Malware: Coinhive domina, ma è GandCrab a preoccupare l’Italia

Check Point ha reso noto il Global Threat Index di febbraio 2019, confermando per il quindicesimo mese consecutivo il primato di Coinhive nella classifica dei malware più pericolosi, sia in Italia sia a livello mondiale. In particolare, l’Italia, nonostante un impatto minore di Coinhive, conquista 15 posizioni salendo al 95esimo posto e ritrovandosi dopo 6 mesi tra i 100 Paesi più colpiti. 
Il team di threat intelligence di Check Point, Check Point Research, ha, inoltre, rivelato numerose campagne ransomware con protagonista GandCrab che hanno colpito, tra gli altri, Giappone, Germania, Canada e Australia. Questi attacchi si sono verificati negli ultimi due mesi e Check Point ha notato come una nuova versione del ransomware sia apparsa in una delle ultime campagne. La nuova versione, GandCrab V5.2, presenta la maggior parte delle funzioni della precedente versione, ma con un cambiamento nel metodo di crittografia che rende inefficace lo strumento di decrittografia. In Italia, GandCrab ha colpito quasi il doppio delle organizzazioni rispetto al resto del mondo: l’impatto è stato pari a 4,38% rispetto al “solo” 2,40% mondiale.
A febbraio, le varianti di malware più diffuse sono state i cryptominer.
Coinhive rimane il principale malware, colpendo il 10% delle organizzazioni di tutto il mondo: si tratta comunque di un trend al ribasso considerando l'impatto globale del 18% che Coinhive aveva registrato a ottobre 2018 e del 12% che lo stesso malware aveva registrato a gennaio 2019. Questo abbassamento è stato causato dall'aumento dei costi del mining unito alla diminuzione del valore di Monero. Cryptoloot è salito invece al secondo posto a febbraio, sostituendo XMRig, seguito poi da Emotet, un trojan avanzato, autopropagato e modulare, che ha sostituito Jsecoin al terzo posto nella classifica mondiale mensile.  

I tre malware più diffusi a febbraio 2019 sono stati: Coinhive - uno script di mining che utilizza la CPU degli utenti che visitano determinati siti web per minare la criptovaluta Monero. Il JavaScript installato utilizza una grande quantità di risorse computazionali delle macchine degli utenti finali per estrarre monete e potrebbe causare l’arresto anomalo del sistema. Cryptoloot - malware che utilizza la potenza della CPU o della GPU della vittima e le risorse esistenti per il mining di criptovalute aggiungendo transazioni alla blockchain e rilasciando nuova valuta. Competitor di Coinhive, Cryptoloot cerca di accaparrarsi più vittime chiedendo ai siti una percentuale minore in termini di profitti. Emotet - trojan avanzato, autopropagato e modulare, utilizzato come distributore per altre minacce. Utilizza molteplici metodi per mantenere la stabilità e le tecniche di evasione per evitare il rilevamento. Inoltre, può essere diffuso attraverso campagne phishing con mail contenenti allegati o link dannosi.  Per quanto riguarda invece la classifica dei malware mobile, Lotoor si è posizionato al primo posto, seguito da Hiddad al secondo e Triada al terzo. 

I tre malware per dispositivi mobili più diffusi a febbraio 2019:  Lotoor- tecnica di hackeraggio in grado di sfruttare le vulnerabilità dei sistemi Android con lo scopo di ottenere i permessi di root sui dispositivi mobile infettati. Hiddad - malware Android che riconfeziona app legali e poi le consegna a uno store di terze parti. La sua funzione principale è visualizzare annunci, ma è anche in grado di accedere ai dati chiave di sicurezza, integrati nel sistema operativo, consentendo all’aggressore di ottenere dati sensibili dell’utente. Triada - malware modulare per Android che sferra l’attacco tramite una backdoor che concede privilegi amministrativi a malware scaricati. Triada può anche fare lo spoofing di URL caricati nel browser.  I ricercatori di Check Point hanno anche analizzato le vulnerabilità informatiche più sfruttate: Il CVE-2017-7269 è ancora al primo posto tra le vulnerabilità più sfruttate con il 45% di impatto globale. OpenSSL TLS DTLS Heartbeat Information Disclosure è la seconda vulnerabilità più diffusa con un impatto globale del 40%, seguita dal Web servers PHPMyAdmin Misconfiguration Code Injection Injection exploit, con il 34%.

Le tre vulnerabilità più diffuse nel mese di febbraio sono state:  Microsoft IIS WebDAV ScStoragePathFromUrl Buffer Overflow (CVE-2017-7269) - inviando una richiesta a una rete Microsoft Windows Server 2003 R2 tramite Microsoft Internet Information Services 6.0, un hacker potrebbe eseguire un codice arbitrario o causare una negazione delle condizioni del servizio sul server di destinazione. Ciò è dovuto principalmente a una vulnerabilità di overflow del buffer causata da una errata convalida di un header lungo nella richiesta HTTP. OpenSSL TLS DTLS Heartbeat Information Disclosure (CVE-2014-0160; CVE-2014-0346) - in OpenSSL esiste una vulnerabilità che diffonde informazioni a causa di un errore durante la gestione dei pacchetti TLS/DTLS heartbeat. Un aggressore può sfruttare questa vulnerabilità per rivelare il contenuto della memoria di un client o server collegato. Web servers PHPMyAdmin Misconfiguration Code Injection - la vulnerabilità di iniezione di codice è dovuta a un errore di configurazione di PHPMyAdmin. Un aggressore remoto può sfruttare questa vulnerabilità inviando una richiesta HTTP appositamente creata per il target da colpire.