Autrice : Katie Boquetti | Redazione : Craig Taylor
Ricordo i primi tempi dei motori di ricerca. Dogpile , Ask Jeeves , AltaVista , e poi arrivò Google e cambiò tutto. Per anni una ricerca funzionava semplicemente così: digitavi una domanda e ti fidavi della risposta che compariva in cima ai risultati.
Ultimamente quella fiducia si è affievolita. Google ora sovrappone tre, quattro, persino cinque annunci pubblicitari di terze parti ai risultati di ricerca veri e propri, e mi ritrovo a saltare tutta quella confusione e a chiedere direttamente alla mia intelligenza artificiale preferita. Chiamatela nostalgia, ma mi mancano i tempi in cui la parte superiore della pagina dei risultati di ricerca di Google era un punto di cui ci si poteva fidare.
L'articolo che segue ci ricorda che la confusione non è la cosa peggiore che si possa trovare in cima ai risultati di ricerca di Google. I criminali creano pagine di fornitori false, copiate persino dal logo e dal pulsante di download, per infettare i computer con malware. La soluzione si articola in due parti: una tradizionale e una tecnica. La parte tradizionale è semplice: smettete di fidarvi dei risultati di ricerca, scaricate il software direttamente dalla pagina ufficiale del fornitore e ringraziate chi nel vostro team si prende la briga di chiedere conferma prima di installare un programma. La parte tecnica vi protegge quando si commette un errore di distrazione. Rimuovete i diritti di amministratore dagli account dei vostri dipendenti. Un account utente standard blocca la maggior parte di questi malware, poiché l'attacco richiede i diritti di amministratore per disattivare le difese e disabilitare gli aggiornamenti. Le buone abitudini riducono al minimo i clic rischiosi e il principio del minimo privilegio garantisce che un singolo errore non comprometta l'intera sicurezza del computer.
Condividi questo suggerimento con chi ancora digita il nome di un marchio nella barra di ricerca e clicca sul primo risultato. Te ne saranno grati.
E ricordate: ridete, imparate e scatenatevi!
Craig
Microsoft ha pubblicato una ricerca su una campagna malware attiva con una configurazione semplice. Un utente cerca un software popolare, clicca su un risultato in cima alla pagina, atterra su una pagina identica al sito ufficiale del produttore e scarica un programma di installazione. Il file viene eseguito. A prima vista non sembra esserci nulla di anomalo. In realtà, il programma di installazione disattiva Windows Update, aggiunge esclusioni a Microsoft Defender e stabilisce una connessione con l'attaccante. Tutti esiti negativi.
Ci sono però anche molte buone notizie. La maggior parte degli strumenti di sicurezza rileverà questi programmi di installazione prima che vengano eseguiti. Se uno di essi dovesse sfuggire ai controlli, un utente standard senza diritti di amministratore bloccherà la maggior parte delle sue operazioni. Inoltre, quando il vostro team sa dove reperire software legittimo, questa minaccia non raggiungerà mai i vostri computer.
Gli hacker hanno registrato domini simili a marchi reali utilizzando estensioni di dominio nazionali come .com.cn e .hl.cn. Hanno copiato le pagine dei fornitori, compreso il layout, il logo e il grande pulsante verde per il download. Tra i marchi contraffatti figuravano browser web, editor PDF, lettori di ebook, applicazioni per la creazione di mappe mentali, programmi di registrazione dello schermo, utility per la gestione del disco, strumenti di traduzione e hardware per videogiochi.
Un dettaglio rende il blocco più difficile del solito. Il file ZIP scaricato mantiene sempre lo stesso nome, mentre il suo contenuto cambia a ogni richiesta. Ogni visitatore riceve un file leggermente diverso, quindi gli strumenti di sicurezza che cercano un'impronta digitale di un file dannoso noto non hanno alcun punto di riferimento. Il rilevamento deve quindi concentrarsi sul comportamento successivo all'installazione.
Le vittime accertate lavorano nei settori sanitario, manifatturiero, dei videogiochi, tecnologico, della logistica, governativo e dell'istruzione. Microsoft collega l'attività con un grado di certezza moderato a un gruppo noto come Silver Fox, famoso da diversi anni per le sue false pagine di download di fornitori.
Il programma di installazione apporta una serie di modifiche silenziose al computer.
Microsoft Defender ha rilevato l'attività e ha avviato il contenimento automatico, pertanto l'obiettivo finale della campagna rimane sconosciuto.
Disattivare Windows Update è la soluzione più dannosa a lungo termine tra quelle elencate. Un computer con gli aggiornamenti disabilitati continua a funzionare, ad aprire le email e a sembrare integro all'utente. Ogni nuova patch di sicurezza non viene installata su quel computer. Settimane dopo, lo stesso computer si ritrova esposto a vulnerabilità già risolte su tutti gli altri computer dell'ufficio.
Considerate la segnalazione degli aggiornamenti come un segnale di sicurezza, non come una semplice incombenza di manutenzione IT. Un computer che non compare nei report di aggiornamento merita un'analisi più approfondita.
Ogni passaggio qui sotto offre tre livelli. Il livello "Buono" ti permette di iniziare subito con una spesa minima o nulla. Il livello "Migliore" offre una protezione maggiore con uno sforzo moderato. Il livello "Ottimo" offre la massima protezione in assoluto, ma richiede più tempo e denaro per essere mantenuto e continuare a funzionare.
Iniziate da "Buono" in ogni ambito questa settimana. Terminerete la giornata più sicuri di come l'avete iniziata e progredirete verso "Migliore" e "Ottimo" secondo i vostri tempi.
Se un computer mostra questi segnali, è meglio ripristinare il sistema piuttosto che pulirlo. Il malware elimina le copie shadow, blocca le proprie cartelle e impedisce gli aggiornamenti, quindi una pulizia parziale non risolve il problema. Ripristina il sistema operativo del dispositivo, cambia le password utilizzate e continua a usarlo con tranquillità.
Scegliete un'azione positiva da ciascuno dei passaggi sopra descritti e mettetela in pratica oggi stesso. Informate il vostro team di questo attacco e spiegate loro le protezioni che state aggiungendo per loro conto. Chiedete a tutti di imparare l'unico indizio affidabile, ovvero l'indirizzo web, e di consultarvi prima di installare qualsiasi nuova soluzione. Le azioni positive richiedono pochi minuti, non pomeriggi, e ognuna di esse rende la vostra organizzazione più sicura stasera di quanto non lo fosse stamattina. Create un'abitudine, premiate chi chiede prima di installare qualcosa e continuate a segnalarlo.
Come faccio a riconoscere un sito di download falso prima di cliccare?
Concentratevi sull'indirizzo web piuttosto che sul design della pagina, perché quest'ultimo è una copia quasi perfetta. Prefissi internazionali insoliti, nomi di marchi con trattini e sottodomini sconosciuti sono segnali comuni. La soluzione migliore è smettere di affidarsi all'aspetto visivo. Acquistate il software da una fonte controllata, come un catalogo self-service o la pagina ufficiale del fornitore, in modo da evitare risultati falsi.
Perché è importante che un'impronta digitale di un file cambi?
Molti strumenti di sicurezza identificano i file dannosi tramite un valore hash univoco. Quando un server crea una nuova copia del malware per ogni download, ogni vittima riceve un file unico, quindi il blocco basato sull'hash non si rivela mai efficace. Il rilevamento basato sul comportamento diventa quindi fondamentale.
Quanto è rischioso un servizio di Windows Update disabilitato?
Un singolo errore si trasforma in una vulnerabilità illimitata. Il computer appare e funziona normalmente, ma non dispone di alcun aggiornamento di sicurezza rilasciato in seguito. Le macchine in questo stato offrono agli aggressori un modo affidabile per accedervi anche a distanza di mesi.
Microsoft Defender mi protegge in questo caso?
In parte. Defender ha rilevato questa campagna e l'ha contenuta nei casi analizzati da Microsoft. Il malware tenta ancora di aggiungere le proprie cartelle di esclusione utilizzando i diritti di SISTEMA, quindi la protezione dipende dall'attivazione della protezione antimanomissione, dalla revisione delle modifiche alle esclusioni e dal fatto che il personale lavori senza diritti di amministratore non necessari.
Si tratta di una preoccupazione che riguarda solo le aziende che operano in Cina?
L'impatto segnalato si concentra sulle operazioni con sede in Cina e sugli utenti di lingua cinese, poiché le pagine false utilizzano contenuti in lingua cinese. La tecnica si diffonde facilmente. Campagne di installazione fasulle che prendono di mira marchi in lingua inglese compaiono regolarmente e il comportamento successivo all'installazione è lo stesso su qualsiasi computer Windows.
Che dire dei dipendenti che installano software a casa sul computer portatile aziendale?
Lo stesso consiglio, ma con un tono più cordiale. Le persone installano strumenti personali sui dispositivi di lavoro perché cercano di portare a termine un compito. Offrite loro un catalogo self-service per installare strumenti approvati con un solo clic, un modo semplice per richiedere aggiunte e un account standard senza diritti di amministratore. In questo modo si elimina la rischiosa ricerca tramite motore di ricerca e i danni causati da un clic involontario si riducono notevolmente.
Scopri e condividi le ultime tendenze, i suggerimenti e le best practice in materia di sicurezza informatica, oltre alle nuove minacce a cui prestare attenzione.
Autrice: Katie Boquetti | Editoriale: Craig Taylor Editoriale di Craig Taylor: Lo sappiamo da un po' qui...
Leggi di più
Autrice: Katie Boquetti | Editoriale: Craig Taylor Editoriale di Craig Taylor: Un CAPTCHA dovrebbe verificare se...
Leggi di più
Autrice: Katie Boquetti | Editoriale: Craig Taylor Editoriale di Craig Taylor: Sono fortunata ad avere...
Leggi di piùOttieni una visione più attenta dei rischi per l'uomo, con un approccio positivo che supera i tradizionali test di phishing.
