Cybercrimine: semestre nero per l’Italia e attacchi DDos gonfiati

Che si tratti di malware o di attacchi DDoS, i tempi non sono buoni. Leggendo gli ultimi numeri diffusi da Check Point Software Technologies e da Arbor Networks si può a ragione parlare di un semestre fosco o addirittura nero per l’Italia, che nel periodo è stato il Paese europeo più infettato da programmi malevoli. La pioggia di attacchi, in gran parte provenienti dalla Cina ma anche degli Stati Uniti, si è posata abbondantemente sullo Stivale, che pure – fortunatamente – resta fuori dalla top ten mondiale dei bersagli più colpiti. Più in generale, su tutto il globo nel giro di un semestre le varianti attive di malware sono aumentate di oltre il 60%, stando ai conteggi effettuati da CheckPoint attraverso la sua ThreatCloud World Cyber Threat Map, una rete composta da oltre 250 milioni di indirizzi.

In media, su questa “nuvola” il vendor israeliano scova ogni giorno oltre 11 milioni di firme di malware e più di 5,5 milioni di siti Web infetti. In un mese (giugno di quest’anno) sono state rilevate 2.420 varianti di malware uniche attive, che hanno attaccato le reti aziendali, con un aumento del 61% rispetto ai livelli di gennaio e del 21% rispetto ad aprile. Sempre a giugno, per il secondo mese consecutivo, il pericolo più attivo in circolazione è stato Conficker: un worm che consente di disattivare i sistemi di sicurezza di Windows per eseguire da remoto operazioni quale il download di programmi malevoli e il furto di credenziali. A lui si deve il 14% degli attacchi rilevati da CheckPoint.

Statistiche della ThreatMap di Check Point

Al secondo posto per “popolarità” (10% delle infezioni totali) c’è Sality, un virus con grandi capacità di adattamento ed evoluzione, che colpisce i sistemi Windows per eseguire operazioni da remoto e download di altri programmi nocivi. Medaglia di bronzo, di fa per dire, ad Hummingbad (6% delle infezioni), un malware che attacca i dispositivi Android installandovi un rootkit persistente e che innesce altre attività malevole (key logger, furto di credenziali). Fino a oggi ben 85 milioni di smartphone e tablet sono già stati infettati.

Vecchi e nuovi pericoli, dunque, sono in agguato. È vero che pochi malware molto popolari generano la maggior parte dei danni, ma è altrettanto vero che partendo da queste minacce già note i criminali sviluppano continue nuove “variazioni sul tema”. Come spiega Nathan Schuchami, “Gli hacker si stanno concentrando sempre più per creare varianti di malware sempre nuove e più sofisticate per derubare le aziende dei propri dati. Le organizzazioni devono poter contare su metodi di advanced threat prevention per le proprie reti, endpoint e dispositivi mobili, per bloccare questi pericoli prima che possano diventarne le vittime”.

Attacchi DDoS più grandi e più frequenti
I numeri sugli assalti Distributed Denial-of-Service non sono molto più confortanti. Nei primi sei mesi dell’anno attraverso la rete Atlas (su cui oltre 300 clienti service provider condividono dati anonimi sul traffic) Arbor Networks ha registrato una media di dimensioni degli attacchi DDoS pari a 986 Mbps, superiore del 30% a quella del 2015. E sono in ascesa anche gli episodi “massicci”: il novero di quelli superiori ai 100 Gbps nel primo semester del 2016 ha superato I 274, mentre in tutto il 2015 si era arrivati a contarne 223. Gli attacchi superiori ai 200 Gbps nel semestre sono stati 46, cioè quasi tre volte i 16 conteggiati in tutto l’anno scorso.

Crescono, dunque, sia la frequenza degli assalti sia la loro capacità distruttiva. A detta di Arbor Netowrk, il metodo DDoS continua a essere popolare grazie alla disponibilità di strumenti e servizi facilmente reperibili online, a basso costo o addirittura gratuiti.  E continua a essere sfruttata la tecnica della riflessione/amplificazione, che permette agli aggressori sia di aumentare la quantità di traffico generato, sia di offuscare la sorgente originale del traffico stesso. Per la maggior parte dei bersagli, in ogni caso, un attacco da 1 Gbps è sufficiente per mettere offline un sito o una piattaforma.

“I dati dimostrano la necessità di sistemi di difesa contro gli attacchi DDoS ibridi o multilivello”, ha commentato Darren Anstee, responsabile tecnologico per la sicurezza di Arbor Networks. “Gli attacchi a larghezza di banda elevata possono essere mitigati solo nel cloud, lontano dagli obiettivi prefissati. Tuttavia, nonostante la forte crescita delle dimensioni degli attacchi più consistenti, l'80% di questi è ancora inferiore a 1 Gbps e il 90% dura meno di un’ora. La protezione on premise garantisce la rapidità di reazione necessaria ed è la chiave contro gli attacchi “low and slow” a livello di applicazione e contro quelli state-exhaustion destinati a infrastrutture come firewall e Ips”.