRI DI COMMAND & CONTROL 7% Paesi Bassi 9% Germania Fonte: Check Point Software Technologies 3% Canada 58% Stati Uniti 7% Francia 3% Romania 4% Cina 3% Venezuela Tabella 2-C 3% Argentina 3% Australia 75% NEL DELLE ORGANIZZAZIONI, UN HOST ACCEDE A UN SITO MALEVOLO

2013 CHECK POINT ANNUAL SECURITY REPORT 02 _ MINACCE PER LE AZIENDE Come la vostra organizzazione può essere infettata dal malware Sono diversi i possibili punti di accesso per superare le difese di un organizzazione: vulnerabilità del browser, telefoni cellulari, allegati infetti e supporti rimuovibili, per nominarne solo qualcuno. Oltre a ciò, l esplosione delle applicazioni Web 2.0 e dei social network usati come strumento di business sta offrendo agli hacker un enorme opportunità per invitare le vittime a cliccare su link malevoli o su malvertisement pubblicità malevola che appare su siti web regolari. Nonostante oggi le botnet siano considerate una delle principali minacce alla sicurezza di rete, le organizzazioni si trovano a fronteggiare ulteriori minacce provenienti dal mondo del malware: virus, worm, spyware, adware, trojan e così via. La nostra ricerca mostra come nel 75% delle organizzazioni un host acceda ad un sito malevolo. La torta che segue illustra il numero di host che sono entrati in contatto con un sito web malevolo, secondo la percentuale delle organizzazioni. In oltre il 50% delle aziende, almeno cinque host sono entrati in contatto con un sito web malevolo. Un malware può essere scaricato da un utente, oppure da un bot che ha già infettato Accesso a siti malevoli per numero di host (% di organizzazioni) 31 % 1-2 host Tabella 2-D OGNI 23 MINUTI UN HOST ACCEDE A UN SITO MALEVOLO 15 % oltre i 16 host 18 % 3-4 host 20 % 5-8 hosts 16 % 9-16 host Fonte: Check Point Software Technologies l host. Abbiamo riscontrato come nel 53% delle organizzazioni un malware sia stato scaricato dalla rete aziendale. In oltre il 50% di queste organizzazioni, abbiamo rilevato che più di quattro host avevano scaricato malware. La torta seguente mostra la frequenza media di scaricamento di malware nelle organizzazioni, secondo la nostra ricerca. Frequenza di scaricamento di malware (% di organizzazioni) 43 % più di un giorno Fonte: Check Point Software Technologies 19 % 2-6 ore 14 % fino a 2 ore Tabella 2-E 12 % 6-12 ore 12 % 12-24 ore Un malware può essere scaricato da un utente, oppure da un bot che ha già infettato l host. Abbiamo riscontrato come nel 53% delle organizzazioni un malware sia stato scaricato dalla rete aziendale. In oltre il 50% di queste organizzazioni, abbiamo rilevato che più di quattro host avevano scaricato malware. La torta seguente mostra la frequenza media di scaricamento di malware nelle organizzazioni, secondo la nostra ricerca. La tabella 2-G illustra il numero di host che hanno scaricato del malware. In oltre il 50% delle organizzazioni, almeno cinque host hanno scaricato malware. Nella nostra ricerca, la maggioranza del malware è stata trovata negli Stati Uniti, seguita dal Canada e dal Regno Unito, come mostrato dalla tabella 2-F. La protezione Anti- Virus è uno dei metodi per proteggersi dalle infezioni malware, anche se la nostra ricerca ha mostrato come il 23% degli host nelle organizzazioni non aggiornano il loro Anti-Virus su base giornaliera. Un host che utilizza un Anti-Virus non aggiornato è esposto ai virus più recenti. Abbiamo trovato come il 14% degli 012

PRINCIPALI PAESI IN CUI SI TROVA IL MALWARE 4% Regno Unito 3% Germania Fonte: Check Point Software Technologies 8% Canada 71% Stati Uniti 2% Francia 2% Slovacchia 2% Repubblica Ceca 3% Israele 3% Turchia 2% Cina Tabella 2-F Numero di host che hanno scaricato malware (% di organizzazioni) Tabella 2-G 45 % 1-4 host 13 % 5-8 host 10 % 9-16 host 12 % 17-32 host 20 % oltre 33 host Fonte: Check Point Software Technologies host all interno delle organizzazioni non sia nemmeno dotato di Anti-Virus. Host che non utilizzano un Anti-Virus hanno un alta probabilità di essere infettati dal malware. l virus miniflame il fratello più piccolo e pericoloso di Flame Probabilmente il malware Flame, scoperto all inizio di quest anno, rappresentava solo l inizio. Nel corso del 2012 è stato scoperto un programma collegato, chiamato miniflame, in grado di condurre attacchi maggiormente mirati verso obiettivi in Medio Oriente. miniflame comprende una back door che permette di ottenere controllo da remoto, furto di dati e la capacità di fare fotografie istantanee dello schermo. 013

L ATTACCO EUROGRABBER OLTRE 36 MILIONI DI EURO SOTTRATTI A PIù DI 30.000 CLIENTI BANCARI Nel corso del 2012 è stato registrato un attacco sofisticato e multidimensionale, che ha sottratto oltre 36 milioni di Euro a più di 30.000 clienti di banche differenti, distribuite in tutta Europa. I clienti delle banche online non avevano idea di essere stati infettati da trojan, che le loro sessioni di online banking venissero di fatto compromesse o che il loro denaro venisse rubato direttamente dai loro conti. Questo tipo di attacco è stato scoperto e denominato Eurograbber da Versafe e Check Point Software Technologies. L attacco Eurograbber si basa su una nuova e valida mutazione del trojan ZITMO, o Zeus-In-The-Mobile. Ad oggi, questo exploit è stato individuato solamente in paesi dell area Euro, ma un ulteriore mutazione di questo attacco potrebbe potenzialmente colpire banche di paesi esterni all Unione Europea. Costruito su più livelli, l attacco ha infettato computer e dispositivi mobili di clienti bancari online e, una volta che i trojan Eurograbber sono stati installati su entrambi i dispositivi, le sessioni di online banking dei clienti venivano completamente monitorate e manipolate da parte degli hacker. Anche il meccanismo di autenticazione a due fattori utilizzato dalle banche per garantire la sicurezza delle transazioni bancarie online è stato aggirato nel corso di questo attacco e, nei fatti, utilizzato dagli hacker per autenticare i propri trasferimenti illeciti di denaro. Inoltre, i trojan impiegati per attaccare i dispositivi mobili sono stati sviluppati sia per piattaforma Blackberry che Android, in modo da rendere possibile un ampio mercato di riferimento, e in questo modo sono stati in grado di infettare indifferentemente utenti bancari privati ed aziendali, trasferendo illecitamente dai loro conti somme variabili dai 500 ai 250.000 Euro ciascuno. Ulteriori informazioni sull attacco Eurograbber, compresa una sua descrizione particolareggiata, sono disponibili in un white paper 12 dedicato all attacco Eurograbber sul sito web di Check Point. Più vulnerabilità più exploit Vulnerabilità ben note sono un obiettivo fondamentale per gli hacker, che puntano sul fatto che tante organizzazioni non aggiornano il loro software ogni settimana. Più grandi sono le organizzazioni, più difficile diventa per gli amministratori della sicurezza mantenere tutti i sistemi sempre aggiornati. Per questo motivo, in molti casi, una vulnerabilità corretta anni prima può comunque essere utilizzata per penetrare infrastrutture di grandi e piccole aziende che non hanno aggiornato i loro sistemi con le più recenti patch software. Il semplice numero di vulnerabilità svelate ogni anno è davvero enorme: solo nel 2012 sono state scoperte oltre 5.000 13 nuove possibilità per gli hacker di provocare danni ed accedere ai sistemi. E ci sono tante altre vulnerabilità non ancora scoperte, che vengono utilizzate attivamente dai cyber criminali. Numero totale di comuni vulnerabilità ed esposizioni al rischio Fonte: Common Vulnerabilities and Exposures (CVE) Tabella 2-H 5672 2012 5235 2011 5279 2010 5132 2009 014

CHECK POINT 2013 SECURITY REPORT 02 _ MINACCE PER LE AZIENDE Fonte: Common Vulnerabilities and Exposures (CVE) La tabella 2-I mostra come i prodotti più noti, utilizzati da quasi tutte le organizzazioni a livello mondiale sono anche i più vulnerabili Oracle, Apple e Microsoft sono i vendor maggiormente vulnerabili. La nostra ricerca mostra che il 75% 2012 - Principali vulnerabilità ed esposizioni al rischio per vendor 62 PHP 59 HP 118 IBM 80 Google 150 Firefox 119 Adobe 119 Cisco 260 Apple 222 Microsoft 384 Oracle Fonte: Check Point Software Technologies Inoltre, abbiamo scoperto come eventi di sicurezza relativi a prodotti Microsoft siano stati riscontrati nel 68% delle organizzazioni. Eventi di sicurezza relativi ad altri software vendor, come Adobe ed Apple, sono stati riscontrati in un numero decisamente minore di organizzazioni. E interessante notare come, sebbene Apple sia seconda nel numero di vulnerabilità, solo una piccola percentuale di organizzazioni abbia riscontrato nella realtà eventi di sicurezza relativi ai loro prodotti. Gli hacker utilizzano varie Eventi di sicurezza per software vendor (% di organizzazioni) 5 % Novell 5 % Apache 4 % Apple 3 % HP 15 % Oracle 13 % Adobe 68 % Microsoft Tabella 2-i degli host all interno delle organizzazioni non stia utilizzando le versioni più recenti del software (ad esempio: Acrobat Reader, Flash Player, Internet Explorer, Java Runtime Environment ed altri). Ciò significa che questi host sono esposti a una grande varietà di vulnerabilità che possono essere sfruttate dagli hacker. La nostra ricerca mostra anche che il 44% degli host all interno delle organizzazioni non dispongono dei più recenti Service Pack di Microsoft Windows. I Service Pack solitamente includono aggiornamenti di sicurezza per il sistema operativo, e non installare i più recenti comporta un rischio. Tabella 2-j tecniche, definite vettori di attacco. La tabella 2-K presenta alcuni di questi vettori di attacco, secondo la percentuale di organizzazioni che si è trovata a fronteggiarli. Memory Corruption, Buffer Overflow e Denial of Service sono i più comuni vettori di attacco riscontrati. 015

2013 CHECK POINT ANNUAL SECURITY REPORT 02 _ MINACCE PER LE AZIENDE Principali vettori di attacco Buffer Overflow 32% Memory Corruption 32% Code Execution 24% Denial of Service 32% 19 % Stack Overflow 15 % Registration Spoofing 10 % Integer Overflow 8 % Information Disclosure 6 % Null Pointer Dereference 5 % Privilege Escalation 2 % Buffer Overrun 1 % Authentication Bypass Fonte Check Point Software Technologies SQL Injection è un exploit di sicurezza (CVE-2005-0537) in cui l hacker aggiunge codice Structured Query Language (SQL) ad un modulo web da compilare, allo scopo di poter accedere a risorse o effettuare modifiche ai dati archiviati. La tabella 2-M mostra come si presenta l attacco. Il testo evidenziato indica i dati che l hacker ha cercato di rendere pubblici tramite l attacco SQL Injection (in questo caso, user name e password). I comandi SQL sono: select, concat e from. L attacco è stato condotto da 99 differenti indirizzi IP. Anche se l organizzazione obiettivo si trova in Europa, gli attacchi sono stati originati da molte location differenti, come mostra la tabella 2-M. Un attacco SQL Injection può essere condotto manualmente (da un hacker attraverso una tastiera) o automaticamente (attacco scripted). In questo caso, come mostra la tabella 2-L, il picco dell attacco è stato un esplosione di 4.184 tentativi di attacco (molto probabilmente automatizzati), lanciati nell arco di due giorni, utilizzando lo stesso injection pattern e derivanti da uno stesso IP di partenza. Tasso di eventi SQL Injection numero di eventi SQL Injection 2500 2000 1500 Tabella 2-k 1000 500 Come si presenta un attacco SQL Injection? Ecco un attacco SQL Injection in tempo reale Il caso seguente illustra un esempio reale di una serie di attacchi SQL Injection condotti tra luglio e ottobre 2012 presso un cliente Check Point. L attacco è stato individuato e bloccato da un Security Gateway di Check Point, ed il caso è stato segnalato dal team Managed Security Service di Check Point ThreatCloud. July 22 Aug 5 Tabella 2-l Aug 19 Sept 2 Sept 16 Sep 30 Oct 14 Oct 28 016