Giacomo Lanzi
Logic Bomb: cosa sono e come prevenirle
Estimated reading time: 6 minuti
Una logic bomb, chiamata anche slug code, è un pezzo di codice inserito in un’applicazione, virus o malware che implementa una funzione dannosa dopo un certo limite di tempo o in condizioni specifiche.
Queste “bombe” sono spesso usate tramite virus, worm e Trojan per gestire al meglio il tempo a disposizione e fare il massimo danno prima di essere notati. Eseguono azioni come corrompere o alterare i dati, riformattare un disco rigido e cancellare file importanti.
In questo articolo voglio spiegare cosa sia un bomba logica e offrire qualche suggerimento per prevenirne i danni.
Cos’è un logic bomb virus?
Una bomba logica è spesso inserita in un virus o comunque in un file eseguibile. È composta da un codice malevolo che innesca un attacco quando vengono soddisfatte condizioni specifiche. Le condizioni possono essere positive (qualcosa che accade) oppure negative (qualcosa che non accade). Nel primo caso un esempio è quello dell’apertura di un programma, invece, un esempio di condizione negativa è un utente che non compie il login.
Le bombe logiche sono spesso installate da qualcuno con un accesso di alto livello, come un amministratore di sistema. Tale persona può causare il caos impostando questi codici su più sistemi e programmandoli per “esplodere” simultaneamente quando si verifica un certo evento. Per esempio, potrebbero azionarsi quando un certo dipendente viene rimosso dal database degli stipendiati, cioè quando viene licenziato.
Con il termine slag code ci si riferisce al codice manipolato che rende dannoso un programma altrimenti sicuro. Le versioni a tempo di bomba logica sono quelle più diffuse e utilizzano come condizione positiva il trascorrere di un certo lasso di tempo.
Qualunque sia il nome usato, il metodo di attacco è sempre chiaramente lo stesso: il codice rimane dormiente nel software infetto fino a quando non viene innescato. Gli attacchi comuni coinvolgono la corruzione dei dati, la cancellazione dei file e la cancellazione dei dischi rigidi.
Come funziona
Il modo in cui una logic bomb funziona dipende da chi l’ha ideata. Ogni bomba logica è unica, ed è per questo che sono difficili da tracciare. Di solito sono personalizzate per essere il meno rilevabili possibile. Spesso sono travestite per sembrare un tipico virus informatico o inserite in altri tipi di malware come i worm. Worm e virus sono diversi, ma le bombe logiche non si preoccupano della distinzione: possono causare danni attraverso entrambi.
Una bomba logica è effettivamente un malware? Poiché fanno parte di altri programmi, no, ma di solito hanno un intento maligno. Ecco perché gli slag code sono così difficili da rilevare. Inoltre, essendo “solo” codice, potenzialmente inseribile ovunque, mitigare il rischio è più complicato.
La cosa migliore da fare, come utente finale che potrebbe essere coinvolto in un attacco con una logic bomb, è quello di tenere gli occhi aperti e chiedere agli esperti IT della tua azienda di fare i controlli necessari in caso di dubbio. Il rischio è quello di far scattare la bomba involontariamente cercando di trovarla.
Esempi di attacchi
Le bombe logiche possono cambiare in modo impercettibile un frammento di codice in modo che appaia tecnicamente normale ad un sistema automatico di ricerca delle minacce, mentre sembrerebbe molto sospetto per un occhio umano. Nel 2016, un programmatore freelance ha volontariamente causato un malfunzionamento ricorrente dei fogli di calcolo in una filiale della società Siemens. La filiale lo ha continuato ad assumere per risolvere il problema che lui stesso aveva causato (Fonte). In questo caso, i dipendenti non sospettavano nulla fino a quando una fortunata coincidenza ha costretto il codice maligno a uscire allo scoperto.
Anche le aziende possono usare bombe logiche per violare i propri clienti. Nel 2005, Sony fu coinvolta in uno scandalo per aver rilasciato dei CD che scatenavano una bomba logica quando venivano inseriti in un computer. Lo slag code contenuti nei CD installava un rootkit che bloccava la capacità del PC di copiare i CD. (Fonte)
Un altro caso di alto profilo si è verificato nei primi anni 2000, quando un dipendente di UBS Global, arrabbiato per una disputa salariale, ha piazzato una bomba logica a tempo che ha causato più di tre milioni di dollari di danni. Un segno evidente che uno snippet di codice molto piccolo può causare una grande quantità di danni. (Fonte)
Nel 2013, un attacco con una bomba a tempo in Corea del Sud ha cancellato i dischi rigidi di diverse banche e società di trasmissione. Il gruppo responsabile dell’attacco ha messo la bomba a tempo all’interno di un malware che ha finito per infettare oltre 32.000 sistemi. Le bombe sono esplose tutte insieme, causando il caos in tutto il paese. (Fonte)
Da dove vengono e come prevenire le logic bomb
Come abbiamo visto anche negli esempi, le bombe logiche sono tipicamente distribuite all’interno di una rete chiusa, come quella di un’azienda o di una filiale. Una delle probabili fonti è un dipendente scontento con accessi di amministratore, quindi un attento monitoraggio delle attività in uscita del personale dovrebbe rivelare qualsiasi attività sospetta. Ma non è tutto, le bombe logiche possono anche essere piazzate in allegati di email e download di file sospetti, quindi gli utenti dovrebbero essere vigili quando scelgono i file da scaricare.
Come abbiamo visto quando abbiamo parlato di phishing e di ingegneria sociale, la parte più hackerabile di un sistema, sono spesso gli user. Per questo una campagna preventiva è sempre un’ottima scelta. Prendersi cura del personale significa anche proporre dei training specifici tramite servizi di phishing etico.
Oltre alla prevenzione, è bene limitare i privilegi amministrativi a un gruppo selezionato di dipendenti in modo che sia meno probabile che qualcuno possa causare gravi danni alla rete con una bomba logica. Questo metodo preventivo, inoltre, riduce il numero dei sospetti in caso di attacco, rendendo l’appartenenza a quello specifico gruppo di dipendenti di per sé un deterrente contro gli attacchi interni.
La soluzione proposta da SOD
Dove la prevenzione fallisce e vincono invece gli hacker, è il campo ideale per implementare sistemi avanzati di monitoring e analisi.
SOD offre, per esempio, un sistema SIEM nella soluzione SOC as a Service. Tramite il SIEM vengono costantemente raccolte informazioni su quello che succede nella rete. Queste informazioni vengono poi arricchite con metadati contestuali per uniformarle e gestirle al meglio. Già questo è in grado di far scattare allarmi se alcuni eventi sospetti si verificassero. Ma se questo non bastasse, il SOC dispone anche di uno strumento di “User and Entity Behavior Analysis” (UEBA) che analizza il comportamento degli utenti e grazie all’interazione di una IA riesce a individuare comportamenti sospetti.
Se vuoi saperne di più riguardo al servizio SOC offerto, o se hai delle domande su come SOD può aiutarti a mantenere la tua azienda al sicuro, non esitare a contattarci. Saremo lieti di rispondere a ogni dubbio.
Link utili:
Link utili:
Condividi
RSS
Piu’ articoli…
- Introduzione a Lockbit e all’IOC (Indicator of Compromise)
- Comprendere gli approcci di Penetration Testing: Gray Box, Black Box e White Box
- SOC esterno
- Cos’è il Ghost Broking e come la Cyber Threat Intelligence può aiutare a prevenirlo
- EDR (Endpoint Detection and Response)
- Unificare la piattaforma per la threat detection
- L’importanza del monitoring ICT
- I benefici SOAR: semplificare indagine e risposta
Categorie …
- Backup as a Service (24)
- Acronis Cloud Backup (18)
- Veeam Cloud Connect (3)
- Cloud CRM (1)
- Cloud Server/VPS (23)
- Conferenza Cloud (4)
- Log Management (2)
- Monitoraggio ICT (4)
- Novita' (15)
- ownCloud (7)
- Privacy (8)
- Secure Online Desktop (14)
- Security (163)
- Cyber Threat Intelligence (CTI) (6)
- Ethical Phishing (8)
- Penetration Test (6)
- SOCaaS (52)
- Vulnerabilita' (83)
- Web Hosting (15)
Tags
CSIRT
- La Settimana Cibernetica del 19 marzo 2023 Marzo 20, 2023Scarica il riepilogo delle notizie pubblicate dallo CSIRT Italia dal 13 al 19 marzo 2023.
- Rilevate vulnerabilità nei modem Samsung Exynos
(AL01/230317/CSIRT-ITA) Marzo 17, 2023Ricercatori di sicurezza hanno rilevato 18 vulnerabilità 0-day, di cui 4 con gravità “critica”, nei modem Exynos prodotti da Samsung Semiconductor e utilizzati in smartphone, wearable e autoveicoli. Le vulnerabilità critiche, sfruttabili attraverso le funzionalità Wi-Fi calling e Voice-over-LTE (VoLTE), permettono l’esecuzione di codice da remoto sui dispositivi senza alcuna interazione da parte dell'utente.
- Rilevato sfruttamento in rete della CVE-2023-23397 in Microsoft Outlook
(BL01/230317/CSIRT-ITA) Marzo 17, 2023Rilevato lo sfruttamento attivo in rete della vulnerabilità 0-day identificata tramite la CVE-2023-23397 – già sanata dal vendor nel Patch Tuesday di marzo – presente nel noto client di posta elettronica Microsoft Outlook.
- Aggiornamenti DRUPAL
(AL01/230316/CSIRT-ITA) Marzo 16, 2023Aggiornamenti di sicurezza risolvono 3 vulnerabilità in Drupal Core.
- Vulnerabilità Zoom
(AL04/230315/CSIRT-ITA) Marzo 15, 2023Rilevate alcune vulnerabilità con gravità “alta” nel noto software di videoconferenza Zoom.
- Aggiornamenti di sicurezza per prodotti Mozilla
(AL03/230315/CSIRT-ITA) - Aggiornamento Marzo 15, 2023Mozilla ha rilasciato aggiornamenti di sicurezza per sanare molteplici vulnerabilità, di cui 7 con gravità “alta”, nei prodotti Firefox, Firefox ESR e Thunderbird.
- Adobe rilascia aggiornamenti per sanare diverse vulnerabilità
(AL02/230315/CSIRT-ITA) - Aggiornamento Marzo 15, 2023Adobe ha rilasciato aggiornamenti di sicurezza per risolvere vulnerabilità nei prodotti Commerce, Illustrator, Dimension, Creative Cloud, Substance 3D Stager, Photoshop e ColdFusion.
- Aggiornamenti Mensili Microsoft
(AL01/230315/CSIRT-ITA) Marzo 15, 2023Microsoft ha rilasciato gli aggiornamenti di sicurezza mensili che risolvono un totale di 80 nuove vulnerabilità, 2 di tipo 0-day.
- Aggiornamenti per prodotti Siemens
(AL03/230314/CSIRT-ITA) Marzo 14, 2023Siemens ha rilasciato aggiornamenti di sicurezza per correggere molteplici vulnerabilità nei propri prodotti, di cui 4 con gravità "critica".
- Vulnerabilità in prodotti Schneider Electric
(AL02/230314/CSIRT-ITA) Marzo 14, 2023Sanate nuove vulnerabilità presenti in alcuni prodotti – anche SCADA – di Schneider Electric, di cui una con gravità “critica”
Dark Reading
- How CISOs Can Work With the CFO to Get the Best Security Budget Marzo 17, 2023CISOs can and should push back when they're presented with budget costs that affect the business. Here's how.
- Microsoft Azure Warns on Killnet's Growing DDoS Onslaught Against Healthcare Marzo 17, 2023DDoS cyberattack campaigns from the pro-Russian group have spiked significantly.
- Prancer Announces Integration With ChatGPT for Enhanced Security Assessments Marzo 17, 2023
- Microsoft Outlook Vulnerability Could Be 2023's 'It' Bug Marzo 17, 2023Snowballing PoC exploits for CVE-2023-23397 and a massive attack surface means almost business user could be a victim.
- Technology Firms Delivering Much-Sought Encryption-in-Use Marzo 17, 2023If the approaches stand up to scrutiny, companies may soon be able to encrypt most databases in a way that allows using data without needing to decrypt to plaintext.
- Low-Budget 'Winter Vivern' APT Awakens After 2-Year Hibernation Marzo 17, 2023The "underreported" APT has returned to focus after attacks promoting Russian and Belarusian government interests and going after targets with humor, zest, and scrappiness.
- The Ethics of Network and Security Monitoring Marzo 17, 2023The chances of getting hacked are no longer low. Companies need to rethink their data collection and monitoring strategies to protect employee privacy and corporate integrity.
- Meta Proposes Revamped Approach to Online Kill Chain Frameworks Marzo 17, 2023A more holistic model beyond MITRE et al is needed to help defenders better identify and understand commonalities in different online threat campaigns, the Facebook parent company says.
- Leveraging Behavioral Analysis to Catch Living-Off-the-Land Attacks Marzo 16, 2023Attackers are increasingly staying under the radar by using your own tools against you. Only behavioral AI can catch these stealthy attacks.
- $3B Crypto-Mixer Money Laundering Operation Seized by Cops Marzo 16, 2023The 'ChipMixer' cryptocurrency service for cybercriminals was shut down by law enforcement, and its alleged operator has been charged.
Full Disclosure
- Defense in depth -- the Microsoft way (part 83): instead to fix even their most stupid mistaskes, they spill barrels of snakeoil to cover them (or just leave them as-is) Marzo 17, 2023Posted by Stefan Kanthak on Mar 16Hi @ll, with Windows 2000, Microsoft virtualised the [HKEY_CLASSES_ROOT] registry branch: what was just an alias for [HKEY_LOCAL_MACHINE\SOFTWARE\Classes] before became the overlay of [HKEY_LOCAL_MACHINE\SOFTWARE\Classes] and [HKEY_CURRENT_USER\Software\Classes] with the latter having precedence: Note: while [HKEY_LOCAL_MACHINE\SOFTWARE\Classes] is writable only by...
- [CFP] Security BSides Ljubljana 0x7E7 | June 16, 2023 Marzo 17, 2023Posted by Andraz Sraka on Mar 16MMMMMMMMMMMMMMMMNmddmNMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMM MMN..-..--+MMNy:...-.-/yNMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMM MMy..ymd-.:Mm::-:osyo-..-mMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMM MM:..---.:dM/..+NNyyMN/..:MMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMM Mm../dds.-oy.-.dMh--mMds++MMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMMM My:::::/ydMmo..-hMMMmo//omMs/+Mm+++++shNMN+//+//+oMNy+///ohM MMMs//yMNo+hMh---m:-:hy+sMN..+Mo..os+.-:Ny--ossssdN-.:yyo+mM...
- Full Disclosure - Fastly Marzo 12, 2023Posted by Andrey Stoykov on Mar 11Correspondence from Fastly declined to comment regarding new discovered vulnerabilities within their website. Poor practices regarding password changes. 1. Reset user password 2. Access link sent 3. Temporary password sent plaintext // HTTP POST request POST /user/mwebsec%40gmail.com/password/request_reset HTTP/2 Host: api.fastly.com User-Agent: Mozilla/5.0 (Windows NT 10.0; Win64; x64; rv:108.0) Gecko/20100101 […]
- Full Disclosure - Shopify Application Marzo 12, 2023Posted by Andrey Stoykov on Mar 11Correspondence from Shopify declined to comment regarding new discovered vulnerabilities within their website. Although 'frontend' vulnerabilities are considered out of scope, person/tester foundhimself a beefy bugbounty from the same page that has been listed below, including similar functionality that has not been tested yet. Two emails and several reports, […]
- [CVE-2023-25355/25356] No fix available - vulnerabilities in CoreDial sipXcom sipXopenfire Marzo 7, 2023Posted by Systems Research Group via Fulldisclosure on Mar 06
- SEC Consult SA-20230306-0 :: Multiple Vulnerabilities in Arris DG3450 Cable Gateway Marzo 7, 2023Posted by SEC Consult Vulnerability Lab, Research via Fulldisclosure on Mar 06SEC Consult Vulnerability Lab Security Advisory < 20230306-0 > ======================================================================= title: Multiple Vulnerabilities product: Arris DG3450 Cable Gateway vulnerable version: AR01.02.056.18_041520_711.NCS.10 fixed version: - CVE number: CVE-2023-27571, CVE-2023-27572 impact: medium homepage: https://www.commscope.com...
- OpenBSD overflow Marzo 7, 2023Posted by Erg Noor on Mar 06Hi, Fun OpenBSD bug. ip_dooptions() will allow IPOPT_SSRR with optlen = 2. save_rte() will set isr_nhops to very large value, which will cause overflow in next ip_srcroute() call. More info is here https://github.com/fuzzingrf/openbsd_tcpip_overflow/ -erg
- SEC Consult SA-20230228-0 :: OS Command Injectionin Barracuda CloudGen WAN Marzo 3, 2023Posted by SEC Consult Vulnerability Lab, Research via Fulldisclosure on Mar 02SEC Consult Vulnerability Lab Security Advisory < 20230228-0 > ======================================================================= title: OS Command Injection product: Barracuda CloudGen WAN vulnerable version: < v8.* hotfix 1089 fixed version: v8.* with hotfix webui-sdwan-1089-8.3.1-174141891 or above version 9.0.0 or above CVE number: CVE-2023-26213...
- SRP on Windows 11 Marzo 3, 2023Posted by Andy Ful on Mar 02The correction to: Full Disclosure: Defense in depth -- the Microsoft way (part 82): INVALID/BOGUS AppLocker rules disable SAFER on Windows 11 22H2 (seclists.org) The Kanthak correction to restore SRP functionality on Windows 11 ver. 22H2, works only when Smart App Control is OFF. If it is in Evaluate […]
- NetBSD overflow Marzo 3, 2023Posted by Erg Noor on Mar 02Hi, Trivial overflow in hfslib_reada_node_offset, while loop has no range checks. |size_t hfslib_reada_node_offsets(void* in_bytes, uint16_t* out_offset_array) { void* ptr; if (in_bytes == NULL || out_offset_array == NULL) return 0; ptr = in_bytes; out_offset_array--; do { out_offset_array++; *out_offset_array = be16tohp(&ptr); } while (*out_offset_array != (uint16_t)14); return ((uint8_t*)ptr - (uint8_t*)in_bytes); }| […]
Customers
Twitter FEED
Recent activity
-
SecureOnlineDesktop
Estimated reading time: 6 minutes L'impatto crescente delle minacce informatiche, su sistemi operativi privati op… https://t.co/FimxTS4o9G
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The growing impact of cyber threats, on private or corporate operating systems… https://t.co/y6G6RYA9n1
-
SecureOnlineDesktop
Tempo di lettura stimato: 6 minuti Today we are talking about the CTI update of our services. Data security is… https://t.co/YAZkn7iFqa
-
SecureOnlineDesktop
Estimated reading time: 6 minutes Il tema della sicurezza delle informazioni è di grande attualità in questo peri… https://t.co/tfve5Kzr09
-
SecureOnlineDesktop
Estimated reading time: 6 minutes The issue of information security is very topical in this historical period ch… https://t.co/TP8gvdRcrF
Newsletter
Prodotti e Soluzioni
Collaborazioni
Modelli Cloud
News
- Introduzione a Lockbit e all’IOC (Indicator of Compromise) Febbraio 6, 2023
- Comprendere gli approcci di Penetration Testing: Gray Box, Black Box e White Box Gennaio 30, 2023
- SOC esterno Gennaio 26, 2023
- Cos’è il Ghost Broking e come la Cyber Threat Intelligence può aiutare a prevenirlo Gennaio 23, 2023
- EDR (Endpoint Detection and Response) Gennaio 5, 2023
Recensioni Google
Contatti
Copyright © 2011 Secure Online Desktop s.r.l. All Rights Reserved.
VAT: 07485920966 “Cloud Computing services - Software cloud - Cloud server - VPS” Terms of ServicePrivacy Policy
ISO Certifications