L'attacco hacker al Lazio sarebbe avvenuto tramite una falla alla VPN

[Redazione di Hardware Upg]

Link alla notizia: https://www.hwupgrade.it/news/sicure...vpn_99679.html

Secondo le recenti informazioni che stanno circolando sugli organi di informazione nazionale, l'attacco hacker alla Regione Lazio sarebbe avvenuto sfruttando una falla nella VPN attraverso un dipendente che lavorava in smart working

Click sul link per visualizzare la notizia.

[Cfranco]

non sarebbe stata dotata di autenticazione a due fattori

Ma come caxxo si fa ?

gli attacchi sarebbero partiti dalla Russia

E chi se lo sarebbe mai immaginato ?

[Nui_Mg]

Originariamente inviato da Cfranco

E chi se lo sarebbe mai immaginato ?

Ma falla finita: ormai pure se piove è colpa dei russi. Patetici. Tutte cazzate per nascondere la solita e celeberrima propria incompetenza.

[Kyo72]

Sicuramente oltre a non usare la doppia autenticazione ci sara' come password della Vpn la mitica "pippo" oppure "12345"

[Cfranco]

Originariamente inviato da Nui_Mg

Ma falla finita: ormai pure se piove è colpa dei russi. Patetici. Tutte cazzate per nascondere la solita e celeberrima propria incompetenza.

Difendi qualche amichetto ?
Stranamente le gang cybercriminali attaccano tutti i paesi tranne la Russia

до свида́ния товарищ

[AdolfoG]

Il fatto non è direttamente riconducibile ad Engineering. Qui un estratto del loro comunicato:

"In merito ad alcune ipotesi circolate su una possibile correlazione tra questo tentativo di attacco respinto e l’attacco hacker subìto dalla Regione Lazio tra la notte del 31 luglio e l’1 agosto, si chiarisce che le analisi e gli approfondimenti prontamente effettuati escludono una correlazione (la Regione ha confermato che l’attacco è partito dalla violazione di un’utenza di un dipendente in Smart working).

Inoltre si evidenzia che il Gruppo Engineering non gestisce le infrastrutture della Regione oggetto del cyber-attacco, le cui dinamiche devono ancora essere del tutto chiarite delle autorità competenti."

Si trova qui: https://www.eng.it/whats-on/newsroom/nota-ai-clienti-in-merito-ad-alcuni-temi-di-cybersecurity

[giovanni69]

Quella è la risposta in legalese che serve a distanziare la società ENG dall'accaduto. Giustamente, è tutto in itinere e dunque verranno acclarate le responsabilità.

"Provocando l'interruzione di servizi così tanto servizi"

"Ah ma c'è il backup" si dirà, giusto? Peccato che l'articolo non chiarisca l'apparente anomalia per cui sarebbe stato lasciato pure online.

[tallines]

Ecco !! Lavora tu in smart working....... >

L'attacco nato da un'utenza di un dipendente in smartworking

Dicono che c' entri.......la Germania, poi........>

Attacco hacker alla Regione Lazio: “E’ terrorismo”.

Sequestrati i dati del Ced, salvi i fascicoli sanitari

Bloccate tutte le attività.

Polizia postale al lavoro per individuare i responsabili del malware: attacco partito dall’Est attraverso la Germania

[palmy]

Originariamente inviato da Kyo72

Sicuramente oltre a non usare la doppia autenticazione ci sara' come password della Vpn la mitica "pippo" oppure "12345"

Sì esatto, due fattori è solo un in più...il vero bug sta sempre fra la sedia e la tastiera: avrà usato il PC del lavoro connesso alla VPN per guardare porno amatoriali russi su qualche sito sicuro

[tallines]

Originariamente inviato da palmy

Sì esatto, due fattori è solo un in più...il vero bug sta sempre fra la sedia e la tastiera: avrà usato il PC del lavoro connesso alla VPN per guardare porno amatoriali russi su qualche sito sicuro

Facile, complimenti.......

[[K]iT[o]]

Originariamente inviato da palmy

Sì esatto, due fattori è solo un in più...il vero bug sta sempre fra la sedia e la tastiera: avrà usato il PC del lavoro connesso alla VPN per guardare porno amatoriali russi su qualche sito sicuro

Boh non mi sembrerebbe comunque un motivo sufficiente per bloccare così tanta roba con il solo accesso in rete di un dipendente qualsiasi.
Tutto ciò che non è strettamente necessario deve non essere accessibile, figuriamoci poi se parliamo dei backups.

[BrightSoul]

Originariamente inviato da Cfranco

Ma come caxxo si fa ?

Mah, io dubito che l'autenticazione a due fattori sarebbe servita a molto in questo caso specifico, in cui è stato violato il PC di un impiegato. Se il messaggio SMS viene inviato solo all'inizio, all'atto della connessione VPN, poi il malware ha comunque il canale aperto per raggiungere la rete locale dell'ente per tutta la durata della sessione.

Il punto è: come ha fatto il malware a crittare "tutti i file" dal PC di uno che sta in smart working? Probabilmente questo utente ha un accesso privilegiato via SSH ai server su cui si trovano il database e i dati? Ouch. Non è che per caso, prima di crittare, il malware si è fatto un dump che ora viene venduto sul dark web? Speriamo che i file fossero protetti da crittografia at-rest...

La vera leggerezza è stata lasciare il backup sulla stessa rete. Mi piacerebbe sapere quante persone sono state messe a lavorare alla sicurezza di quelle reti. Non mi stupirebbe se fosse < 1 perché io penso che qualsiasi tecnico, se avesse sufficiente tempo e budget, sposterebbe il backup su un medium fisico disconnesso senza neanche starci a pensare.

[Sam64]

Basterebbe rendere illegali le criptovalute e vediamo come fanno a nascondersi.

[matsnake86]

Originariamente inviato da BrightSoul

Il punto è: come ha fatto il malware a crittare "tutti i file" dal PC di uno che sta in smart working? Probabilmente questo utente ha un accesso privilegiato via SSH ai server su cui si trovano il database e i dati? Ouch. Non è che per caso, prima di crittare, il malware si è fatto un dump che ora viene venduto sul dark web? Speriamo che i file fossero protetti da crittografia at-rest...

Secondo me è molt più semplice.....

1.Porbabilmente l'impiegato aveva dei dischi di rete conessi tramite VPN o comunque delle file share aperte.

2.Gli è arrivata la classica mail ingannevole con allegato i virus e il doppio click del mouse sull'allegato ha fatto il resto.

I delinquenti potrebbero aver tranquillamente fatto un po' di social engineering per capire quali bersagli fossero migliori e mandare a loro le mail infette...

[Tasslehoff]

Originariamente inviato da Cfranco

Ma come caxxo si fa ?

Scusa ma secondo te l'uso di autenticazione multifattore sulle VPN è automatico o standard?
Io francamente non ne ho ancora trovata una tra quelle usate in ambito enterprise (Cisco, F5, Fortinet e altre) che l'abbia implementata...

E chi se lo sarebbe mai immaginato ?

Quella della provenienza dell'attacco è una scemenza che è stata divulgata fin dall'inizio e che non sta ne in cielo ne in terra.
Come giustamente ha fatto notare gente ben più preparata di me in questo ambito (ma non ci vuole molto, basta una minima conoscenza in ambito sicurezza per arrivarvi) la vera provenienza di un attacco, se va bene, può essere desunta solo dopo settimane o mesi di lavoro da parte di gente che fa solo quello dalla mattina alla sera (in Italia io penso ci sia giusto Secure Network e pochi altri a quel livello).
A me è capitato diverse volte dai clienti, al minimo portscan o scansione http guardano gli ip di provenienza, fanno whois e partono con le dichiarazioni deliranti sulla provenienza dell'attacco, quando sappiamo benissimo che spoofare un ip o lanciare un attacco da remoto usando host compromessi è la norma.

Originariamente inviato da BrightSoul

Mah, io dubito che l'autenticazione a due fattori sarebbe servita a molto in questo caso specifico, in cui è stato violato il PC di un impiegato. Se il messaggio SMS viene inviato solo all'inizio, all'atto della connessione VPN, poi il malware ha comunque il canale aperto per raggiungere la rete locale dell'ente per tutta la durata della sessione.

Il punto è: come ha fatto il malware a crittare "tutti i file" dal PC di uno che sta in smart working? Probabilmente questo utente ha un accesso privilegiato via SSH ai server su cui si trovano il database e i dati? Ouch. Non è che per caso, prima di crittare, il malware ha si è fatto un dump che ora viene venduto sul dark web?

E' ipotizzabile che si sia trasmesso a causa di configurazioni vpn "allegrotte" ovvero facendo quello che dice l'articolo: " accedere alla rete interna dell’azienda e accedere a dati, programmi e file come se si trovasse fisicamente sul posto di lavoro", cosa che capisco perfettamente dal pdv comunicativo per semplificare molto per i non addetti ai lavori, ma che non corrisponde esattamente alla realtà.

Purtroppo qui ci si scontra sempre con il solito braccio di ferro, tra chi si occupa di reti/sicurezza che vorrebbe imporre policy vpn stringenti (ovvero mi dici di cosa hai bisogno e ti rendo accessibili via vpn solo quei servizi/host/risorse) e gli utenti finali che invece vorrebbero appunto accesso a tutto, come se fossero connessi in lan (spesso perchè non sanno identificare nemmeno loro i servizi o gli host a cui hanno bisogno di accedere).

Ahimè spesso la spuntano i secondi perchè chi ha potere decisionale è proprio uno di loro totalmente ignorante dal pdv tecnico, a quel punto è un attimo che un malware si diffonda in modo incontrollato usando vulnerabilità dei sistemi (pensiamo a share di rete o servizi vulnerabili inaccessibili dall'esterno ma accessibilissimi in lan)

Io con Eng ci ho lavorato parecchio e ci lavoro ancora, e sebbene abbia tanti difetti (come un po' tutte le "megaditte") non è esattamente una società di sprovveduti, ahimè come in tutte le società ha una forte componente commerciale, ma ha anche tanto personale tecnico preparato (poi ci sono cmq geni o somari, come in tutte le società) e francamente se quello che è successo è questo credo sia difficile credere che sia stato fatto per negligenza loro, per esperienza sarei più propenso a pensare che sia successo per pressioni del cliente e degli utenti finali.

La vera leggerezza è stata lasciare il backup sulla stessa rete. Mi piacerebbe sapere quante persone sono state messe a lavorare alla sicurezza di quelle reti. Non mi stupirebbe se fosse < 1 perché io penso che qualsiasi tecnico, se avesse sufficiente tempo e budget, sposterebbe il backup su un medium fisico disconnesso senza neanche starci a pensare.

Su questo hai perfettamente ragione.
Però anche qui ahimè è difficile identificare la vera causa, tu hai citato tempo e budget e purtroppo spesso sono esattamente questi i fattori che influiscono più di tutti.
Poi spesso nella PA capita raramente che una fornitura includa tutto, c'è sempre qualcosa che resta in carico a gruppi diversi, a fornitori diversi (che rispondono a dirigenti diversi, spesso in lotta fra loro e che fanno di tutto per mettersi i bastoni tra le ruote a vicenda) oppure in carico a dipendenti dell'ente.
Spesso infrastruttura e backup capita che rimangano in carico a personale dell'ente, e vuoi per le cattive condizioni di lavoro, o vuoi per l'incapacità o la scarsa formazioni, però cose del genere sono abbastanza comuni; io ho perso il conto delle volte in cui ho trovato sistemi di produzione dove il repository dei backup era banalmente una export nfs montata su un percorso locale, poi magari dietro quella export c'era deduplica a livello di blocchi, retention gestita nei modi più astrusi, diverse tecnologie (dischi, LTO, cloud), però resta il fatto che se fosse girato qualche malware avrebbe potuto accedere anche a quei percorsi.

[Tasslehoff]

Originariamente inviato da Sam64

Basterebbe rendere illegali le criptovalute e vediamo come fanno a nascondersi.

Anche la corruzione è illegale, è forse sparita?

[acerbo]

Come al solito in itaglia si aspetta che il problema si verifichi per reagire, la solita politica del " mo ce pensamo " ...
Draghi ha detto che adesso partirà il progetto per l'agenzia di sicurezza nazionale, i principali stati Europei ce l'hanno da anni e non hanno spid, pec e minkiate varie per usare i servizi informatici dell'amministrazione pubbblica.

[giuliop]

Originariamente inviato da Tasslehoff

Anche la corruzione è illegale, è forse sparita?

Che non sia sparita non vuol dire che averla resa illegale non sia servito.

[sniperspa]

Originariamente inviato da Sam64

Basterebbe rendere illegali le criptovalute e vediamo come fanno a nascondersi.

Eccolo il genio con la soluzione a portata di mano...incredibile non ci avesse pensato nessuno

[Tasslehoff]

Originariamente inviato da acerbo

Come al solito in itaglia si aspetta che il problema si verifichi per reagire, la solita politica del " mo ce pensamo " ...
Draghi ha detto che adesso partirà il progetto per l'agenzia di sicurezza nazionale, i principali stati Europei ce l'hanno da anni e non hanno spid, pec e minkiate varie per usare i servizi informatici dell'amministrazione pubbblica.

Il punto imho non è un'agenzia, quello che farebbe può benissimo essere fatto da Agid (e in parte credo che già lo faccia, o dovrebbe farlo).

Quello che a me preoccupa è che tutti questi casi vengano usati come leva per favorire qualche mega piano cosmologico che assorbirà montagne di risorse senza partorire nulla, a parte ovviamente riempire i portafogli delle solite società parassite che orbitano attorno al mondo della PA e che da anni la spolpano.
Del resto Colao l'ha già fatto poco tempo fa, ricordate quando pochi mesi fa tuonava sul 95% dei server della PA insicuri? Ecco, non è mai stato chiarito da dove venisse quella statistica, poi è stato scoperto che si trattava di un report che prendeva in esame solo l'adozione di protocolli e cypher suites https sui soli portali di frontend degli enti pubblici... nonostante questo è stato usato come leva per lanciare il progetto dell'agenzia per la sicurezza e preparare il campo a piani cosmologici di riforma dell'innovazione nella PA.

Gli esempi poi non mancano, basta guardare il bando SPC Cloud, dove Tim, Almaviva, DXC, Poste, IBM (e la sua consociata Sistemi Informativi), PWC hanno banchettato allegramento, portando zero contributi tecnici/operativi (forse si salva giusto Sistemi Informativi da questo pdv) e subappaltando con contratti capestro a centinaia di PMI su cui hanno scaricato tutta la responsabilità e i costi delle forniture... insomma quello che potremmo definire il terremoto dell'Irpinia informatico.

Vogliamo cambiare le cose sul serio?
Non servono agenzie o slogan supercazzola, bisogna partire dalla disciplina degli appalti, eliminare le gare al ribasso, riformare i listini Consip su cui si basano le gare (che hanno tariffe inferiori ai minimi tabellari dei CCNL), eliminare i vincoli di partecipazione alle gare (in modo che possano partecipare direttamente quelle aziende che effettivamente fanno il lavoro, tagliando i rami morti delle società puramente commerciali che applicano solo markup senza dare alcun contributo nelle forniture).