# data[].attributes.attachment_link.provider_name
Securelist - Informazione su virus, hacker e spam

# data[].attributes.attachment_link.readable_text
Il 2016 in cifre

Lungo tutto l'arco del 2016 sono stati individuati:

8.526.221 pacchetti di installazione dannosi;

128.886 Trojan bancari per piattaforme mobile;

261.214 Trojan "estorsori" per dispositivi mobile.

Le tendenze dell'anno

Sensibile aumento del livello di "popolarità" del malware mobile in grado di acquisire ed utilizzare i diritti di superutente e, in primo luogo, dei software nocivi riconducibili alla classe dei Trojan pubblicitari.

Distribuzione di malware attraverso il Google Play Store ed i servizi pubblicitari.

Comparsa di specifici metodi per bypassare i nuovi meccanismi di protezione dell'OS Android.

Consistente aumento del numero di programmi ransomware destinati ai dispositivi mobile.

Attivo sviluppo dei Trojan bancari per piattaforme mobile.

Malware con diritti di superutente

Nel 2016, i programmi Trojan in assoluto più diffusi si sono rivelati essere i Trojan pubblicitari in grado di ottenere i diritti di superutente. Per far questo, essi utilizzano vari set di vulnerabilità, di solito già corrette nelle versioni più recenti di Android. Purtroppo, sui dispositivi della maggior parte degli utenti non vengono effettuati gli indispensabili aggiornamenti del sistema, via via rilasciati; una simile circostanza, ovviamente, rende vulnerabili tali apparecchi.

L'acquisizione dei privilegi di root conferisce al Trojan possibilità quasi illimitate, consentendo a quest'ultimo di installare furtivamente altre app pubblicitarie, oppure di far sì che l'utente visualizzi di continuo, sullo schermo del dispositivo infetto, fastidiosi annunci pubblicitari; una situazione del genere rende spesso impossibile continuare ad utilizzare lo smartphone. Simili programmi Trojan sono in grado non soltanto di mostrare messaggi pubblicitari proposti in maniera particolarmente aggressiva, o di installare software sviluppati da cyber criminali; essi hanno persino la capacità di realizzare l'acquisto di applicazioni su Google Play.

I malware mobile in questione, inoltre, installano i propri moduli nelle directory di sistema; ciò rende particolarmente difficile poter provvedere ad un adeguato trattamento del dispositivo infetto, allo scopo di ristabilirne il corretto funzionamento. Alcuni Trojan pubblicitari, poi, sono addirittura in grado di infettare l'immagine di ripristino; tale azione rende di fatto impossibile risolvere il problema relativo al ritorno alle impostazioni di fabbrica.

Oltre che installare furtivamente applicazioni pubblicitarie, i Trojan in causa possono ugualmente realizzare l'installazione di temibili programmi malware. Sono stati da noi rilevati, ad esempio, numerosi casi di installazione dell'applicazione-downloader modulare Backdoor.AndroidOS.Triada, in grado di modificare il processo Zygote. Di fatto, questo consentiva a tale malware di insediarsi all'interno del sistema in maniera persistente, e di poter modificare, in tal modo, i messaggi SMS inviati da altre applicazioni, con il preciso scopo di compiere il furto delle risorse finanziarie del proprietario del dispositivo infetto. In pratica, i diritti di superutente fornivano al Trojan l'opportunità di poter fare, letteralmente, qualsiasi cosa, incluso la sostituzione degli URL nei browser.

I "rappresentanti" di tale classe di malware sono stati individuati, a più riprese, nel negozio ufficiale di applicazioni Google Play Store, ad esempio sotto forma di "guida" per il celebre videogioco Pokémon GO. Tale app dannosa, scaricata dagli utenti mobile oltre mezzo milione di volte, è stata rilevata come Trojan.AndroidOS.Ztorg.ad.
Trojan.AndroidOS.Ztorg.ad, mascherato sotto forma di "guida" per Pokémon GO
I cyber criminali continuano ad utilizzare l'app store ufficiale di Google

Nel corso dei mesi di ottobre e novembre abbiamo individuato, all'interno di Google Play, circa 50 nuove applicazioni infettate da una nuova variante del famigerato malware Trojan.AndroidOS.Ztorg.ad, ovvero Trojan.AndroidOS.Ztorg.am. A giudicare dalle indicazioni fornite dal counter delle installazioni, molte di tali app sono state installate più di 100.000 volte.
Trojan.AndroidOS.Ztorg.am, camuffato in veste di lettore video
Attraverso Google Play sono stati distribuiti anche programmi Trojan preposti al furto delle credenziali degli utenti. Uno di tali casi è rappresentato, in tutta evidenza, da Trojan-Spy.AndroidOS.Instealy.a, adibito a carpire login e password utilizzati su Instagram. Il secondo - Trojan-PSW.AndroidOS.MyVk.a, è stato ripetutamente pubblicato su Google Play; tale malware si prefiggeva di realizzare il furto dei dati degli utenti di "VKontakte", il noto social network russo.

In qualità di ulteriore esempio può essere citato il programma ransomware denominato Trojan-Ransom.AndroidOS.Pletor.d, diffuso dai cyber criminali sotto forma di applicazione per la pulizia del sistema operativo. In genere, gli "esponenti" della famiglia Trojan-Ransom.AndroidOS.Pletor codificano i file custoditi sul dispositivo infetto; la variante del Trojan individuata, tuttavia, si limitava a bloccare il dispositivo, per poi richiedere all'utente-vittima il pagamento di una determinata somma di denaro, per poter procedere allo sblocco dell'apparecchio.
Trojan-Ransom.AndroidOS.Pletor.d, mascherato sotto forma di app per la pulizia del sistema
I Trojan che bypassano le protezioni di Android

I cybercriminali sono costantemente alla ricerca di subdoli metodi per eludere i nuovi meccanismi di protezione implementati nell'OS Android. Di fatto, all'inizio del 2016 abbiamo scoperto che alcune varianti del Trojan-SMS Tiny sono in grado di sovrapporre la propria schermata al testo del messaggio che compare nella finestra di dialogo del sistema attraverso la quale si avverte l'utente dell'invio del messaggio SMS verso un numero premium (a pagamento). Il proprietario dello smartphone, non vedendo il testo originale, non sa riguardo a cosa egli fornisce, effettivamente, il proprio assenso, e procede quindi all'invio del messaggio verso il numero specificato dal malfattore.

Un metodo simile è stato utilizzato da Trojan-Banker.AndroidOS.Asacub, allo scopo di ottenere i diritti di amministratore del dispositivo. Nascondendo all'utente la richiesta effettuata dal sistema, il Trojan induce la vittima, con l'inganno, a concedere ulteriori privilegi al malware. Tra le altre cose, Asacub richiede lo specifico diritto di essere l'applicazione standard abitualmente utilizzata per operare con gli SMS; questo consente al Trojan di ottenere l'accesso ai messaggi SMS persino nelle nuove versioni di Android.

Gli autori del Trojan bancario Trojan-Banker.AndroidOS.Gugi, da parte loro, si sono spinti ancora oltre. Questo programma malware è in effetti in grado di bypassare due nuovi meccanismi di protezione IT adottati in Android 6, avvalendosi esclusivamente di metodi di ingegneria sociale. Senza ricorrere allo sfruttamento di eventuali vulnerabilità dell'OS, Gugi riesce ad aggirare importanti funzionalità di protezione quali la specifica richiesta del sistema relativa al poter sovrapporre la propria finestra ad altre app, ed il meccanismo di autorizzazione dinamica riguardo alle attività in-app che potrebbero rivelarsi potenzialmente pericolose, quali SMS o chiamate.

I programmi ransomware per dispositivi mobile

Mentre il primo Trojan ransomware mobile comparso sulla scena provvedeva effettivamente a codificare i dati custoditi dall'utente sul proprio dispositivo, richiedendo poi il pagamento di una determinata somma di denaro per decifrare i contenuti compromessi, i programmi "estorsori" attualmente in circolazione si "limitano" a sovrapporre alle altre finestre (incluso quelle di sistema) la finestra contenente le proprie richieste; in tal modo viene in pratica reso impossibile l'utilizzo del dispositivo.

Trojan-Ransom.AndroidOS.Fusob, il programma ransomware per dispositivi mobile maggiormente diffuso nel corso del 2016, "opera" avvalendosi dello stesso identico principio dannoso. È di particolare interesse rilevare come il Trojan in questione attacchi gli utenti situati in Germania, Stati Uniti e Gran Bretagna, mentre evita di colpire gli utenti mobile ubicati nella vasta area geografica occupata dai Paesi che formano la Comunità degli Stati Indipendenti (CSI), e coloro che risiedono in alcuni stati ad essa limitrofi (una volta avviato, il malware verifica la lingua utilizzata dal sistema, per poi interrompere il proprio "lavoro" se emergono le circostanze sopra indicate). Per procedere all'operazione di sblocco, il Trojan richiede il pagamento di un riscatto pari a 100-200 dollari $, realizzato attraverso i codici relativi alle carte prepagate iTunes.

Desideriamo poi evidenziare un ulteriore metodo utilizzato dai cyber criminali per bloccare i dispositivi mobile; si tratta, più precisamente, del metodo di cui si avvale la famiglia di malware denominata Trojan-Ransom.AndroidOS.Congur, particolarmente diffusa in Cina. Questi Trojan "estorsori" modificano il codice PIN del dispositivo, oppure abilitano tale funzione di sicurezza, impostando il proprio PIN. Per far ciò, il malware deve necessariamente ottenere i diritti di amministratore. Nella circostanza, per poter sbloccare il dispositivo compromesso, viene proposto alla vittima di mettersi in contatto direttamente con i cyber criminali, attraverso il messenger QQ.

Da parte loro, anche i Trojan bancari per piattaforme mobile si sono attivamente sviluppati lungo tutto l'arco dell'anno. Molti di essi sono stati equipaggiati con gli strumenti nocivi necessari per poter bypassare i nuovi meccanismi di protezione implementati nell'OS Android, ed hanno in tal modo potuto continuare a rubare i dati degli utenti anche con le versioni più recenti di tale sistema operativo. Gli sviluppatori dei temibili banker mobile hanno ugualmente introdotto nuove funzioni dannose nelle loro creazioni, in maniera decisamente attiva. La famiglia Marcher, ad esempio, ha per vari mesi utilizzato il redirecting degli utenti, dai siti web delle organizzazioni finanziarie verso siti di phishing appositamente allestiti.

Numerosi Trojan-Banker mobile, inoltre, possiedono specifiche funzioni per estorcere denaro agli utenti-vittima: su comando impartito dal server, essi possono bloccare il funzionamento del dispositivo per mezzo dell'apposita finestra attraverso la quale viene richiesto il pagamento del riscatto. Come abbiamo potuto rilevare, una delle varianti di Trojan-Banker.AndroidOS.Faketoken è in grado non solo di "oscurare" l'interfaccia del sistema, ma anche di codificare i dati degli utenti.

Occorre infine sottolineare, a parte, come i cyber criminali dediti allo sviluppo di malware per Android non si siano affatto dimenticati di uno dei temi più "caldi" dell'intero 2016 - i dispositivi IoT. È stato da noi individuato, in particolare, il Trojan Switcher, in grado di attaccare il router presente nella rete Wi-Fi alla quale è collegato il dispositivo infetto. Nello specifico, se riesce a ricavare la password del router, il Trojan provvede a modificare le impostazioni DNS, realizzando un attacco di tipo DNS hijacking.

Uno sguardo dentro il Dark Web. Contributo del Global Complex for Innovation di INTERPOL.

Il Dark Web rappresenta, per gli attori del cybercrimine, un efficace strumento sia per comunicare, sia per effettuare transazioni di natura commerciale, quali, ad esempio, l'acquisto e la vendita di vari prodotti e servizi, incluso i kit di malware mobile. Vendor e buyer sfruttano in misura sempre maggiore i molteplici meccanismi di "sicurezza" ed i numerosi sistemi business-oriented implementati nell'ambito dei criptomercati della rete Tor (The Onion Router), quali l'utilizzo di criptovalute, i servizi di amministrazione svolti da terze parti (escrow), le transazioni multifirma, la crittografia, il monitoraggio della reputazione/dei feedback, ed altri ancora. INTERPOL ha investigato sulle principali piattaforme del Dark Web, ed ha scoperto che, su di esse, il malware mobile viene messo in vendita in veste di pacchetti software (ad esempio sotto forma di RAT - Remote Access Trojan, trojan per l'accesso remoto); soluzioni singole; tool particolarmente sofisticati, come quelli sviluppati da società di "professionisti" del settore; oppure, su scala più ridotta, come parte di un modello "Bot as a Service". Il mobile malware è ugualmente "oggetto di interesse" sui negozi allestiti da vari vendor, su forum e social media.

I mercati

Sui mercati presenti nel Dark Web viene messa in vendita tutta una serie di prodotti e servizi relativi al malware mobile. Quest'ultimo viene spesso pubblicizzato come parte di uno specifico pacchetto, che può includere, ad esempio, i famigerati Remote Access Trojan (RAT), pagine di phishing, oppure bundle di software preposti ad operazioni di hacking, i quali consistono, nella fattispecie, in strumenti forensi e tool adibiti a "rompere" le password. Vengono ugualmente posti in vendita appositi strumenti "singoli", composti da un unico elemento. DroidJack, ad esempio, è stato offerto da vari vendor su quattro dei principali mercati. Questo diffuso RAT per Android viene liberamente commercializzato su Clearnet ad un prezzo decisamente elevato, ma sul Dark Web il suo prezzo è di molto inferiore.

Entrambe le varianti (pacchetto e versione singola) sono talvolta dotate di apposite guide "how-to", le quali forniscono dettagliate spiegazioni sui metodi utilizzati per hackerare i più diffusi sistemi operativi, quali, ad esempio, Android ed iOS. Sul Dark Web vengono ugualmente pubblicizzati strumenti ancor più sofisticati, quali Galileo, un sistema di controllo remoto sviluppato dalla società IT italiana Hacking Team per ottenere l'accesso remoto a dispositivi provvisti di sistema operativo Android, iOS, BlackBerry, Windows od OS X, e quindi sfruttare gli stessi. Un altro esempio è poi rappresentato dal codice sorgente del Trojan Acecard. Questo malware è noto per il fatto che esso sovrappone le proprie schermate overlay alle app di mobile banking, per poi inoltrare ad un attacker remoto le credenziali di login dell'utente-vittima. Esso è anche in grado di accedere agli SMS; questo consente, ad eventuali malfattori, di poter ottenere i codici relativi al sistema di autenticazione a due fattori, potenzialmente utili.

Risulta ugualmente disponibile per l'acquisto Android bot rent service, servizio di affitto di bot per Android (BaaS, o Bot as a Service). Nella circostanza, il bot può essere utilizzato per raccogliere informazioni finanziarie dai telefoni Android; esso presenta numerose funzionalità, ed è inoltre provvisto di apposita documentazione, disponibile sia in russo che in inglese. Ulteriori specifiche e funzionalità possono essere sviluppate su richiesta. Il servizio in questione può costare fino a 2.500 dollari USD al mese, oppure 650 dollari a settimana.

Vengono infine mostrati, sugli oscuri mercati del Dark Web, anche prodotti per il mobile phishing, adibiti ad ottenere informazioni legate alla sfera finanziaria degli utenti, tool in grado di controllare i telefoni attraverso il Bluetooth, o di cambiare il loro numero IMEI (International Mobile Equipment Identity), così come vari RAT per Android specializzati nell'intercettare messaggi di testo, registri e location delle chiamate, e capaci di accedere alla fotocamera del dispositivo.

I negozi allestiti dai vendor sono, in sostanza, piattaforme standalone create da un singolo o da un gruppo di vendor che si è costruito una base clienti nell'ambito di uno specifico mercato, ed ha poi deciso di avviare un proprio business. In genere, questi negozi non sono provvisti di forum e pubblicizzano, semplicemente, una specifica tipologia di articolo illecito, come droghe o informazioni personali rubate; ad ogni caso, essi effettuano ugualmente la vendita di malware mobile ( DroidJack). Talvolta, assieme ai prodotti appartenenti alla classe del malware mobile vengono resi disponibili appositi tutorial, mentre sui thread dei forum e sui social media si possono ugualmente trovare "opportune" informazioni riguardo agli strumenti maggiormente adatti per raggiungere gli scopi prefissi, e su come installare ed utilizzare i tool in questione. È stato inoltre individuato un particolare servizio nascosto nei meandri della rete Tor - focalizzato sulle news relative al mondo dell'hacking - il quale conteneva specifiche informazioni riguardo alla configurazione del malware mobile Dendroid. Tale RAT, in grado di intercettare i messaggi SMS, effettuare il download di immagini ed aprire un'apposita finestra di dialogo per carpire le password con metodi di phishing, risale al 2014, ma è stato comunque offerto su vari mercati anche nel corso del 2016, come parte di numerosi pacchetti pubblicitari.

Grazie alle solide prerogative di anonimato che esso è in grado di garantire, alle particolari tecniche OPSEC, ai prezzi molto contenuti e all'evidente strategia client-oriented, il Dark Web continua a rimanere, senza ombra di dubbio, uno strumento particolarmente attraente per poter condurre attività e business di natura illecita, ed un ambiente in cui, in futuro, potranno sorgere o svilupparsi specifiche aree dedite al cybercrimine. Lo sviluppo di soluzioni tecniche innovative (in stretta collaborazione con il mondo accademico, gli istituti di ricerca e l'industria privata), la cooperazione internazionale ed il capacity building rappresentano di sicuro dei pilastri fondamentali nella lotta contro l'utilizzo del Dark Web da parte dei criminali.

Le statistiche

Nel 2016 è stato da noi rilevato un sensibile aumento del numero dei pacchetti di installazione nocivi destinati ai dispositivi mobile; in effetti, sono stati complessivamente individuati 8.526.221 pacchetti dannosi, un numero superiore di quasi 3 volte rispetto all'analoga quantità per essi riscontrata nel 2015. Per poter fare i debiti confronti, ricordiamo che nel periodo 2004-2013 erano stati da noi rilevati più di 10 milioni di pacchetti di installazione nocivi, mentre nel 2014 tale cifra era risultata pari a circa 2,5 milioni.

In totale, nel periodo intercorrente tra l'inizio di gennaio e la fine di dicembre del 2016, Kaspersky Lab ha neutralizzato e respinto oltre 40 milioni di attacchi informatici condotti mediante l'utilizzo di malware mobile; nella circostanza, il numero di utenti unici dei dispositivi Android da noi protetti si è rivelato pari a 4.018.234 (contro i 2,6 milioni del 2015).
Numero di attacchi respinti dai prodotti Kaspersky Lab nel corso del 2016 Numero di utenti protetti dai prodotti Kaspersky Lab nel corso del 2016
Geografia delle minacce mobile

Si sono registrati attacchi informatici da parte di programmi malware destinati ai dispositivi mobile in oltre 230 diversi Paesi e territori del globo.
Geografia delle minacce IT per dispositivi mobile (numero di utenti sottoposti ad attacco nel 2016) TOP 10 relativa ai Paesi in cui si è registrata la quota percentuale più elevata di utenti sottoposti ad attacco informatico da parte di malware per dispositivi mobile * Nell'effettuare i calcoli statistici non abbiamo tenuto conto di quei Paesi in cui, nel periodo oggetto del presente report, il numero di utenti attivi della soluzione antivirus di Kaspersky Lab per dispositivi mobile è risultato inferiore a 25.000.** Quote percentuali relative al numero di utenti unici sottoposti ad attacco, rispetto al numero complessivo di utenti - in ogni singolo Paese - dell'antivirus mobile di Kaspersky Lab.
La Cina, che lo scorso anno occupava il primo posto dell'analogo rating da noi stilato, ha continuato a detenere la leadership della graduatoria per tutta la prima metà del 2016; al termine dell'anno qui preso in esame, tuttavia, il Paese dell'Estremo Oriente è andato ad occupare la quarta piazza della TOP 10 relativa all'intero 2016, cedendo in tal modo la prima posizione del ranking al Bangladesh, il quale, lungo tutto l'arco dell'anno ha comunque sempre occupato le posizioni di vertice delle analoghe classifiche elaborate dagli esperti di Kaspersky Lab. Come evidenzia la tabella qui sopra inserita, nel Paese del subcontinente indiano si è imbattuta in temibili programmi malware oltre la metà degli utenti dei prodotti mobile di Kaspersky Lab.

Nel 2016, i malware mobile maggiormente diffusi sul territorio del Bangladesh si sono rivelati essere dei Trojan pubblicitari riconducibili alle famiglie Ztorg e Iop, così come i programmi AdWare appartenenti alla famiglia Sprovider. Questi stessi programmi dannosi, al pari di vari "esponenti" delle famiglie AdWare.AndroidOS.Ewind e AdWare.AndroidOS.Sprovider, si incontrano con particolare frequenza sui dispositivi degli utenti situati in tutti i Paesi che fanno parte della speciale TOP 10, ad eccezione di Cina ed Uzbekistan.

In Cina, i malware mobile in assoluto più diffusi sono risultati essere i Trojan denominati Backdoor.AndroidOS.Fakengry.h e Backdoor.AndroidOS.GinMaster.a, così come i "rappresentanti" della tipologia comportamentale RiskTool.AndroidOS.

In Uzbekistan, invece, i software nocivi per apparecchi mobile più frequentemente rilevati nel corso del 2016 si sono dimostrati essere Trojan-SMS.AndroidOS.Podec.a e Trojan-FakeAV.AndroidOS.Mazig.b. Inoltre, in Uzbekistan, gli utenti si sono spesso imbattuti sia in malware appartenenti alle famiglie di Trojan pubblicitari Ztorg ed Iop, sia negli AdWare riconducibili alla famiglia Sprovider.
Ad iniziare da quest'anno, la suddivisione per tipologie di comportamento dei software destinati ai dispositivi mobile viene realizzata sulla base del Suddivisione delle nuove minacce mobile in base alle varie tipologie esistenti -
2015 e 2016 a confronto numero di pacchetti di installazione effettivamente identificati, anziché in relazione al numero delle nuove varianti di software mobile via via individuate, come veniva invece fatto in precedenza.
Tipologie di malware mobile

Rispetto all'analoga graduatoria dello scorso anno, risulta cresciuta in maniera particolarmente significativa la quota relativa alle nuove minacce mobile riconducibili alla tipologia RiskTool; tale indice è in effetti passato dal 29%, fatto registrare nel 2015, al 43% per esso rilevato nel 2016. Allo stesso tempo, nell'arco di dodici mesi, è diminuita in modo sensibile - dal 21% al 13% - la quota inerente ai nuovi programmi pubblicitari (AdWare) individuati.
Il rating riservato ai programmi dannosi, qui sotto inserito, non include i programmi potenzialmente indesiderati, quali i RiskTool e i software pubblicitari (AdWare). * Quote percentuali relative al numero di utenti attaccati da tali malware mobile, sul numero complessivo di utenti unici sottoposti ad attacco.
Per il secondo anno consecutivo, continua a diminuire in maniera molto marcata - fra tutti i nuovi file identificati - anche l'indice ascrivibile ai pacchetti di installazione appartenenti alla tipologia Trojan-SMS; la loro quota è in effetti scesa dal 24% all'11%: si tratta della diminuzione percentuale più rilevante, nell'ambito di tale graduatoria. Nonostante questo, non possiamo certo affermare che l'insidiosa minaccia rappresentata dai Trojan-SMS non sia attuale, e davvero ragguardevole; nel corso del 2016 siamo in effetti riusciti ad individuare circa 700.000 nuovi pacchetti di installazione.

L'incremento maggiore, per contro, è stato fatto segnare dalla tipologia Trojan-Ransom: la quota ad essa ascrivibile, fra tutti i pacchetti di installazione rilevati nel 2016, è cresciuta di quasi 6,5 volte, attestandosi su un valore pari al 4%. Un simile aumento è in gran parte dovuto alla rapida ed attiva diffusione dei ransomware mobile appartenenti a due specifiche famiglie: Trojan-Ransom.AndroidOS.Fusob e Trojan-Ransom.AndroidOS.Congur.

TOP 20 relativa ai programmi malware destinati alle piattaforme mobile

Il primo posto della speciale TOP 20 relativa ai malware mobile più diffusi nel corso del 2016 è andato nuovamente ad appannaggio di una serie di programmi nocivi classificati come DangerousObject.Multi.Generic (67,93%); questo verdetto viene da noi utilizzato per identificare i software dannosi individuati e neutralizzati con l'ausilio delle tecnologie "in-the-cloud". Tali tecnologie entrano specificamente in funzione nei casi in cui non esistono ancora, all'interno dei database anti-virus, né le apposite firme, né gli euristici indispensabili per poter rilevare determinati programmi nocivi. In tal modo vengono individuati i software dannosi di più recente creazione.

Il secondo gradino del "podio" virtuale risulta occupato dal malware classificato come Backdoor.AndroidOS.Ztorg.c: si tratta di un Trojan pubblicitario in grado di ottenere ed utilizzare i diritti di superutente con il preciso scopo di installare varie applicazioni all'insaputa del proprietario del dispositivo mobile. Occorre sottolineare come, nel 2016, siano entrati a far parte del rating qui analizzato ben sedici Trojan pubblicitari (evidenziati in blu nella tabella); il loro numero si è in pratica quadruplicato rispetto all'analoga graduatoria stilata riguardo all'anno 2015.

Al terzo posto troviamo poi Trojan-Banker.AndroidOS.Svpeng.q, divenuto, nella sfera del malware mobile, il Trojan bancario maggiormente utilizzato dai cyber criminali nel corso del 2016. Il suo alto livello di "popolarità" è dovuto all'attiva diffusione di tale programma nocivo, ad opera dei i cyber criminali, attraverso la nota rete pubblicitaria AdSense. È opportuno evidenziare a parte il fatto che, nella circostanza, grazie ad una specifica vulnerabilità individuata nel browser Chrome, non si rivelava in pratica necessaria alcuna azione, da parte dell'utente, per effettuare il download del Trojan sul dispositivo-vittima. Sottolineiamo, poi, come più della metà degli utenti che, lungo tutto l'arco del 2016, si sono imbattuti in Trojan-Banker appositamente sviluppati per colpire gli apparecchi mobile, abbia avuto a che fare con software nocivi appartenenti alla famiglia Svpeng. Questi programmi Trojan si avvalgono di apposite finestre di phishing per carpire i dati sensibili relativi alle carte di credito, ed attaccano, inoltre, i sistemi di SMS banking.
Numero di pacchetti di installazione, relativi a Trojan bancari per dispositivi mobile, individuati da Kaspersky Lab nel corso del 2016
Al 12° e al 13° posto del ranking si sono collocati, rispettivamente, due "rappresentanti" della famiglia di ransomware mobile denominata Fusob; si tratta, più precisamente, di Trojan-Ransom.AndroidOS.Fusob.pac e Trojan-Ransom.AndroidOS.Fusob.h. Questi temibili Trojan, utilizzando la propria finestra, bloccano il funzionamento del dispositivo dell'utente, richiedendo poi alla vittima il pagamento di un riscatto per poter procedere allo sblocco dell'apparecchio mobile compromesso.
Quadro mondiale relativo alla ripartizione geografica dei tentativi di infezione compiuti nel corso del 2016 dai Trojan bancari destinati ai dispositivi mobile (numero di utenti sottoposti ad attacco) TOP 10 relativa ai Paesi in cui si è registrata la quota percentuale più elevata di utenti attaccati da parte di Trojan-Banker per piattaforme mobile, rispetto al numero complessivo di utenti unici * Nell'effettuare i calcoli statistici non abbiamo tenuto conto di quei Paesi in cui, nel periodo oggetto del presente report, il numero di utenti attivi della soluzione antivirus di Kaspersky Lab per dispositivi mobile è risultato inferiore a 25.000.** Quote percentuali relative al numero di utenti unici sottoposti ad attacco da parte di banker mobile, rispetto al numero complessivo di utenti - in ogni singolo Paese - dell'antivirus mobile di Kaspersky Lab.
I Trojan bancari per piattaforme mobile

Nel 2016 sono stati da noi individuati 128.886 pacchetti di installazione relativi a Trojan-Banker destinati ai dispositivi mobile, ovvero un numero di pacchetti superiore di 1,6 volte rispetto all'analoga quantità rilevata per gli stessi nell'anno precedente.

Lungo tutto l'arco dell'anno qui esaminato, sono stati complessivamente attaccati - da parte di Trojan-Banker specificamente creati per colpire le piattaforme mobile - ben 305.543 utenti, situati in 164 diversi Paesi. Per poter effettuare un debito paragone, ricordiamo che nel 2015 erano risultati sottoposti ad attacco, in totale, 56.194 utenti mobile, ubicati in 137 Paesi.

Per quel che riguarda la Russia - il Paese che detiene la leadership della speciale graduatoria da noi stilata - osserviamo come si sia di fatto imbattuto nei famigerati Trojan-Banker per dispositivi mobile il 4% degli utenti. Tale quota risulta in pratica quasi doppia rispetto all'analogo valore fatto registrare dall'Australia, posizionatasi al secondo posto della nostra TOP 10. L'evidente e marcata differenza trova una logica spiegazione nel fatto che Svpeng, il Trojan bancario per piattaforme mobile maggiormente diffuso, è stato principalmente distribuito sul territorio della Federazione Russa. Inoltre, in Russia, si sono rivelati particolarmente "popolari" vari "esponenti" delle famiglie di malware denominate Asacub e Faketoken.

In Australia, invece, i malware mobile in assoluto più diffusi sono risultati essere alcuni "rappresentanti" delle famiglie Trojan-Banker.AndroidOS.Acecard e Trojan-Banker.AndroidOS.Marcher. In Corea (7° posto), i Trojan bancari più frequentemente utilizzati dai cyber criminali sono stati i software nocivi appartenenti alla famiglia Trojan-Banker.AndroidOS.Wroba.

In tutti gli altri Paesi presenti nella nostra TOP 10, i cyber criminali hanno fatto ricorso, con maggiore frequenza, alle famiglie di malware mobile denominate Trojan-Banker.AndroidOS.Faketoken e Trojan-Banker.AndroidOS.Svpeng. Nel corso del 2016, i programmi dannosi riconducibili a quest'ultima sono stati distribuiti davvero con particolare intensità: oltre la metà degli utenti dei dispositivi mobile è stata attaccata proprio da tali software dannosi. Come abbiamo accennato in precedenza, questo è dovuto all'attiva diffusione del malware attraverso la rete pubblicitaria AdSense e, al contempo, dalla possibilità di eseguire furtivamente, all'insaputa dell'utente, il download dei suddetti Trojan bancari, grazie ad una specifica vulnerabilità individuata nel browser mobile.
Numero di pacchetti di installazione, relativi a programmi ransomware mobile, individuati da Kaspersky Lab (Situazione inerente al periodo 1° trimestre 2016 - 4° trimestre 2016)
La seconda famiglia di malware mobile maggiormente diffusa si è rivelata essere Trojan-Banker.AndroidOS.Faketoken. Alcune varianti di tale Trojan sono in grado di attaccare oltre 2.000 applicazioni legate alla sfera finanziaria.

Terza in termini di "popolarità" è poi risultata essere la famiglia di Trojan bancari mobile denominata Trojan-Banker.AndroidOS.Asacub. Ha avuto a che fare con questa famiglia di malware oltre il 16% degli utenti sottoposti ad attacco da parte di banker mobile. I Trojan in questione vengono distribuiti soprattutto in Russia, spesso attraverso messaggi SMS di spam.
Quadro mondiale relativo alla ripartizione geografica dei tentativi di infezione compiuti nel corso del 2016 dai Trojan ransomware per dispositivi mobile (numero di utenti sottoposti ad attacco) TOP 10 relativa ai Paesi in cui si è registrata la quota percentuale più elevata di utenti attaccati da parte di Trojan-Ransom mobile, rispetto al numero complessivo di utenti unici * Nell'effettuare i calcoli statistici non abbiamo tenuto conto di quei Paesi in cui, nel periodo oggetto del presente report, il numero di utenti attivi della soluzione antivirus di Kaspersky Lab per dispositivi mobile è risultato inferiore a 25.000.** Quote percentuali relative al numero di utenti unici sottoposti ad attacco da parte di programmi ransomware per dispositivi mobile, rispetto al numero complessivo di utenti - in ogni singolo Paese - dell'antivirus mobile di Kaspersky Lab.
I Trojan ransomware per dispositivi mobile

Nel 2016, i ransomware mobile hanno evidenziato una crescita davvero impressionante - sia in termini di quantità di pacchetti di installazione individuati, sia per quel che riguarda il numero di utenti da essi attaccati. Nel periodo oggetto della nostra consueta analisi annuale relativa all'evoluzione del malware mobile, sono stati da noi rilevati ben 261.214 pacchetti di installazione nocivi riconducibili ai famigerati Trojan "estorsori", ovvero un numero di pacchetti nocivi superiore di quasi 8,5 volte rispetto a quanto riscontrato nel 2015.

Per ciò che riguarda il numero di utenti che si sono imbattuti in questa tipologia di malware, rileviamo che tale quantità ammonta a ben 153.258 persone, situate in 167 diversi Paesi: si tratta di un valore superiore di 1,6 volte rispetto all'analoga quantità osservata nel 2015.

È di particolare interesse sottolineare come, nei primi due trimestri del 2016, un elevato numero di pacchetti di installazione abbia riguardato la famiglia Trojan-Ransom.AndroidOS.Fusob, mentre nel terzo trimestre dell'anno il livello di attività di tale Trojan ha poi manifestato un'evidente flessione. La significativa crescita verificatasi nel quarto trimestre è invece da imputare, in particolar modo, all'aumentato livello di attività della famiglia Trojan-Ransom.AndroidOS.Congur; fanno parte di essa dei programmi Trojan tutt'altro che sofisticati, i quali bloccano il dispositivo-vittima per mezzo della loro finestra, oppure modificano la password necessaria per accedere a quest'ultimo.

Il maggior numero di utenti mobile attaccati dai programmi ransomware è stato da noi rilevato in Germania - oltre il 2,5%. In quasi tutti i Paesi presenti nella speciale classifica qui sopra inserita, il livello più elevato di "popolarità" è stato acquisito dai software nocivi appartenenti alle famiglie Trojan-Ransom.AndroidOS.Fusob e Trojan-Ransom.AndroidOS.Svpeng. Soltanto in Kazakhstan - il Paese collocatosi al 5° posto della TOP 10 - i ransomware nei quali si sono imbattuti con maggior frequenza gli utenti si sono rivelate essere alcune varianti della famiglia denominata Trojan-Ransom.AndroidOS.Small.

Ulteriori informazioni riguardo alle tre famiglie di Trojan-Ransom mobile qui sopra menzionate sono disponibili all'interno del report relativo ad una specifica indagine da noi condotta.

Conclusioni

Ha continuato a crescere in maniera davvero sensibile, nel corso del 2016, il numero dei Trojan pubblicitari in grado di utilizzare i diritti di superutente. Si è trattato, lungo tutto l'arco dell'anno, della minaccia informatica numero 1; al momento attuale non scorgiamo, peraltro, validi motivi ed argomenti che lascino intravedere qualche cambiamento riguardo a tale specifica tendenza. I cyber criminali, da parte loro, sfruttano ampiamente il fatto che sulla maggior parte dei dispositivi non vengono effettuati i necessari aggiornamenti del sistema operativo (oppure gli utenti si preoccupano di ottenere tali update con notevole ritardo). Questo fa sì che la maggior parte dei dispositivi si riveli vulnerabile anche nei confronti di exploit ormai datati, ben noti e facilmente accessibili.

Nell'anno in corso continueremo a monitorare molto attentamente l'evoluzione dei Trojan bancari appositamente creati per colpire gli apparecchi mobile: di fatto, coloro che sviluppano i software nocivi riconducibili a tale classe di malware utilizzano per primi le nuove tecnologie dannose, e cercano, in maniera insistente e meticolosa, di mettere a punto dei subdoli metodi che consentano di bypassare i meccanismi di protezione implementati nelle nuove versioni dei sistemi operativi mobile.

Nel 2016, uno dei temi più discussi, e più delicati, si è indubbiamente rivelato essere la sicurezza dei dispositivi IoT. Stanno in effetti acquisendo un livello di popolarità e diffusione sempre maggiore i cosiddetti dispositivi "intelligenti", di ogni genere, in grado di connettersi agevolmente ad Internet; il loro grado di sicurezza IT, tuttavia, si situa ancora su livelli piuttosto bassi. Nel 2016, ad esempio, è stato da noi individuato un Trojan preposto ad attaccare i router domestici. Stiamo di fatto osservando come i cyber criminali si stiano avvicinando sempre di più alla "cornetta" del telefono, ed inizino ad interagire con il mondo circostante. È quindi probabile che, proprio nel 2017, si possa assistere a veri e propri attacchi su larga scala - condotti mediante l'utilizzo di dispositivi mobile - nei confronti dei "rappresentanti" della categoria dell'Internet delle Cose.

# data[].attributes.attachment_link.description
Ha continuato a crescere in maniera davvero sensibile, nel corso del 2016, il numero dei Trojan pubblicitari in grado di utilizzare i diritti di superutente. Si è trattato, lungo tutto l'arco dell'anno, della minaccia informatica numero 1; al momento attuale non scorgiamo, peraltro, validi motivi ed argomenti che lascino intravedere qualche cambiamento riguardo a tale specifica tendenza.

# data[].attributes.body
Malware per android

# data[].attributes.attachment_link.provider_name
Securelist - Informazione su virus, hacker e spam

# data[].attributes.attachment_link.readable_text
Il 2016 in cifre

Lungo tutto l'arco del 2016 sono stati individuati:

8.526.221 pacchetti di installazione dannosi;

128.886 Trojan bancari per piattaforme mobile;

261.214 Trojan "estorsori" per dispositivi mobile.

Le tendenze dell'anno

Sensibile aumento del livello di "popolarità" del malware mobile in grado di acquisire ed utilizzare i diritti di superutente e, in primo luogo, dei software nocivi riconducibili alla classe dei Trojan pubblicitari.

Distribuzione di malware attraverso il Google Play Store ed i servizi pubblicitari.

Comparsa di specifici metodi per bypassare i nuovi meccanismi di protezione dell'OS Android.

Consistente aumento del numero di programmi ransomware destinati ai dispositivi mobile.

Attivo sviluppo dei Trojan bancari per piattaforme mobile.

Malware con diritti di superutente

Nel 2016, i programmi Trojan in assoluto più diffusi si sono rivelati essere i Trojan pubblicitari in grado di ottenere i diritti di superutente. Per far questo, essi utilizzano vari set di vulnerabilità, di solito già corrette nelle versioni più recenti di Android. Purtroppo, sui dispositivi della maggior parte degli utenti non vengono effettuati gli indispensabili aggiornamenti del sistema, via via rilasciati; una simile circostanza, ovviamente, rende vulnerabili tali apparecchi.

L'acquisizione dei privilegi di root conferisce al Trojan possibilità quasi illimitate, consentendo a quest'ultimo di installare furtivamente altre app pubblicitarie, oppure di far sì che l'utente visualizzi di continuo, sullo schermo del dispositivo infetto, fastidiosi annunci pubblicitari; una situazione del genere rende spesso impossibile continuare ad utilizzare lo smartphone. Simili programmi Trojan sono in grado non soltanto di mostrare messaggi pubblicitari proposti in maniera particolarmente aggressiva, o di installare software sviluppati da cyber criminali; essi hanno persino la capacità di realizzare l'acquisto di applicazioni su Google Play.

I malware mobile in questione, inoltre, installano i propri moduli nelle directory di sistema; ciò rende particolarmente difficile poter provvedere ad un adeguato trattamento del dispositivo infetto, allo scopo di ristabilirne il corretto funzionamento. Alcuni Trojan pubblicitari, poi, sono addirittura in grado di infettare l'immagine di ripristino; tale azione rende di fatto impossibile risolvere il problema relativo al ritorno alle impostazioni di fabbrica.

Oltre che installare furtivamente applicazioni pubblicitarie, i Trojan in causa possono ugualmente realizzare l'installazione di temibili programmi malware. Sono stati da noi rilevati, ad esempio, numerosi casi di installazione dell'applicazione-downloader modulare Backdoor.AndroidOS.Triada, in grado di modificare il processo Zygote. Di fatto, questo consentiva a tale malware di insediarsi all'interno del sistema in maniera persistente, e di poter modificare, in tal modo, i messaggi SMS inviati da altre applicazioni, con il preciso scopo di compiere il furto delle risorse finanziarie del proprietario del dispositivo infetto. In pratica, i diritti di superutente fornivano al Trojan l'opportunità di poter fare, letteralmente, qualsiasi cosa, incluso la sostituzione degli URL nei browser.

I "rappresentanti" di tale classe di malware sono stati individuati, a più riprese, nel negozio ufficiale di applicazioni Google Play Store, ad esempio sotto forma di "guida" per il celebre videogioco Pokémon GO. Tale app dannosa, scaricata dagli utenti mobile oltre mezzo milione di volte, è stata rilevata come Trojan.AndroidOS.Ztorg.ad.
Trojan.AndroidOS.Ztorg.ad, mascherato sotto forma di "guida" per Pokémon GO
I cyber criminali continuano ad utilizzare l'app store ufficiale di Google

Nel corso dei mesi di ottobre e novembre abbiamo individuato, all'interno di Google Play, circa 50 nuove applicazioni infettate da una nuova variante del famigerato malware Trojan.AndroidOS.Ztorg.ad, ovvero Trojan.AndroidOS.Ztorg.am. A giudicare dalle indicazioni fornite dal counter delle installazioni, molte di tali app sono state installate più di 100.000 volte.
Trojan.AndroidOS.Ztorg.am, camuffato in veste di lettore video
Attraverso Google Play sono stati distribuiti anche programmi Trojan preposti al furto delle credenziali degli utenti. Uno di tali casi è rappresentato, in tutta evidenza, da Trojan-Spy.AndroidOS.Instealy.a, adibito a carpire login e password utilizzati su Instagram. Il secondo - Trojan-PSW.AndroidOS.MyVk.a, è stato ripetutamente pubblicato su Google Play; tale malware si prefiggeva di realizzare il furto dei dati degli utenti di "VKontakte", il noto social network russo.

In qualità di ulteriore esempio può essere citato il programma ransomware denominato Trojan-Ransom.AndroidOS.Pletor.d, diffuso dai cyber criminali sotto forma di applicazione per la pulizia del sistema operativo. In genere, gli "esponenti" della famiglia Trojan-Ransom.AndroidOS.Pletor codificano i file custoditi sul dispositivo infetto; la variante del Trojan individuata, tuttavia, si limitava a bloccare il dispositivo, per poi richiedere all'utente-vittima il pagamento di una determinata somma di denaro, per poter procedere allo sblocco dell'apparecchio.
Trojan-Ransom.AndroidOS.Pletor.d, mascherato sotto forma di app per la pulizia del sistema
I Trojan che bypassano le protezioni di Android

I cybercriminali sono costantemente alla ricerca di subdoli metodi per eludere i nuovi meccanismi di protezione implementati nell'OS Android. Di fatto, all'inizio del 2016 abbiamo scoperto che alcune varianti del Trojan-SMS Tiny sono in grado di sovrapporre la propria schermata al testo del messaggio che compare nella finestra di dialogo del sistema attraverso la quale si avverte l'utente dell'invio del messaggio SMS verso un numero premium (a pagamento). Il proprietario dello smartphone, non vedendo il testo originale, non sa riguardo a cosa egli fornisce, effettivamente, il proprio assenso, e procede quindi all'invio del messaggio verso il numero specificato dal malfattore.

Un metodo simile è stato utilizzato da Trojan-Banker.AndroidOS.Asacub, allo scopo di ottenere i diritti di amministratore del dispositivo. Nascondendo all'utente la richiesta effettuata dal sistema, il Trojan induce la vittima, con l'inganno, a concedere ulteriori privilegi al malware. Tra le altre cose, Asacub richiede lo specifico diritto di essere l'applicazione standard abitualmente utilizzata per operare con gli SMS; questo consente al Trojan di ottenere l'accesso ai messaggi SMS persino nelle nuove versioni di Android.

Gli autori del Trojan bancario Trojan-Banker.AndroidOS.Gugi, da parte loro, si sono spinti ancora oltre. Questo programma malware è in effetti in grado di bypassare due nuovi meccanismi di protezione IT adottati in Android 6, avvalendosi esclusivamente di metodi di ingegneria sociale. Senza ricorrere allo sfruttamento di eventuali vulnerabilità dell'OS, Gugi riesce ad aggirare importanti funzionalità di protezione quali la specifica richiesta del sistema relativa al poter sovrapporre la propria finestra ad altre app, ed il meccanismo di autorizzazione dinamica riguardo alle attività in-app che potrebbero rivelarsi potenzialmente pericolose, quali SMS o chiamate.

I programmi ransomware per dispositivi mobile

Mentre il primo Trojan ransomware mobile comparso sulla scena provvedeva effettivamente a codificare i dati custoditi dall'utente sul proprio dispositivo, richiedendo poi il pagamento di una determinata somma di denaro per decifrare i contenuti compromessi, i programmi "estorsori" attualmente in circolazione si "limitano" a sovrapporre alle altre finestre (incluso quelle di sistema) la finestra contenente le proprie richieste; in tal modo viene in pratica reso impossibile l'utilizzo del dispositivo.

Trojan-Ransom.AndroidOS.Fusob, il programma ransomware per dispositivi mobile maggiormente diffuso nel corso del 2016, "opera" avvalendosi dello stesso identico principio dannoso. È di particolare interesse rilevare come il Trojan in questione attacchi gli utenti situati in Germania, Stati Uniti e Gran Bretagna, mentre evita di colpire gli utenti mobile ubicati nella vasta area geografica occupata dai Paesi che formano la Comunità degli Stati Indipendenti (CSI), e coloro che risiedono in alcuni stati ad essa limitrofi (una volta avviato, il malware verifica la lingua utilizzata dal sistema, per poi interrompere il proprio "lavoro" se emergono le circostanze sopra indicate). Per procedere all'operazione di sblocco, il Trojan richiede il pagamento di un riscatto pari a 100-200 dollari $, realizzato attraverso i codici relativi alle carte prepagate iTunes.

Desideriamo poi evidenziare un ulteriore metodo utilizzato dai cyber criminali per bloccare i dispositivi mobile; si tratta, più precisamente, del metodo di cui si avvale la famiglia di malware denominata Trojan-Ransom.AndroidOS.Congur, particolarmente diffusa in Cina. Questi Trojan "estorsori" modificano il codice PIN del dispositivo, oppure abilitano tale funzione di sicurezza, impostando il proprio PIN. Per far ciò, il malware deve necessariamente ottenere i diritti di amministratore. Nella circostanza, per poter sbloccare il dispositivo compromesso, viene proposto alla vittima di mettersi in contatto direttamente con i cyber criminali, attraverso il messenger QQ.

Da parte loro, anche i Trojan bancari per piattaforme mobile si sono attivamente sviluppati lungo tutto l'arco dell'anno. Molti di essi sono stati equipaggiati con gli strumenti nocivi necessari per poter bypassare i nuovi meccanismi di protezione implementati nell'OS Android, ed hanno in tal modo potuto continuare a rubare i dati degli utenti anche con le versioni più recenti di tale sistema operativo. Gli sviluppatori dei temibili banker mobile hanno ugualmente introdotto nuove funzioni dannose nelle loro creazioni, in maniera decisamente attiva. La famiglia Marcher, ad esempio, ha per vari mesi utilizzato il redirecting degli utenti, dai siti web delle organizzazioni finanziarie verso siti di phishing appositamente allestiti.

Numerosi Trojan-Banker mobile, inoltre, possiedono specifiche funzioni per estorcere denaro agli utenti-vittima: su comando impartito dal server, essi possono bloccare il funzionamento del dispositivo per mezzo dell'apposita finestra attraverso la quale viene richiesto il pagamento del riscatto. Come abbiamo potuto rilevare, una delle varianti di Trojan-Banker.AndroidOS.Faketoken è in grado non solo di "oscurare" l'interfaccia del sistema, ma anche di codificare i dati degli utenti.

Occorre infine sottolineare, a parte, come i cyber criminali dediti allo sviluppo di malware per Android non si siano affatto dimenticati di uno dei temi più "caldi" dell'intero 2016 - i dispositivi IoT. È stato da noi individuato, in particolare, il Trojan Switcher, in grado di attaccare il router presente nella rete Wi-Fi alla quale è collegato il dispositivo infetto. Nello specifico, se riesce a ricavare la password del router, il Trojan provvede a modificare le impostazioni DNS, realizzando un attacco di tipo DNS hijacking.

Uno sguardo dentro il Dark Web. Contributo del Global Complex for Innovation di INTERPOL.

Il Dark Web rappresenta, per gli attori del cybercrimine, un efficace strumento sia per comunicare, sia per effettuare transazioni di natura commerciale, quali, ad esempio, l'acquisto e la vendita di vari prodotti e servizi, incluso i kit di malware mobile. Vendor e buyer sfruttano in misura sempre maggiore i molteplici meccanismi di "sicurezza" ed i numerosi sistemi business-oriented implementati nell'ambito dei criptomercati della rete Tor (The Onion Router), quali l'utilizzo di criptovalute, i servizi di amministrazione svolti da terze parti (escrow), le transazioni multifirma, la crittografia, il monitoraggio della reputazione/dei feedback, ed altri ancora. INTERPOL ha investigato sulle principali piattaforme del Dark Web, ed ha scoperto che, su di esse, il malware mobile viene messo in vendita in veste di pacchetti software (ad esempio sotto forma di RAT - Remote Access Trojan, trojan per l'accesso remoto); soluzioni singole; tool particolarmente sofisticati, come quelli sviluppati da società di "professionisti" del settore; oppure, su scala più ridotta, come parte di un modello "Bot as a Service". Il mobile malware è ugualmente "oggetto di interesse" sui negozi allestiti da vari vendor, su forum e social media.

I mercati

Sui mercati presenti nel Dark Web viene messa in vendita tutta una serie di prodotti e servizi relativi al malware mobile. Quest'ultimo viene spesso pubblicizzato come parte di uno specifico pacchetto, che può includere, ad esempio, i famigerati Remote Access Trojan (RAT), pagine di phishing, oppure bundle di software preposti ad operazioni di hacking, i quali consistono, nella fattispecie, in strumenti forensi e tool adibiti a "rompere" le password. Vengono ugualmente posti in vendita appositi strumenti "singoli", composti da un unico elemento. DroidJack, ad esempio, è stato offerto da vari vendor su quattro dei principali mercati. Questo diffuso RAT per Android viene liberamente commercializzato su Clearnet ad un prezzo decisamente elevato, ma sul Dark Web il suo prezzo è di molto inferiore.

Entrambe le varianti (pacchetto e versione singola) sono talvolta dotate di apposite guide "how-to", le quali forniscono dettagliate spiegazioni sui metodi utilizzati per hackerare i più diffusi sistemi operativi, quali, ad esempio, Android ed iOS. Sul Dark Web vengono ugualmente pubblicizzati strumenti ancor più sofisticati, quali Galileo, un sistema di controllo remoto sviluppato dalla società IT italiana Hacking Team per ottenere l'accesso remoto a dispositivi provvisti di sistema operativo Android, iOS, BlackBerry, Windows od OS X, e quindi sfruttare gli stessi. Un altro esempio è poi rappresentato dal codice sorgente del Trojan Acecard. Questo malware è noto per il fatto che esso sovrappone le proprie schermate overlay alle app di mobile banking, per poi inoltrare ad un attacker remoto le credenziali di login dell'utente-vittima. Esso è anche in grado di accedere agli SMS; questo consente, ad eventuali malfattori, di poter ottenere i codici relativi al sistema di autenticazione a due fattori, potenzialmente utili.

Risulta ugualmente disponibile per l'acquisto Android bot rent service, servizio di affitto di bot per Android (BaaS, o Bot as a Service). Nella circostanza, il bot può essere utilizzato per raccogliere informazioni finanziarie dai telefoni Android; esso presenta numerose funzionalità, ed è inoltre provvisto di apposita documentazione, disponibile sia in russo che in inglese. Ulteriori specifiche e funzionalità possono essere sviluppate su richiesta. Il servizio in questione può costare fino a 2.500 dollari USD al mese, oppure 650 dollari a settimana.

Vengono infine mostrati, sugli oscuri mercati del Dark Web, anche prodotti per il mobile phishing, adibiti ad ottenere informazioni legate alla sfera finanziaria degli utenti, tool in grado di controllare i telefoni attraverso il Bluetooth, o di cambiare il loro numero IMEI (International Mobile Equipment Identity), così come vari RAT per Android specializzati nell'intercettare messaggi di testo, registri e location delle chiamate, e capaci di accedere alla fotocamera del dispositivo.

I negozi allestiti dai vendor sono, in sostanza, piattaforme standalone create da un singolo o da un gruppo di vendor che si è costruito una base clienti nell'ambito di uno specifico mercato, ed ha poi deciso di avviare un proprio business. In genere, questi negozi non sono provvisti di forum e pubblicizzano, semplicemente, una specifica tipologia di articolo illecito, come droghe o informazioni personali rubate; ad ogni caso, essi effettuano ugualmente la vendita di malware mobile ( DroidJack). Talvolta, assieme ai prodotti appartenenti alla classe del malware mobile vengono resi disponibili appositi tutorial, mentre sui thread dei forum e sui social media si possono ugualmente trovare "opportune" informazioni riguardo agli strumenti maggiormente adatti per raggiungere gli scopi prefissi, e su come installare ed utilizzare i tool in questione. È stato inoltre individuato un particolare servizio nascosto nei meandri della rete Tor - focalizzato sulle news relative al mondo dell'hacking - il quale conteneva specifiche informazioni riguardo alla configurazione del malware mobile Dendroid. Tale RAT, in grado di intercettare i messaggi SMS, effettuare il download di immagini ed aprire un'apposita finestra di dialogo per carpire le password con metodi di phishing, risale al 2014, ma è stato comunque offerto su vari mercati anche nel corso del 2016, come parte di numerosi pacchetti pubblicitari.

Grazie alle solide prerogative di anonimato che esso è in grado di garantire, alle particolari tecniche OPSEC, ai prezzi molto contenuti e all'evidente strategia client-oriented, il Dark Web continua a rimanere, senza ombra di dubbio, uno strumento particolarmente attraente per poter condurre attività e business di natura illecita, ed un ambiente in cui, in futuro, potranno sorgere o svilupparsi specifiche aree dedite al cybercrimine. Lo sviluppo di soluzioni tecniche innovative (in stretta collaborazione con il mondo accademico, gli istituti di ricerca e l'industria privata), la cooperazione internazionale ed il capacity building rappresentano di sicuro dei pilastri fondamentali nella lotta contro l'utilizzo del Dark Web da parte dei criminali.

Le statistiche

Nel 2016 è stato da noi rilevato un sensibile aumento del numero dei pacchetti di installazione nocivi destinati ai dispositivi mobile; in effetti, sono stati complessivamente individuati 8.526.221 pacchetti dannosi, un numero superiore di quasi 3 volte rispetto all'analoga quantità per essi riscontrata nel 2015. Per poter fare i debiti confronti, ricordiamo che nel periodo 2004-2013 erano stati da noi rilevati più di 10 milioni di pacchetti di installazione nocivi, mentre nel 2014 tale cifra era risultata pari a circa 2,5 milioni.

In totale, nel periodo intercorrente tra l'inizio di gennaio e la fine di dicembre del 2016, Kaspersky Lab ha neutralizzato e respinto oltre 40 milioni di attacchi informatici condotti mediante l'utilizzo di malware mobile; nella circostanza, il numero di utenti unici dei dispositivi Android da noi protetti si è rivelato pari a 4.018.234 (contro i 2,6 milioni del 2015).
Numero di attacchi respinti dai prodotti Kaspersky Lab nel corso del 2016 Numero di utenti protetti dai prodotti Kaspersky Lab nel corso del 2016
Geografia delle minacce mobile

Si sono registrati attacchi informatici da parte di programmi malware destinati ai dispositivi mobile in oltre 230 diversi Paesi e territori del globo.
Geografia delle minacce IT per dispositivi mobile (numero di utenti sottoposti ad attacco nel 2016) TOP 10 relativa ai Paesi in cui si è registrata la quota percentuale più elevata di utenti sottoposti ad attacco informatico da parte di malware per dispositivi mobile * Nell'effettuare i calcoli statistici non abbiamo tenuto conto di quei Paesi in cui, nel periodo oggetto del presente report, il numero di utenti attivi della soluzione antivirus di Kaspersky Lab per dispositivi mobile è risultato inferiore a 25.000.** Quote percentuali relative al numero di utenti unici sottoposti ad attacco, rispetto al numero complessivo di utenti - in ogni singolo Paese - dell'antivirus mobile di Kaspersky Lab.
La Cina, che lo scorso anno occupava il primo posto dell'analogo rating da noi stilato, ha continuato a detenere la leadership della graduatoria per tutta la prima metà del 2016; al termine dell'anno qui preso in esame, tuttavia, il Paese dell'Estremo Oriente è andato ad occupare la quarta piazza della TOP 10 relativa all'intero 2016, cedendo in tal modo la prima posizione del ranking al Bangladesh, il quale, lungo tutto l'arco dell'anno ha comunque sempre occupato le posizioni di vertice delle analoghe classifiche elaborate dagli esperti di Kaspersky Lab. Come evidenzia la tabella qui sopra inserita, nel Paese del subcontinente indiano si è imbattuta in temibili programmi malware oltre la metà degli utenti dei prodotti mobile di Kaspersky Lab.

Nel 2016, i malware mobile maggiormente diffusi sul territorio del Bangladesh si sono rivelati essere dei Trojan pubblicitari riconducibili alle famiglie Ztorg e Iop, così come i programmi AdWare appartenenti alla famiglia Sprovider. Questi stessi programmi dannosi, al pari di vari "esponenti" delle famiglie AdWare.AndroidOS.Ewind e AdWare.AndroidOS.Sprovider, si incontrano con particolare frequenza sui dispositivi degli utenti situati in tutti i Paesi che fanno parte della speciale TOP 10, ad eccezione di Cina ed Uzbekistan.

In Cina, i malware mobile in assoluto più diffusi sono risultati essere i Trojan denominati Backdoor.AndroidOS.Fakengry.h e Backdoor.AndroidOS.GinMaster.a, così come i "rappresentanti" della tipologia comportamentale RiskTool.AndroidOS.

In Uzbekistan, invece, i software nocivi per apparecchi mobile più frequentemente rilevati nel corso del 2016 si sono dimostrati essere Trojan-SMS.AndroidOS.Podec.a e Trojan-FakeAV.AndroidOS.Mazig.b. Inoltre, in Uzbekistan, gli utenti si sono spesso imbattuti sia in malware appartenenti alle famiglie di Trojan pubblicitari Ztorg ed Iop, sia negli AdWare riconducibili alla famiglia Sprovider.
Ad iniziare da quest'anno, la suddivisione per tipologie di comportamento dei software destinati ai dispositivi mobile viene realizzata sulla base del Suddivisione delle nuove minacce mobile in base alle varie tipologie esistenti -
2015 e 2016 a confronto numero di pacchetti di installazione effettivamente identificati, anziché in relazione al numero delle nuove varianti di software mobile via via individuate, come veniva invece fatto in precedenza.
Tipologie di malware mobile

Rispetto all'analoga graduatoria dello scorso anno, risulta cresciuta in maniera particolarmente significativa la quota relativa alle nuove minacce mobile riconducibili alla tipologia RiskTool; tale indice è in effetti passato dal 29%, fatto registrare nel 2015, al 43% per esso rilevato nel 2016. Allo stesso tempo, nell'arco di dodici mesi, è diminuita in modo sensibile - dal 21% al 13% - la quota inerente ai nuovi programmi pubblicitari (AdWare) individuati.
Il rating riservato ai programmi dannosi, qui sotto inserito, non include i programmi potenzialmente indesiderati, quali i RiskTool e i software pubblicitari (AdWare). * Quote percentuali relative al numero di utenti attaccati da tali malware mobile, sul numero complessivo di utenti unici sottoposti ad attacco.
Per il secondo anno consecutivo, continua a diminuire in maniera molto marcata - fra tutti i nuovi file identificati - anche l'indice ascrivibile ai pacchetti di installazione appartenenti alla tipologia Trojan-SMS; la loro quota è in effetti scesa dal 24% all'11%: si tratta della diminuzione percentuale più rilevante, nell'ambito di tale graduatoria. Nonostante questo, non possiamo certo affermare che l'insidiosa minaccia rappresentata dai Trojan-SMS non sia attuale, e davvero ragguardevole; nel corso del 2016 siamo in effetti riusciti ad individuare circa 700.000 nuovi pacchetti di installazione.

L'incremento maggiore, per contro, è stato fatto segnare dalla tipologia Trojan-Ransom: la quota ad essa ascrivibile, fra tutti i pacchetti di installazione rilevati nel 2016, è cresciuta di quasi 6,5 volte, attestandosi su un valore pari al 4%. Un simile aumento è in gran parte dovuto alla rapida ed attiva diffusione dei ransomware mobile appartenenti a due specifiche famiglie: Trojan-Ransom.AndroidOS.Fusob e Trojan-Ransom.AndroidOS.Congur.

TOP 20 relativa ai programmi malware destinati alle piattaforme mobile

Il primo posto della speciale TOP 20 relativa ai malware mobile più diffusi nel corso del 2016 è andato nuovamente ad appannaggio di una serie di programmi nocivi classificati come DangerousObject.Multi.Generic (67,93%); questo verdetto viene da noi utilizzato per identificare i software dannosi individuati e neutralizzati con l'ausilio delle tecnologie "in-the-cloud". Tali tecnologie entrano specificamente in funzione nei casi in cui non esistono ancora, all'interno dei database anti-virus, né le apposite firme, né gli euristici indispensabili per poter rilevare determinati programmi nocivi. In tal modo vengono individuati i software dannosi di più recente creazione.

Il secondo gradino del "podio" virtuale risulta occupato dal malware classificato come Backdoor.AndroidOS.Ztorg.c: si tratta di un Trojan pubblicitario in grado di ottenere ed utilizzare i diritti di superutente con il preciso scopo di installare varie applicazioni all'insaputa del proprietario del dispositivo mobile. Occorre sottolineare come, nel 2016, siano entrati a far parte del rating qui analizzato ben sedici Trojan pubblicitari (evidenziati in blu nella tabella); il loro numero si è in pratica quadruplicato rispetto all'analoga graduatoria stilata riguardo all'anno 2015.

Al terzo posto troviamo poi Trojan-Banker.AndroidOS.Svpeng.q, divenuto, nella sfera del malware mobile, il Trojan bancario maggiormente utilizzato dai cyber criminali nel corso del 2016. Il suo alto livello di "popolarità" è dovuto all'attiva diffusione di tale programma nocivo, ad opera dei i cyber criminali, attraverso la nota rete pubblicitaria AdSense. È opportuno evidenziare a parte il fatto che, nella circostanza, grazie ad una specifica vulnerabilità individuata nel browser Chrome, non si rivelava in pratica necessaria alcuna azione, da parte dell'utente, per effettuare il download del Trojan sul dispositivo-vittima. Sottolineiamo, poi, come più della metà degli utenti che, lungo tutto l'arco del 2016, si sono imbattuti in Trojan-Banker appositamente sviluppati per colpire gli apparecchi mobile, abbia avuto a che fare con software nocivi appartenenti alla famiglia Svpeng. Questi programmi Trojan si avvalgono di apposite finestre di phishing per carpire i dati sensibili relativi alle carte di credito, ed attaccano, inoltre, i sistemi di SMS banking.
Numero di pacchetti di installazione, relativi a Trojan bancari per dispositivi mobile, individuati da Kaspersky Lab nel corso del 2016
Al 12° e al 13° posto del ranking si sono collocati, rispettivamente, due "rappresentanti" della famiglia di ransomware mobile denominata Fusob; si tratta, più precisamente, di Trojan-Ransom.AndroidOS.Fusob.pac e Trojan-Ransom.AndroidOS.Fusob.h. Questi temibili Trojan, utilizzando la propria finestra, bloccano il funzionamento del dispositivo dell'utente, richiedendo poi alla vittima il pagamento di un riscatto per poter procedere allo sblocco dell'apparecchio mobile compromesso.
Quadro mondiale relativo alla ripartizione geografica dei tentativi di infezione compiuti nel corso del 2016 dai Trojan bancari destinati ai dispositivi mobile (numero di utenti sottoposti ad attacco) TOP 10 relativa ai Paesi in cui si è registrata la quota percentuale più elevata di utenti attaccati da parte di Trojan-Banker per piattaforme mobile, rispetto al numero complessivo di utenti unici * Nell'effettuare i calcoli statistici non abbiamo tenuto conto di quei Paesi in cui, nel periodo oggetto del presente report, il numero di utenti attivi della soluzione antivirus di Kaspersky Lab per dispositivi mobile è risultato inferiore a 25.000.** Quote percentuali relative al numero di utenti unici sottoposti ad attacco da parte di banker mobile, rispetto al numero complessivo di utenti - in ogni singolo Paese - dell'antivirus mobile di Kaspersky Lab.
I Trojan bancari per piattaforme mobile

Nel 2016 sono stati da noi individuati 128.886 pacchetti di installazione relativi a Trojan-Banker destinati ai dispositivi mobile, ovvero un numero di pacchetti superiore di 1,6 volte rispetto all'analoga quantità rilevata per gli stessi nell'anno precedente.

Lungo tutto l'arco dell'anno qui esaminato, sono stati complessivamente attaccati - da parte di Trojan-Banker specificamente creati per colpire le piattaforme mobile - ben 305.543 utenti, situati in 164 diversi Paesi. Per poter effettuare un debito paragone, ricordiamo che nel 2015 erano risultati sottoposti ad attacco, in totale, 56.194 utenti mobile, ubicati in 137 Paesi.

Per quel che riguarda la Russia - il Paese che detiene la leadership della speciale graduatoria da noi stilata - osserviamo come si sia di fatto imbattuto nei famigerati Trojan-Banker per dispositivi mobile il 4% degli utenti. Tale quota risulta in pratica quasi doppia rispetto all'analogo valore fatto registrare dall'Australia, posizionatasi al secondo posto della nostra TOP 10. L'evidente e marcata differenza trova una logica spiegazione nel fatto che Svpeng, il Trojan bancario per piattaforme mobile maggiormente diffuso, è stato principalmente distribuito sul territorio della Federazione Russa. Inoltre, in Russia, si sono rivelati particolarmente "popolari" vari "esponenti" delle famiglie di malware denominate Asacub e Faketoken.

In Australia, invece, i malware mobile in assoluto più diffusi sono risultati essere alcuni "rappresentanti" delle famiglie Trojan-Banker.AndroidOS.Acecard e Trojan-Banker.AndroidOS.Marcher. In Corea (7° posto), i Trojan bancari più frequentemente utilizzati dai cyber criminali sono stati i software nocivi appartenenti alla famiglia Trojan-Banker.AndroidOS.Wroba.

In tutti gli altri Paesi presenti nella nostra TOP 10, i cyber criminali hanno fatto ricorso, con maggiore frequenza, alle famiglie di malware mobile denominate Trojan-Banker.AndroidOS.Faketoken e Trojan-Banker.AndroidOS.Svpeng. Nel corso del 2016, i programmi dannosi riconducibili a quest'ultima sono stati distribuiti davvero con particolare intensità: oltre la metà degli utenti dei dispositivi mobile è stata attaccata proprio da tali software dannosi. Come abbiamo accennato in precedenza, questo è dovuto all'attiva diffusione del malware attraverso la rete pubblicitaria AdSense e, al contempo, dalla possibilità di eseguire furtivamente, all'insaputa dell'utente, il download dei suddetti Trojan bancari, grazie ad una specifica vulnerabilità individuata nel browser mobile.
Numero di pacchetti di installazione, relativi a programmi ransomware mobile, individuati da Kaspersky Lab (Situazione inerente al periodo 1° trimestre 2016 - 4° trimestre 2016)
La seconda famiglia di malware mobile maggiormente diffusa si è rivelata essere Trojan-Banker.AndroidOS.Faketoken. Alcune varianti di tale Trojan sono in grado di attaccare oltre 2.000 applicazioni legate alla sfera finanziaria.

Terza in termini di "popolarità" è poi risultata essere la famiglia di Trojan bancari mobile denominata Trojan-Banker.AndroidOS.Asacub. Ha avuto a che fare con questa famiglia di malware oltre il 16% degli utenti sottoposti ad attacco da parte di banker mobile. I Trojan in questione vengono distribuiti soprattutto in Russia, spesso attraverso messaggi SMS di spam.
Quadro mondiale relativo alla ripartizione geografica dei tentativi di infezione compiuti nel corso del 2016 dai Trojan ransomware per dispositivi mobile (numero di utenti sottoposti ad attacco) TOP 10 relativa ai Paesi in cui si è registrata la quota percentuale più elevata di utenti attaccati da parte di Trojan-Ransom mobile, rispetto al numero complessivo di utenti unici * Nell'effettuare i calcoli statistici non abbiamo tenuto conto di quei Paesi in cui, nel periodo oggetto del presente report, il numero di utenti attivi della soluzione antivirus di Kaspersky Lab per dispositivi mobile è risultato inferiore a 25.000.** Quote percentuali relative al numero di utenti unici sottoposti ad attacco da parte di programmi ransomware per dispositivi mobile, rispetto al numero complessivo di utenti - in ogni singolo Paese - dell'antivirus mobile di Kaspersky Lab.
I Trojan ransomware per dispositivi mobile

Nel 2016, i ransomware mobile hanno evidenziato una crescita davvero impressionante - sia in termini di quantità di pacchetti di installazione individuati, sia per quel che riguarda il numero di utenti da essi attaccati. Nel periodo oggetto della nostra consueta analisi annuale relativa all'evoluzione del malware mobile, sono stati da noi rilevati ben 261.214 pacchetti di installazione nocivi riconducibili ai famigerati Trojan "estorsori", ovvero un numero di pacchetti nocivi superiore di quasi 8,5 volte rispetto a quanto riscontrato nel 2015.

Per ciò che riguarda il numero di utenti che si sono imbattuti in questa tipologia di malware, rileviamo che tale quantità ammonta a ben 153.258 persone, situate in 167 diversi Paesi: si tratta di un valore superiore di 1,6 volte rispetto all'analoga quantità osservata nel 2015.

È di particolare interesse sottolineare come, nei primi due trimestri del 2016, un elevato numero di pacchetti di installazione abbia riguardato la famiglia Trojan-Ransom.AndroidOS.Fusob, mentre nel terzo trimestre dell'anno il livello di attività di tale Trojan ha poi manifestato un'evidente flessione. La significativa crescita verificatasi nel quarto trimestre è invece da imputare, in particolar modo, all'aumentato livello di attività della famiglia Trojan-Ransom.AndroidOS.Congur; fanno parte di essa dei programmi Trojan tutt'altro che sofisticati, i quali bloccano il dispositivo-vittima per mezzo della loro finestra, oppure modificano la password necessaria per accedere a quest'ultimo.

Il maggior numero di utenti mobile attaccati dai programmi ransomware è stato da noi rilevato in Germania - oltre il 2,5%. In quasi tutti i Paesi presenti nella speciale classifica qui sopra inserita, il livello più elevato di "popolarità" è stato acquisito dai software nocivi appartenenti alle famiglie Trojan-Ransom.AndroidOS.Fusob e Trojan-Ransom.AndroidOS.Svpeng. Soltanto in Kazakhstan - il Paese collocatosi al 5° posto della TOP 10 - i ransomware nei quali si sono imbattuti con maggior frequenza gli utenti si sono rivelate essere alcune varianti della famiglia denominata Trojan-Ransom.AndroidOS.Small.

Ulteriori informazioni riguardo alle tre famiglie di Trojan-Ransom mobile qui sopra menzionate sono disponibili all'interno del report relativo ad una specifica indagine da noi condotta.

Conclusioni

Ha continuato a crescere in maniera davvero sensibile, nel corso del 2016, il numero dei Trojan pubblicitari in grado di utilizzare i diritti di superutente. Si è trattato, lungo tutto l'arco dell'anno, della minaccia informatica numero 1; al momento attuale non scorgiamo, peraltro, validi motivi ed argomenti che lascino intravedere qualche cambiamento riguardo a tale specifica tendenza. I cyber criminali, da parte loro, sfruttano ampiamente il fatto che sulla maggior parte dei dispositivi non vengono effettuati i necessari aggiornamenti del sistema operativo (oppure gli utenti si preoccupano di ottenere tali update con notevole ritardo). Questo fa sì che la maggior parte dei dispositivi si riveli vulnerabile anche nei confronti di exploit ormai datati, ben noti e facilmente accessibili.

Nell'anno in corso continueremo a monitorare molto attentamente l'evoluzione dei Trojan bancari appositamente creati per colpire gli apparecchi mobile: di fatto, coloro che sviluppano i software nocivi riconducibili a tale classe di malware utilizzano per primi le nuove tecnologie dannose, e cercano, in maniera insistente e meticolosa, di mettere a punto dei subdoli metodi che consentano di bypassare i meccanismi di protezione implementati nelle nuove versioni dei sistemi operativi mobile.

Nel 2016, uno dei temi più discussi, e più delicati, si è indubbiamente rivelato essere la sicurezza dei dispositivi IoT. Stanno in effetti acquisendo un livello di popolarità e diffusione sempre maggiore i cosiddetti dispositivi "intelligenti", di ogni genere, in grado di connettersi agevolmente ad Internet; il loro grado di sicurezza IT, tuttavia, si situa ancora su livelli piuttosto bassi. Nel 2016, ad esempio, è stato da noi individuato un Trojan preposto ad attaccare i router domestici. Stiamo di fatto osservando come i cyber criminali si stiano avvicinando sempre di più alla "cornetta" del telefono, ed inizino ad interagire con il mondo circostante. È quindi probabile che, proprio nel 2017, si possa assistere a veri e propri attacchi su larga scala - condotti mediante l'utilizzo di dispositivi mobile - nei confronti dei "rappresentanti" della categoria dell'Internet delle Cose.

# data[].attributes.attachment_link.description
Ha continuato a crescere in maniera davvero sensibile, nel corso del 2016, il numero dei Trojan pubblicitari in grado di utilizzare i diritti di superutente. Si è trattato, lungo tutto l'arco dell'anno, della minaccia informatica numero 1; al momento attuale non scorgiamo, peraltro, validi motivi ed argomenti che lascino intravedere qualche cambiamento riguardo a tale specifica tendenza.

# data[].attributes.body
Vulnerabilità e hacker

# data[].attributes.attachment_link.provider_name
Securelist - Informazione su virus, hacker e spam

# data[].attributes.attachment_link.readable_text
Vulnerabilità del software
Il termine "vulnerabilità"viene menzionato spesso nell'ambito della sicurezza IT, nei contesti più diversi. Sono stati effettuati molti tentativi di definire il termine "vulnerabilità", cercando di individuarne, ogni volta, le varie accezioni.

Come rilevare un attacco hacker
Esistono numerosi metodi per sfruttare la maggior parte delle vulnerabilità.Per condurre un attacco hacker, in effetti, si può utilizzare un exploit, oppure diversi exploit contemporaneamente; inalternativa, si può ricorrere alla configurazione errata di determinati componenti software, persino all'utilizzo di un programma backdoor.

Breve storia dell'hacking
Dicembre 1947 - William Shockley inventa il transistor e ne dimostra, per primo, il funzionamento. Il transistor si componeva di una moltitudine di filamenti conduttori, isolatori ed elementi di germanio.

Gli hacker e la legge
L'hacking informatico esiste, ormai, da più di 30 anni. In quasi tutti i paesi sviluppati è stata varata una serie di provvedimenti legislativi che possono essere utilizzati per punire i cybercriminali.

# data[].attributes.attachment_link.description
Vulnerabilità del softwareIl termine "vulnerabilità"viene menzionato spesso nell'ambito della sicurezza IT, nei contesti più diversi. Sono stati effettuati molti tentativi di definire il termine "vulnerabilità", cercando di individuarne, ogni volta, le varie accezioni.

# data[].attributes.attachment_link.description
Che cos'è lo spam ? Il termine "spam", al giorno d'oggi, è conosciuto da qualsiasi utente di Internet. Chiunque utilizzi la posta elettronica, in effetti, avrà di sicuro rilevato a più riprese la presenza di fastidiosi messaggi di spam nella propria e-mail box.

# data[].attributes.attachment_link.provider_name
Securelist - Informazione su virus, hacker e spam

# data[].attributes.attachment_link.readable_text
Chi crea il malware? E per quali motivi? Classificazione Storia del malware Cosa occorre fare se il computer è infetto?
Vi siete mai chiesti chi crea il malware? O perché lo fa? Per saperne di più sulle persone che stanno dietro la minaccia - gli script kiddie, i creatori di virus e i criminali informatici - e su ciò che li motiva.

Trojan, virus, worm, dialer - i programmi che rileviamo hanno un sacco di nomi diversi. Scopri come Kaspersky Lab e le altre società di antivirus classificano i diversi tipi di programmi che possono danneggiare il computer o i vostri dati.

Non si conosce il nome del primo virus informatico? O forse si vuole sapere quando il primo worm di posta elettronica è stato creato. Questa sezione riguarda l'evoluzione dei programmi maligni dal loro aspetto iniziale fino ai giorni nostri.

Con il numero di minacce in aumento ogni giorno, è possibile che il computer sia stato infettato. Per saperne di più sui sintomi di infezione, e quali misure si dovrebbero prendere per ripulire il computer.

# data[].attributes.attachment_link.description
Chi crea il malware? E per quali motivi? Vi siete mai chiesti chi crea il malware? O perché lo fa? Per saperne di più sulle persone che stanno dietro la minaccia - gli script kiddie, i creatori di virus e i criminali informatici - e su ciò che li motiva.

# data[].attributes.attachment_link.provider_name
Securelist - Informazione su virus, hacker e spam

# data[].attributes.attachment_link.readable_text
Report trimestrali a cura degli esperti di Kaspersky Lab, focalizzati sui principali avvenimenti del periodo e sulle ultime tendenze emerse nel mondo della sicurezza informatica.

La Mappa Interattiva delle Cyber-Minacce è il servizio online di Kaspersky Lab che mostra in tempo reale ciò che sta accadendo, in tutto il mondo, nell'ambito della guerra cibernetica in corso.

# data[].attributes.attachment_link.description
Report trimestrali a cura degli esperti di Kaspersky Lab, focalizzati sui principali avvenimenti del periodo e sulle ultime tendenze emerse nel mondo della sicurezza informatica. La Mappa Interattiva delle Cyber-Minacce è il servizio online di Kaspersky Lab che mostra in tempo reale ciò che sta accadendo, in tutto il mondo, nell'ambito della guerra cibernetica in corso.

# data[].attributes.attachment_link.readable_text
Pubblicazione iniziale: 2017/05/12 18:53. Ultimo aggiornamento: 2017/05/16 13:50. Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi piace, potete farne una anche voi per incoraggiarmi a scrivere ancora.

2017/05/12 18:53. Da qualche ora è in corso un attacco informatico su una scala che, senza esagerazioni, si può definire planetaria. Sono stati colpiti ospedali, università, compagnie telefoniche, aziende in almeno 70 paesi: in pratica, chiunque sia stato così idiota da non aggiornare i propri sistemi. Eh sì, perché la correzione di Windows che rende immuni a questo attacco è già disponibile da mesi. Non c'è niente di speciale o di imprevedibile in quest'incursione ricattatoria.

La tecnica è la solita: ransomware. In altre parole, i computer vengono infettati e i dati che contengono vengono cifrati con una password nota solo ai criminali. Per avere questa password bisogna pagare un riscatto. Se volete leggere il resoconto di un caso concreto che ho seguito, eccolo.

Il malware è stato denominato WanaCrypt0r 2.0 o WCry/WannaCry. La patch di aggiornamento di Windows da installare per bloccarlo è la MS17-010, disponibile da marzo scorso.

Ripeto: la patch è disponibile da marzo. Se non avete aggiornato i vostri computer, ve la siete cercata.

Aggiornerò questo articolo man mano che avrò novità. Adesso piantatela di leggere e andate immediatamente a patchare. Se non potete patchare, spegnete e scollegate i vostri computer Windows. E raccomandate la vostra anima alla vostra divinità preferita.

2017/05/13 09:00. Durante la serata e la notte ho raccolto un po' di informazioni per rispondere alle domande più frequenti. Le trovate qui sotto.

Cosa posso fare per difendermi?

1. Aggiornate il vostro Windows per installare gli aggiornamenti correttivi ( patch). Se non sapete come fare, chiedete a qualcuno che lo sa. Microsoft ha radunato tutte le patch per le varie versioni di Windows qui ( spiegone).

2. Aggiornate il vostro antivirus. Praticamente tutti gli antivirus sul mercato riconoscono ormai questo malware.

3. Fate un backup di tutti i vostri dati e scollegatelo dalla rete locale.

4. Chiedetevi perché non avete fatto queste cose prima d'ora e perché c'è voluto un disastro planetario per farvele fare.

5. Come regola generale, non aprite allegati nelle mail senza averli prima controllati con un antivirus aggiornato (anche se questo ransomware non usa la mail per propagarsi, gli altri lo fanno).

6. Disabilitate SMB 1.0 come descritto qui.

7. Controllate di non avere condivisioni SMB aperte che si affacciano a Internet, incluse quelle su VPN.

8. Se avete un computer infetto, non collegatelo alla rete locale; tenterà di infettare tutti gli altri computer della rete.

9. Se siete responsabili della sicurezza di una rete, consentite il libero accesso a questo URL per bloccare l'attacco (per ragioni descritte qui sotto): www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com.

Sono stato colpito e i miei dati sono cifrati. Cosa posso fare?

1. Se avete un backup recente dei dati, usatelo per ripristinarli.

2. Se scoprite che anche il backup è cifrato (perché poco furbamente fate i backup su un disco di rete invece che su supporti fisicamente rimovibili), avete solo due possibilità: tentare di ricostruire da capo i dati cifrati oppure pagare il riscatto, sperando che i criminali vi diano davvero la chiave di decifrazione.

Non sono al corrente di vittime che abbiano pagato il riscatto, abbiano ottenuto la chiave di decifrazione e siano riusciti a recuperare i propri dati. Tutte le società di sicurezza informatica sconsigliano di pagare, perché questo alimenta e incentiva attacchi di questo genere.

Non uso Windows, sono al sicuro?

Il malware colpisce soltanto sistemi Windows e soltanto se non aggiornati. Se usate MacOS, Linux, Android, Windows Phone, iOS, ChromeOS o qualunque altro sistema operativo diverso da Windows non avete problemi.

Naturalmente se il vostro lavoro o i vostri dati dipendono da qualcun altro che ha computer Windows vulnerabili, potreste avere problemi lo stesso.

Quali versioni di Windows sono vulnerabili?

Windows Vista SP2, Windows Server 2008 SP2 e R2 SP1, Windows 7, Windows 8.1, Windows RT 8.1, Windows Server 2012 e R2, Windows 10, e Windows Server 2016 se non sono stati aggiornati da marzo scorso.

Windows XP è vulnerabile ma non è più supportato da Microsoft da aprile 2014. Se lo usate ancora su un computer connesso a Internet, come il servizio sanitario britannico, state cercando guai. In via eccezionale, Microsoft ha comunque rilasciato una patch anche per XP.

Come faccio a sapere se il mio Windows è aggiornato e quindi immune?

Se avete gli aggiornamenti automatici di Windows e una versione recente di Windows, siete a posto. Se avete Windows 10 Creators Update, siete immuni a questo problema.

Su Windows 7 e 8, andate a Pannello di controllo - Programmi - Programmi e funzionalità - Visualizza aggiornamenti installati. Su Windows 10 (da Anniversary Update in poi), date un'occhiata a Impostazioni - Aggiornamenti e sicurezza - Windows Update - Cronologia. Per le versioni pre-Anniversary Update di 10 vale la procedura descritta per Windows 7 e 8. Grazie a Ruggio81 per queste info.

Se siete tecnici e sapete usare Metasploit, ci sono delle istruzioni apposite; oppure potreste usare il Microsoft Baseline Security Analyzer.

Come si diffonde l'attacco?

Il malware si propaga da solo da una rete locale all'altra via Internet cercando e sfruttando le condivisioni di rete SMB maldestramente rivolte verso Internet: questo è quello che emerge dall' analisi fatta da Malwarebytes (v. sezione "SMB vulnerability leveraged to spread ransomware worldwide"). Non è necessaria alcuna azione da parte dell'utente.

Quando il malware riesce a insediarsi in un computer di una rete locale, cerca di propagarsi agli altri computer della rete usando di nuovo le condivisioni SMB e sfruttandone la vulnerabilità già citata. Basta quindi che in un'azienda s'infetti un singolo computer Windows per rischiare di infettare tutti gli altri computer Windows non aggiornati presenti sulla stessa rete locale.

Alcune delle fonti citate in fondo a questo articolo ipotizzano per ora che l'intrusione iniziale possa avvenire (anche) in modo classico, attraverso una mail contenente un allegato infettante oppure una pagina Web contenente codice ostile, ma finora nessuno ha presentato prove di diffusione via mail.

Va notata la scelta del momento per l'attacco: nel pomeriggio di venerdì in Europa, quando gli addetti alla sicurezza di molte aziende hanno già lasciato il posto di lavoro o lo stanno per lasciare e appena prima dei backup di fine settimana, in modo da massimizzare il danno.

Dopo alcune ore, Malwaretech ha preso il controllo (sinkhole) di uno dei domini citati nel malware:

www.iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com

Malwaretech ha scoperto poi (e raccontato magnificamente qui) che questo dominio veniva utilizzato dai criminali come riferimento per la gestione del malware: se esiste ed è accessibile, il malware non effettua cifratura, come spiegato qui da Malwarebytes; se il malware non riesce a raggiungere questo sito, prosegue la propria opera distruttiva. Il sito è probabilmente usato come test dal malware per sapere se sta girando in una sandbox (ambiente di test) o su un computer reale: è una tecnica usata spesso in questo campo.

Il risultato è che al momento un computer vulnerabile si può ancora infettare ma l'infezione non cifra più i dati, per cui l'attacco per ora è stato in gran parte neutralizzato da Malwaretech grazie a un colpo di fortuna e alle tecniche dilettantesche usate dai criminali. Ma se non installate gli aggiornamenti correttivi, nulla impedisce ad altri criminali di ritentare con una versione di malware più robusta. E ci sono già segnali non confermati che questo sta accadendo.

Il mio antivirus rileverà l'attacco?

Se è aggiornato, molto probabilmente sì. Ormai lo fanno praticamente tutti.

Quali paesi/enti sono stati colpiti? C'è una mappa?

Nel Regno Unito sono stati colpiti in particolare l'intero sistema sanitario nazionale ( costretto a sospendere tutte le attività non urgenti; sono coinvolti ospedali, cliniche, ambulatori, anche a livello dei centralini telefonici; si prevede una paralisi di vari giorni) e la Nissan.

In Francia è stata colpita la Renault.

In Slovenia il malware ha bloccato la produzione dello stabilimento Renault.

In Spagna hanno avuto gravi problemi la compagnia telefonica spagnola Telefónica e altre aziende nel settore dell'energia (Iberdola e Gas Natural).

Negli Stati Uniti anche FedEx è stata colpita.

In Russia ci sono segnalazioni di problemi presso banche (Sberbank, VTB) e ferrovie (RZD).

Sono segnalate infezioni in Russia, Turchia, Germania, Vietnam, Filippine, Italia, Cina, Ucraina, Stati Uniti, Argentina e altri paesi, per un totale di almeno 74 paesi secondo la BBC.

La Svizzera è stata sostanzialmente risparmiata, grazie anche all'informativa diramata da MELANI (la Centrale d'annuncio e d'analisi per la sicurezza dell'informazione).

Il New York Times parla di 45.000 attacchi (e presumibilmente altrettante infezioni). Su Malwaretech.com c'è una mappa animata.

Se cercate su Google intitle:"index of" "WNCRY" troverete un elenco di siti colpiti.

Voglio informazioni tecniche, ce ne sono?

Ci sono quelle di Kaspersky e quelle di rain1 (che include tutti i testi del malware in varie lingue); anche Ars Technica ne ha pubblicate. Emsisoft ha scritto un' analisi della crittografia usata. VirusTotal ha ottime info. C'è anche un video dimostrativo di un attacco. E Talos Intelligence ha info anche sul sinkholing usato per bloccare l'attacco. L'analisi di Microsoft è qui; le informazioni di F-Secure sono qui e qui.

2017/05/13 11:10: The Register ha fatto un ottimo punto della situazione; idem Malwarebytes qui.

Chi ci guadagna?

Ci guadagnano i criminali, per ora sconosciuti, che incassano i Bitcoin pagati dalle vittime. Uno dei portafogli digitali usati dai criminali dovrebbe essere questo, ma per ora non sembra che stia crescendo granché (ma mentre scrivo queste righe è venerdì sera, per cui molte aziende reagiranno lentamente). Un altro sarebbe qui. Queste fonti sono confermate da Kaspersky.

In chiaro:

115p7UMMngoj1pMvkpHijcRdfJNXj6LrLn
13AM4VW2dhxYgXeQepoHkHSQuy6NgaEb94
12t9YDPgwueZ9NyMgw519p7AA8isjr6SMw

Un conteggio aggiornato alle 10 del 13/5 stima un incasso totale circa 14 bitcoin, ossia circa 21.000 euro al cambio attuale. Ma probabilmente il grosso arriverà lunedì, alla riapertura degli uffici.

Un conteggio aggiornato alle 14 del 15/5 stima circa 29,4 bitcoin, ossia circa 50.000 dollari.

Cosa c'entra l'NSA?

L'attacco usa una tecnica presente in uno strumento d'intrusione sviluppato dall'NSA, chiamato EternalBlue/DoublePulsar, che è stato trafugato insieme ad altri da un'organizzazione criminale che si fa chiamare ShadowBrokers e che ha dapprima cercato di guadagnare mettendo all'asta la refurtiva e poi, di fronte al fallimento dell'asta, ha pubblicato tutto online, a disposizione di chiunque. EternalBlue/DoublePulsar è stato analizzato e poi ricreato da criminali informatici che lo stanno sfruttando per questo attacco.

Di chi è la colpa?

Fondamentalmente è dell'NSA, che ha fabbricato armi informatiche pericolosissime e non ha saputo tenerle al sicuro: è come se avesse fabbricato un'arma batteriologica (che già è una pessima idea perché uccide chiunque, non solo il nemico) e poi oltretutto l'avesse lasciata su un davanzale, a portata di tutti.

Ed è colpa dell'NSA anche perché ha tenuto per sé la conoscenza delle falle sfruttate da queste armi invece di condividerla con Microsoft e consentirle di correggere la vulnerabilità diffondendo un aggiornamento del proprio software. In sintesi, l'NSA ha scoperto un pericolo riguardante migliaia di aziende e sistemi vitali degli Stati Uniti e non ne ha informato nessuno per tenersi un vantaggio operativo: lo ha annunciato a Microsoft soltanto dopo che si è accorta che Shadowbrokers aveva rubato le sue tecniche.

Ma non è colpa di Wikileaks?

No: è un equivoco piuttosto diffuso. Gli strumenti d'attacco dell'NSA sono stati trafugati e poi pubblicati da ShadowBrokers, non da Wikileaks.

Fonti: CCN-CERT, scheda informativa Microsoft, informazioni Microsoft sulla falla MS17-010, bollettino Microsoft sulla falla MS17-010, New York Times, The Register, Motherboard, Brian Krebs, BBC, The Intercept, Graham Cluley, Sophos, ANSA.

# data[].attributes.attachment_link.title
Il Disinformatico - Etichetta: ransomware

# data[].attributes.attachment_link.description
Pubblicazione iniziale: 2017/05/12 18:53. Ultimo aggiornamento: 2017/05/16 13:50. Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi piace, potete farne una anche voi per incoraggiarmi a scrivere ancora. 2017/05/12 18:53. Da qualche ora è in corso un attacco informatico su una scala che, senza esagerazioni, si può definire planetaria.

# data[].attributes.attachment_link.readable_text
Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi piace, potete farne una anche voi per incoraggiarmi a scrivere ancora.
C'è parecchio panico in Rete per una falla di sicurezza molto estesa che è stata battezzata Cloudbleed. Provo a riassumere qui le cose essenziali da sapere.

Se avete moltissima fretta

Ê possibile che le vostre password e alcuni vostri dati personali siano stati disseminati pubblicamente per mesi a causa di un errore tecnico della società Cloudflare, usata da molti dei più diffusi servizi di Internet. La falla è stata corretta, ma in Rete ne restano dei residui.

Vi conviene cambiare tutte le password dei servizi online che usate e sui quali non non avete già attivato la verifica in due passaggi (autenticazione a due fattori). Cogliete quest'occasione per attivarla. Se vi sembra una raccomandazione troppo drastica, leggete i dettagli qui sotto. Non dite che non siete stati avvisati.

Questo problema non ha a che fare con i problemi avuti da molti utenti i cui account Google hanno dato strani messaggi di errore nei giorni scorsi.

Le password di 1Password non sono state violate, dice AgileBits (che gestisce 1Password).

Se avete meno fretta

L'esperto di sicurezza Tavis Ormandy (del Project Zero di Google) ha scoperto a metà febbraio scorso una grave falla nel software usato dalla società Cloudflare, alla quale si appoggiano per la distribuzione e la protezione dei contenuti molti dei nomi più popolari di Internet, come Uber, OKCupid, 1Password.

Questa falla ha disseminato per mesi, rendendoli visibili a chiunque, "messaggi privati di importanti siti d'incontri, messaggi completi provenienti da un noto servizio di chat, dati di gestori online di password, fotogrammi da siti per adulti, prenotazioni di alberghi. Stiamo parlando di richieste https integrali, indirizzi IP dei client, risposte complete, cookie, password, chiavi, dati, tutto", ha scritto Ormandy, mostrando esempi come quello che ho incluso all'inizio di questo articolo e che riguarda Uber. Qui sotto ne vedete un altro, riferito a FitBit.

Cloudflare si è subito adoperata per risolvere il problema, che ora non si ripresenta più. La parte difficile è fare pulizia online dei dati disseminati in Rete, che sono reperibili nelle cache di Google e di altri motori di ricerca, anche se è in corso una purga a tappeto. Secondo Motherboard, questa purga non è stata completa, per cui è tuttora possibile trovare dati personali con un' apposita ricerca in Google.

La spiegazione tecnica dettagliata di Cloudflare è qui. La spiegazione semplificata di Gizmodo è questa: "il software di Cloudflare cercava di salvare i dati degli utenti nel posto giusto, che però si riempiva completamente. Così il software finiva per salvare i dati altrove, per esempio in un sito completamente diverso... I dati sono finiti nella cache di Google e di altri siti, per cui Cloudflare deve cercarli tutti prima che li trovino i criminali informatici."

The Register riassume bene così: "a causa di un errore di programmazione, per vari mesi i sistemi di Cloudflare infilavano pezzi casuali di memoria dei server nelle pagine Web... visitando un sito Web gestito tramite Cloudflare poteva capitare di trovare pezzi del traffico Web di qualcun altro appiccicati in fondo alla pagina del browser... Immaginate di sedervi al ristorante, a quello che in teoria sarebbe un tavolo pulito, ma insieme al menu trovate anche il contenuto del portafogli del cliente precedente."

L'esatta portata del danno (quali e quanti siti supportati da Cloudflare hanno subìto emorragie di dati riservati) non è ancora nota, scrive Gizmodo citando l'azienda, ma i siti coinvolti sono almeno 150. Se volete sapere se i siti che usate adoperano i servizi di Cloudflare e quindi potrebbero essere a rischio, immettete i loro nomi in Doesitusecloudflare.com. Non risulta, al momento, che criminali informatici abbiano utilizzato i dati diffusi per errore.

Ulteriori dettagli sono (in inglese) su Ars Technica.

# data[].attributes.attachment_link.description
Questo articolo vi arriva gratuitamente e senza pubblicità grazie alle donazioni dei lettori. Se vi piace, potete farne una anche voi per incoraggiarmi a scrivere ancora. C'è parecchio panico in Rete per una falla di sicurezza molto estesa che è stata battezzata Cloudbleed. Provo a riassumere qui le cose essenziali da sapere.

# data[].attributes.attachment_link.title
What is encryption and how does it work?

# data[].attributes.attachment_link.description
It has become one of the most topical and discussed topics in information security in recent times. In this video we outline some of the key aspects of encryption.

# data[].attributes.attachment_link.title
La Crittografia - liceo scientifico Leonardo da Vinci Pescara

# data[].attributes.attachment_link.description
Video realizzato dai ragazzi del liceo scientifico Leonardo da Vinci di Pescara classe terza sezione I.