Come proteggersi dagli attacchi informatici

1. Come proteggersi dai nuovi metodi di attacco informatico RICCARDO BERNASCONI GABRIELE GIANOGLIO

2. Gli speakers di oggi

3. Fino a ieri… • L’occhio degli hackers osservava le vulnerabilità rese pubbliche e le riusava • Andava a caccia di bersagli facili (applicazioni prive di patch indicizzate su motori di ricerca Shodan/IoT) • Equifax 2017 data breach: Portale Web dei reclami dei consumatori con falla Apache Struts2 RCE ﬂaw (CVE-2017-5638) • 2020: FortiNet circa 50,000 VPNs vulnerabili con bug vecchi di 2 anni (CVE-2018-13379), passwords esposte alle banche, VPNs della PA

4. I 3 punti di attacco alla software supply chain • Issues all’interno delle dipendenze più diffuse • Replica delle issues nei mirrors • Utilizzate dagli sviluppatori nelle loro applicazioni - spesso è sufficiente scaricarle • Influenzano gli strumenti DevOps che utilizzano queste dipendenze • Influenzano le applicazioni che integrano le dipendenze compromesse • Le applicazioni vengono così violate, compromettendo i client UPSTREAM MIDSTREAM / IN YOUR SDLC DOWNSTREAM • Sfruttano i problemi noti • Introducono comportamenti dannosi influenzando il comportamento dei client

5. Inject code in open-source components 350k packages >100k >133k Maven Central 5.4 million JARs >235k Projects published to… 100 million repositories ● Ogni componente distribuito su diversi repository ● Il quale viene ulteriormente distribuito ai mirror ● Utilizzato dagli sviluppatori nelle loro applicazioni ● Le applicazioni vengono compromesse, raggiungendo i client

6. Picture here Perché attaccare l’ecosistema open-source? ● "ﬁducia" implicitamente stabilita nella comunità OSS ● Disponibile a tutti ● Crescita esponenziale nell’adozione, Microsoft acquisisce GitHub per $ 7,5 miliardi. ● E molto più facile distribuire librerie compromesse - trasmettere codice dannoso nel "downstream" (forking, dipendenze, ...) ● La ﬁducia nei repository open source incoraggia gli attacchi alla supply chain del software

7. Casi reali di malware open-source e attacchi alla software supply chain

8. Esempi recenti: Gitpaste-12 • Il malware Gitpaste-12 era in GitHub • Worm + botnet • Contiene 12 vulnerabilità, incluse componenti open-source • Reverse shells, spreads itself, dynamic C2 on Pastebin • La seconda versione ritorna un mese dopo con 30+ attacchi MID-STREAM

9. Typosquatting & brandjacking malware Rendere gli attacchi alla software supply chain open-source eﬃcaci e facili

10. twilio-npm malicious npm component • Pacchetto Npm che prende il nome dal popolare provider di comunicazioni cloud, Twilio • Non appena installato ha lanciato la reverse shell • Scoperto da Sonatype, riportato immediatamente, npm takes è stato rimosso • Il pacchetto “twilio” ha ottenuto oltre 40 milioni di downloads. https://blog.sonatype.com/twilio-npm-is-brandjacking-malware-in-disguise UPSTREAM

11. Discord.dll, discord.app malware • Componenti dannosi npm che hanno compromesso lo sviluppo dell’app Discord • Codice Oﬀuscato furto di token Discord, ﬁle del browser, info giocatori • Successore di “fallguys” brandjacking malware che si era impossessato delle API del gioco Fall Guys: Ultimate Knockout" • Prende il nome dal pacchetto “discord.js” che ha avuto oltre 280K downloads settimanali. • L’app induce a installare questo componente dannoso • Scoperto da Sonatype, riportato immediatamente, npm eliminato https://blog.sonatype.com/discord.dll-successor-to-npm-fallguys- UPSTREAM

12. Dependency confusion Una forma soﬁsticata di brandjacking UPSTREAM

13. Jul 2020 Il sistema di rilevamento automatico del malware di Sonatype contrassegna i pacchetti di "ricerca sulla sicurezza" pubblicati da Alex Birsan. Sonatype li aggiunge ai dati che alimentano i prodotti Nexus Intelligence di nuova generazione. Jul 2020 – Feb 2021 Birsan continua a pubblicare i pacchetti di ricerca, ma il sistema di rilevamento automatico del malware di Sonatype continua a segnalarli nel tentativo di proteggere i clienti da qualsiasi comportamento illecito. Feb 9, 2021 Alex Birsan pubblica il suo blog di ricerca intitolato "Dependency Confusion: How I Hacked Into Apple, Microsoft and dozzens of Other Companies" Dettagli rilasciati su 35 aziende che hanno utilizzato uno o più dei pacchetti OSS di "ricerca". Anche Sonatype e Microsoft hanno pubblicato i resoconti lo stesso giorno. Feb 12, 2021 72 hours in 300+ copycats emerge Feb 16, 2021 Il rilevamento dei pacchetti copycat raggiunge il 7000% al di sopra della linea di base della settimana precedente. 8 months 1 Week Dependency confusion timeline 4 Weeks Feb 22, 2021 La notizia è ampiamente diffusa con 10 citazioni delle principali pubblicazioni tecnologiche. 575 pacchetti copycat identificati al 22 Feb Mar 2, 2021 750+ pacchetti copycat sono stati identificati come codice Malicious noto Mar 3, 2021 PyPI, npm inondato con 5,000 copycats Mar 9, 2021 8,000+ Copycats Mar 15, 2021 10,000+ Copycats

14. Malicious copycats identiﬁcati da Sonatype infettano Amazon, Zillow, Lyft, Slack Copycats access .bash_history, /etc/shadow, launch reverse shells https://blog.sonatype.com/malicious-dependency-confusion-copycats-exfiltrate-bash-history-and-etc-shadow-files

15. Gli sviluppatori presi di mira negli attacchi alla supply-chain di nuova generazione

16. Sviluppatori Java che usano Maven e Jenkins presi di mira • Sonatype arresta gli attacchi alla software supply chain utilizzata dagli sviluppatori Java • Librerie che prendono il nome da componenti legittimi del compilatore Apache Maven, Jenkins mail-watcher-plugin, e servlet-api pubblicati da Apache, Eclipse Jetty, Tomcat, etc. • Librerie Java (JARs) pubblicate con un namespace diverso com.github.codingandcoding • Librerie legittime scaricate 23 milioni di volte. • Librerie Malicious rimosse da Sonatype prima dei <900 downloads https://blog.sonatype.com/malware-removed-from-maven-central UPSTREAM / MID-STREAM

17. Picture here Tools DevOps mal conﬁgurati, come Jenkins • Developer tools presi di mira • Moltissime organizzazioni fanno girare le loro CICD in chiaro per convenienza • Istanze Jenkins vulnerabili o mal conﬁgurate

18. Gli attacchi alla supply-chain colpiscono sistemi “open and closed source”

19. 2021: Gli attacchi alla supply-chain di SITA violano i programmi Frequent Flier Numerose compagnie aeree colpite

20. Violazione di oltre 18,000 utenti tramite aggiornamenti contraﬀatti • Distribuito a oltre 18,000 clienti incluse agenzie governative mission-critical, e società di cybersecurity • Sono stati distribuiti ceppi multipli di malware prima e durante l’attaccco a Sunburst (Solorigate), Teardrop, Sunspot, …

21. Lezione di DevOps: violazione alle Nazioni Unite, esposti oltre 100k documenti dello staff • I ricercatori* hanno trovato cartelle .git esposte con le credenziali dei DB e file .git-credentials • Accesso a 100k UNEP staff records • Clonati interi repositories con le Git creds • Potrebbe essere stato un attacco alla software supply chain *I membri del gruppo di hacking etico Sakura Samurai includono il fondatore di Anonymous, Aubrey "Kirtaner" Cottle

22. Il caso Codecov • Codecov aveva rivelato un attacco della supply chain • Viene sfruttato il Bash Uploader di Codecov per pubblicare dati sensibili attraverso le variabili di Environment

23. Vietnam govt complex software supply chain attack • Threat actors inject malware in an app oﬀered by a CA: Vietnam Government Certiﬁcation Authority • Operation SignSight • Legitimate MSI binary included PhantomNet backdoor that communicated over HTTPS with C2 https://www.zdnet.com/article/vietnam-targeted-in-complex-supply-chain-attack/ This Photo licensed under CC BY-NC-ND

24. Operation SignSight: breaching Vietnam Gov’s CA ESET researchers’ report: https://www.welivesecurity.com/2020/12/17/operation-signsight-supply-chain-attack-southeast-asia/

25. LA SFIDA: gray area nei repos open-source • Ricerca sulla sicurezza, raccolta di esempi o un altro Alex Birsan? • GitHub e altri repository spesso hanno esempi di malware e codice caricato a scopo di ricerca • È attivo un penetration-test? • Distinguere queste attività da quelle dannose This Photo licensed under CC BY-NC

26. LA SFIDA: difficile valutare l’impatto degli attacchi alla software supply chain open-source • Difficile tenere traccia dei download totali • I download possono essere falsificati • Il codice può essere stato copiato (mirrors, forks, …) • Octopus Scanner: 26 progetti OSS? • Lo stesso vale per il malware OSS individuato da Sonatype

27. Come prevenire gli attacchi alla software supply chain? • SBOM: devi sapere cosa integra il tuo codice • Applicare gli ultimi aggiornamenti e patch? Non sempre • Veriﬁca l'integrità del codice • Non puoi monitorare manualmente le dipendenze • Una sorta di analisi binaria approfondita automatizzata che individui il codice dannoso nelle prime fasi

28. Come prevenire gli attacchi alla software supply chain? • Gli strumenti devono essere in grado di scandagliare il codice offuscato • Tecniche sofisticate come la steganografia (codice nascosto all'interno di immagini / audio, metadati) potrebbero richiedere l'intervento manuale • ... il tutto in aggiunta ai controlli perimetrali di base, IDS / IPS, e al monitoraggio costante della rete che individua il traffico dannoso

29. Automation, proactive action • Automated vulnerability detection - the volume is just too large • Next-gen Nexus Intelligence, proactive malware detection bots based on over 5 dozen signals (“red ﬂags”) • Identiﬁed malicious components repeatedly • The human factor: Solid Security Research team analyzes complex malware, vulnerabilities

30. SUPPLY CHAIN A PIENO SPETTRO Firewall Blocca automaticamente l'accesso al rischio nel tuo SDLC Nexus Lifecycle Identiﬁca continuamente i rischi, applica le policy e rimedia alle vuln in ogni fase del tuo SDLC MUSE Analisi del codice sorgente developer-friendly per individuare problemi di sicurezza e aﬃdabilità Nexus Container Proteggi i container dallo sviluppo al runtime

31. Servizio dati open source di altissimo livello, continuamente perfezionato da AI, machine learning e 65 ricercatori in tutto il mondo ● 97% proprietary ● 10M Unique vulns ● 1.4M Sonatype IDs ● 12 hour fast tracks 100% powered by Nexus Intelligence. ● 8B ﬁles ● 67M components ● 2M projects ● 41 ecosystems

32. GRAZIE! Q&A

Come proteggersi dagli attacchi informatici

Du liest eine Vorschau.

Hier ansehen

Come proteggersi dagli attacchi informatici

Weitere Verwandte Inhalte

Diashows für Sie (20)

Ähnlich wie Come proteggersi dagli attacchi informatici (20)

Weitere von Emerasoft, solutions to collaborate (20)

Aktuellste (20)