CERT-AgID

🇮🇹#PEC compromesse: #Vidar sfrutta un nuovo metodo di offuscamento

⚠️ Nella serata del 6 gennaio 2025, è stata rilevata una nuova campagna Vidar: i cyber-criminali continuano a sfruttare caselle PEC compromesse per diffondere il malware tra gli utenti italiani. Questa campagna presenta ulteriori elementi di complessità introducendo nuove tecniche per occultare la url da cui scaricare il payload.

⚔️Gli attacchi si sono basati su:

➡️ 148 domini di secondo livello
➡️ DGA e path randomizzati
➡️XOR sui valori di una lista e converte i risultati in caratteri tramite chr

ℹ️ Ulteriori dettagli e #IoC👇

🔗https://cert-agid.gov.it/news/pec-compromesse-vidar-sfrutta-un-nuovo-metodo-di-offuscamento/

Sintesi riepilogativa delle campagne malevole nella settimana del 28 dicembre 2024 – 3 gennaio 2025

In questa settimana, il CERT-AGID ha riscontrato ed analizzato, nello scenario italiano di suo riferimento un totale di 14 campagne malevole, di cui 12 con obiettivi italiani e 2 generiche che hanno comunque interessato l’Italia, mettendo a disposizione dei suoi enti accreditati i relativi 194 indicatori di compromissione (IoC) individuati.

Eventi di particolare interesse:

➡️ Si intensificano le campagne di smishing #PosteItaliane: gli utenti vengono avvisati di un falso problema di consegna, al fine di sottrarre loro dati personali e della carta di credito.
➡️ Riscontrato un breach contenente vari dati personali ai danni di una suite di soluzioni software per marketing e comunicazione aziendale.

💣#IoC 194
🦠#Malware 4 (famiglie)
🐟#Phishing 5 (brand)

ℹ️ Ulteriori approfondimenti 👇

🔗https://cert-agid.gov.it/news/sintesi-riepilogativa-delle-campagne-malevole-nella-settimana-del-28-dicembre-3-gennaio/

Sintesi riepilogativa delle campagne malevole nella settimana del 21 – 27 dicembre 2024

In questa settimana, il CERT-AGID ha riscontrato ed analizzato, nello scenario italiano di suo riferimento un totale di 18 campagne malevole, di cui 11 con obiettivi italiani e 7 generiche che hanno comunque interessato l’Italia, mettendo a disposizione dei suoi enti accreditati i relativi 147 indicatori di compromissione (IoC) individuati.

Eventi di particolare interesse:

➡️ Rilevate nel perimetro italiano diverse compromissioni di sistemi causate dal malware LummaStealer. Gli attaccanti sfruttano il brand OpenAI per ingannare le vittime.
➡️ Continuano le campagne di smishing ai danni di INPS. Attraverso un SMS fraudolento gli utenti sono indotti a condividere dati e documenti personali.

💣#IoC 147
🦠#Malware 3 (famiglie)
🐟#Phishing 10 (brand)

ℹ️ Ulteriori approfondimenti 👇

🔗https://cert-agid.gov.it/news/sintesi-riepilogativa-delle-campagne-malevole-nella-settimana-del-21-27-dicembre/

Sintesi riepilogativa delle campagne malevole nella settimana del 14 – 20 dicembre 2024

In questa settimana, il CERT-AGID ha riscontrato ed analizzato, nello scenario italiano di suo riferimento un totale di 36 campagne malevole, di cui 22 con obiettivi italiani e 14 generiche che hanno comunque interessato l’Italia, mettendo a disposizione dei suoi enti accreditati i relativi 659 indicatori di compromissione (IoC) individuati.

Eventi di particolare interesse:

➡️ Diffusione del malware #Vidar: una nuova campagna che sfrutta tempistiche insolite ha colpito l'Italia, distribuendo il malware tramite 133 domini di secondo livello.
➡️ Individuata una campagna di smishing ai danni di #INPS. Falsi SMS indirizzano le vittime a una pagina web che ruba dati personali e finanziari.

💣#IoC 659
🦠#Malware 7 (famiglie)
🐟#Phishing 12 (brand)

ℹ️ Ulteriori approfondimenti 👇

🔗https://cert-agid.gov.it/news/sintesi-riepilogativa-delle-campagne-malevole-nella-settimana-del-14-20-dicembre/

🇮🇹Falso avviso di consegna: smishing Poste Italianein corso

⚠️ Il CERT-AGID ha rilevato una nuova campagna di smishing che sfrutta il nome e il logo di #PosteItaliane per sottrarre dati personali e finanziari alle vittime.

🔎 La campagna si diffonde tramite SMS falsi, informando gli utenti di un problema con la consegna di un pacco. I destinatari vengono reindirizzati a un sito web fraudolento dove sono richieste informazioni personali, tra cui nome, cognome, indirizzo, numero di telefono, email e dati della carta di credito.

🛡 Si invita a prestare massima attenzione a messaggi sospetti e a inviare eventuali comunicazioni dubbie a [email protected]

ℹ️ Ulteriori approfondimenti e download #IoC👇

🔗https://cert-agid.gov.it/news/falso-avviso-di-consegna-una-nuova-campagna-di-smishing-colpisce-gli-utenti-di-poste-italiane/

🇮🇹Vidar via PEC: dal weekend al martedì. Cambio di strategia?

✉️Ultima richiesta di pagamento
🔗 Link a FatturaXXXX . js

🕔Domini random e temporizzati

133 domini di secondo livello, utilizzati per distribuire il malware, rimasti inattivi nelle prime fasi dell’attacco, per poi attivarsi nelle ore successive.

🤔 Cambiamento di strategia o contrattempo?

Potrebbe trattarsi di un semplice problema logistico occorso durante il fine settimana, che ha ritardato l’attivazione del malware. Oppure, potrebbe essere una strategia deliberata, volta a colpire gli utenti in un momento di maggiore operatività.

🛡 Azioni di contrasto

Le attività di contrasto sono state già messe in atto con il supporto dei Gestori PEC. Gli IoC relativi alla campagna sono stati diramati attraverso il Feed IoC del CERT-AGID verso i Gestori PEC e verso le strutture accreditate.

ℹ️ Ulteriori approfondimenti e #IoC👇

🔗https://cert-agid.gov.it/news/vidar-via-pec-dal-weekend-al-martedi-cambio-di-strategia/

CERT-AgID pinned a photo

Sintesi riepilogativa delle campagne malevole nella settimana del 7 – 13 dicembre 2024

In questa settimana, il CERT-AGID ha riscontrato ed analizzato, nello scenario italiano di suo riferimento un totale di 39 campagne malevole, di cui 20 con obiettivi italiani e 19 generiche che hanno comunque interessato l’Italia, mettendo a disposizione dei suoi enti accreditati i relativi 446 indicatori di compromissione (IoC) individuati.

Eventi di particolare interesse:

➡️ Individuata una campagna di smishing ai danni di #INPS. Tramite SMS fraudolenti, le vittime vengono indirizzate a una pagina web dove viene richiesto di inserire dati personali.
➡️ Divulgati database dell'Avis Intercomunale Arnaldo Colombo e dell'editore italiano EDT, con la conseguente esposizione di numerosi dati personali.

💣#IoC 446
🦠#Malware 9 (famiglie)
🐟#Phishing 11 (brand)

ℹ️ Ulteriori approfondimenti 👇

🔗https://cert-agid.gov.it/news/sintesi-riepilogativa-delle-campagne-malevole-nella-settimana-del-7-13-dicembre/

📅 Non perdere il #webinar del CERT-AGID: "IoC e Hashr - Rafforzare la sicurezza informatica delle PA"

⏰ Il 18 dicembre dalle ore 10:30 alle ore 12:00, parleremo dei diversi tool e servizi, messi a disposizione gratuitamente dall'Agenzia, per aiutare le pubbliche amministrazioni a proteggersi da minacce informatiche.

🛡 Tra questi, i principali sono il feed degli Indicatori di Compromissione (IoC), che elenca e condivide con le PA che ne fanno richiesta, i dati raccolti dal CERT nelle attività di monitoraggio e prevenzione, e Hashr, particolarmente utile per indagini di sicurezza informatica, analisi forense e verifica dell’integrità dei file su filesystem di grandi dimensioni.

💻 Per partecipare, iscriviti al seguente link: https://events.teams.microsoft.com/event/39e92040-6023-4a0d-807f-f7022cf5ea6a@cf41f62d-8e36-400e-a835-88ea3aff5ef0

Per saperne di più 👉https://www.agid.gov.it/it/notizie/sicurezza-informatica-il-18-dicembre-un-webinar-di-agid-sulluso-di-ioc-e-hashr

🇮🇹Smishing INPS: nuova campagna in corso

⚠️ Il CERT-AGID ha rilevato una nuova campagna di smishing che sfrutta il nome e il logo di #INPS per sottrarre dati personali ai cittadini.

🔎 La campagna mira a raccogliere informazioni personali e finanziarie, tra cui nome, cognome, codicefiscale, numero di telefono, dati della carta di credito e IBAN. I dati sottratti vengono inviati a un bot#Telegram sfruttato dagli attaccanti come C2.

🛡 Si invita a prestare massima attenzione a messaggi sospetti e a inviare eventuali comunicazioni dubbie a [email protected]

ℹ️ Ulteriori approfondimenti e download #IoC👇

🔗https://cert-agid.gov.it/news/campagna-di-smishing-inps-in-corso-sfrutta-bot-telegram-per-rubare-dati-personali/

Sintesi riepilogativa delle campagne malevole nella settimana del 30 novembre – 6 dicembre 2024

In questa settimana, il CERT-AGID ha riscontrato ed analizzato, nello scenario italiano di suo riferimento un totale di 37 campagne malevole, di cui 20 con obiettivi italiani e 17 generiche che hanno comunque interessato l’Italia, mettendo a disposizione dei suoi enti accreditati i relativi 622 indicatori di compromissione (IoC) individuati.

Eventi di particolare interesse:

➡️Riscontrato un incremento nell'uso di #PEC per la diffusione di campagne di phishing a tema #IntesaSanPaolo.
➡️ Rilevato malware #AgentTeslacon meccanismo di attivazione difettoso. Il file originale non era malevolo nonostante sembrasse tale, e il comportamento insolito è stato corretto con una nuova campagna.

💣#IoC 622
🦠#Malware 11 (famiglie)
🐟#Phishing 11 (brand)

ℹ️ Ulteriori approfondimenti 👇

🔗https://cert-agid.gov.it/news/sintesi-riepilogativa-delle-campagne-malevole-nella-settimana-del-30-novembre-6-dicembre/

🇮🇹Aggiornamento sul phishing Intesa Sanpaolo tramite PEC

⚠️ Le campagne di phishing a tema Intesa Sanpaolo veicolate tramite caselle #PEC compromesse o fraudolente non accennano a diminuire. L'obiettivo rimane la sottrazione di credenziali di accesso alla piattaforma di home banking e dei dati delle carte di credito.

🚧 Il CERT-AGID continua a collaborare attivamente con i gestori PEC per mitigare il problema.

🔎 Gli IoC relativi a queste campagne sono stati aggiornati e sono disponibili pubblicamente nella news presente sul sito del CERT-AGID: Caselle PEC sempre più usate nel phishing per le frodi bancarie

🛡 Si raccomanda di prestare massima attenzione e non di cliccare su link sospetti presenti nelle email PEC, verificare attentamente le comunicazioni di natura bancaria e segnalare eventuali email sospette a [email protected].

Campagna #AgentTesla ritorna in azione dopo un attacco fallito: aggiornato loader e nuove tecniche di cifratura

ℹ️ Nei primi giorni della scorsa settimana, il CERT-AGID ha rilevato una campagna il cui meccanismo di attivazione si è rivelato difettoso. Sebbene le sandbox lo identifichino come malevolo, il malware non genera traffico di rete e nessuna sandbox è riuscita a determinare il nome della famiglia di appartenenza.

⚠️ Gli autori della campagna hanno rivisto la loro strategia, ripetendo l’attacco con un malware che questa volta funzionava correttamente.

🪲#AgentTesla cambia loader con una certa frequenza e, sebbene solitamente utilizzi codice memorizzato nelle risorse, questa volta è stato osservato un nuovo metodo che impiega tecniche di cifratura avanzate per caricare il payload direttamente in memoria, rendendo più difficile la sua rilevazione e analisi.

🔗https://cert-agid.gov.it/news/campagna-agenttesla-ritorna-in-azione-dopo-un-attacco-fallito-aggiornato-loader-e-nuove-tecniche-di-cifratura/

Sintesi riepilogativa delle campagne malevole nella settimana del 23 – 29 novembre 2024

In questa settimana, il CERT-AGID ha riscontrato ed analizzato, nello scenario italiano di suo riferimento un totale di 38 campagne malevole, di cui 21 con obiettivi italiani e 17 generiche che hanno comunque interessato l’Italia, mettendo a disposizione dei suoi enti accreditati i relativi 578 indicatori di compromissione (IoC) individuati.

Eventi di particolare interesse:

➡️ Rilevato un incremento nell'uso di #PEC per la diffusione di campagne di phishing a tema #IntesaSanPaolo.
➡️ Nuove campagne di smishing ai danni di #INPS. Tramite SMS fraudolenti, le vittime vengono indirizzate a una pagina web dove viene richiesto di caricare copie di documenti sensibili.

💣#IoC 578
🦠#Malware 13 (famiglie)
🐟#Phishing 15 (brand)

ℹ️ Ulteriori approfondimenti 👇

🔗https://cert-agid.gov.it/news/sintesi-riepilogativa-delle-campagne-malevole-nella-settimana-del-23-29-novembre/

🇮🇹Aumenta il phishing bancario diffuso tramite PEC

⚠️ Il CERT-AGID ha rilevato un incremento nell'utilizzo delle caselle #PEC per diffondere campagne di phishing. Gli attacchi sfruttano la fiducia riposta nella PEC per veicolare link malevoli e sottrarre dati sensibili.

🔎 La campagna in corso, che sfrutta nome e logo di #IntesaSanPaolo, si caratterizza per l’invio di email apparentemente legittime con l’obiettivo di sottrarre le credenziali di accesso all'home banking e i dati della carta di credito.

🚧 Le attività di contrasto sono state attivate dal CERT-AGID con il supporto dei gestori PEC.

🛡 Si raccomanda di non cliccare su link sospetti nelle email PEC e di verificare attentamente le comunicazioni, soprattutto quelle di natura bancaria. In caso di dubbio, è possibile inoltrare le email sospette a [email protected].

ℹ️ Ulteriori approfondimenti e download #IoC👇

🔗https://cert-agid.gov.it/news/caselle-pec-sempre-piu-usate-nel-phishing-per-le-frodi-bancarie/

Sintesi riepilogativa delle campagne malevole nella settimana del 16 – 22 novembre 2024

In questa settimana, il CERT-AGID ha riscontrato ed analizzato, nello scenario italiano di suo riferimento un totale di 53 campagne malevole, di cui 41 con obiettivi italiani e 14 generiche che hanno comunque interessato l’Italia, mettendo a disposizione dei suoi enti accreditati i relativi 1686 indicatori di compromissione (IoC) individuati.

Eventi di particolare interesse:

➡️#Vidartorna a impattare il panorama italiano attraverso caselle PEC compromesse, questa volta utilizzando oltre 100 domini distinti.
➡️ Si intensifica l'uso di bot #Telegram come C2 per la raccolta e trasmissione di dati rubati. Analizzata una nuova campagna di phishing che sfrutta #GitHub Pages.

💣#IoC 1686
🦠#Malware 8 (famiglie)
🐟#Phishing 23 (brand)

ℹ️ Ulteriori approfondimenti 👇

🔗https://cert-agid.gov.it/news/sintesi-riepilogativa-delle-campagne-malevole-nella-settimana-del-16-22-novembre/

👨‍💻 Sempre più frequente l'utilizzo di Telegram per raccogliere credenziali rubate

⚠️ È stata individuata dal CERT-AGID una campagna di phishing che sfrutta nome e logo di #WeTransfer e #cPanel per impossessarsi delle credenziali email delle vittime.

🔎 La pagina di phishing è ospitata su #Github, e come molte altre recenti campagne utilizza le API di #Telegram per inviare con un bot le credenziali sottratte.

🚧 Le attività di contrasto sono state attivate dal CERT-AGID e i relativi Indicatori di Compromissione (IoC) sono stati condivisi con le Pubbliche Amministrazioni accreditate.

🛡 Si raccomanda di non cliccare su link sospetti e di verificare l'autenticità dei siti visitati. È possibile segnalare le comunicazioni dubbie a [email protected].

ℹ️ Ulteriori approfondimenti e download IoC👇

🔗https://cert-agid.gov.it/news/phishing-ospitato-su-github-ruba-credenziali-utilizzando-telegram/

Scarica il modulo di adesione 👇

🔗https://cert-agid.gov.it/scarica-il-modulo-accreditamento-feed-ioc/

🇮🇹 Il malware #Vidar evolve con nuove strategie di diversificazione dei domini

✉️Comunicazione di richiesta di pagamento per la fattura...

🎯#PEC

➡️ Ripristinati i file VBS
➡️ Utilizzati 100+ host
➡️ ~1000 sottodomini random
➡️ Abuso dei domini .top

🕔URL temporizzate

Le URL utilizzate per il download sono rimaste inattive durante la fase di attacco iniziale, attivandosi solo a partire dalla mattina del 18 novembre.

ℹ️Ulteriori dettagli e #IoC👇

🔗https://cert-agid.gov.it/news/il-malware-vidar-evolve-con-nuove-strategie-di-diversificazione-dei-domini/

Sintesi riepilogativa delle campagne malevole nella settimana del 9 – 15 novembre 2024

In questa settimana, il CERT-AGID ha riscontrato ed analizzato, nello scenario italiano di suo riferimento un totale di 33 campagne malevole, di cui 19 con obiettivi italiani e 14 generiche che hanno comunque interessato l’Italia, mettendo a disposizione dei suoi enti accreditati i relativi 292 indicatori di compromissione (IoC) individuati.

Eventi di particolare interesse:

➡️Nuova ondata di malspam PEC, finalizzata a diffondere il malware #Vidar attraverso link al download di file VBS e contrastata con il supporto dei gestori #PEC.
➡️Campagna di phishing#DocuSign: email con allegati HTML spingono la vittima a effettuare il login su una replica del sito, inviando le credenziali a un bot #Telegram.

💣#IoC 292
🦠#Malware 8 (famiglie)
🐟#Phishing 13 (brand)

ℹ️ Ulteriori approfondimenti 👇

🔗https://cert-agid.gov.it/news/sintesi-riepilogativa-delle-campagne-malevole-nella-settimana-del-9-15-novembre/