Symantec ha annunciato la pubblicazione di MessageLabs Intelligence Report di marzo 2010.
Un’analisi delle origini degli attacchi mirati, che includono un numero limitato di e-mail infette finalizzate ad ottenere accesso a dati aziendali sensibili, ha rivelato che, rispetto al luogo in cui si trovano i server di posta elettronica, questo mese la maggior parte del malware mirato a un gruppo specifico di destinatari ha avuto origine negli Stati Uniti (36,6%).
Tuttavia, se si guarda al luogo in cui è situato il mittente, si scopre invece che la maggior parte degli attacchi mirati sono nati in Cina (28,2%), Romania (21,1%) e Stati Uniti (13,8%).
“Se si considera la reale postazione del mittente, e non quella del server di posta, emerge che in verità dagli Stati Uniti sono partiti meno attacchi di quanto non possa sembrare inizialmente”, ha dichiarato Paul Wood, Intelligence Senior Analyst di MessageLabs.
“Gran parte dello spam mirato è distribuito da account di posta elettronica legittimi situati negli Stati Uniti e, pertanto, l’indirizzo IP del server che spedisce le e-mail non rappresenta un indicatore utile sulla vera origine dell’attacco. L’analisi dell’indirizzo IP del mittente, al contrario, permette di individuare la vera origine di questi attacchi”.
Ulteriori analisi su questo tipo di spam mostrano come i 5 ruoli aziendali maggiormente colpiti siano quelli di Director, Senior Official, Vice President, Manager ed Executive Director e che i destinatari del malware più mirato si occupano di commercio estero e difesa, soprattutto in relazione ai Paesi asiatici.
Se i tipi di file più comunemente usati come allegato alle e-mail infette sono stati file .xls e .doc, quelli più pericolosi sono risultati essere i file compressi .rar. I file .xls e .doc rappresentano il 15,4% degli allegati inviati a marzo e i quattro tipi di file più comuni (.xls, .doc, .zip e .pdf) rappresentano nell’insieme il 50% del totale degli allegati.
Questo mese, il numero di file criptati .rar infetti è stato di circa 1 allegato su 312 (0,32%): benché si tratti di un tipo di file relativamente insolito, il 96,8% delle volte in cui è allegato a un’e-mail risulta essere infetto.
“In confronto, i file .rar non criptati sono sfruttati raramente e si trovano solo nell’1,1% delle e-mail”, ha dichiarato Wood. “Benchè siano più comuni dei file .rar criptati, è molto meno probabile trovarli allegati a e-mail malevole”.
Il tipo di file con estensione .exe è quello che crea più probabilmente il sospetto di avere scopi malevoli se allegato ad e-mail. Tuttavia, nel mese di marzo i file eseguibili hanno rappresentato il 6,7% dei file allegati a e-mail e sono risultati compromessi il 15% delle volte. Nonostante un gran numero di e-mail infette utilizzino come allegati file dalle estensioni più comuni (.xls, .doc, .zip e .pdf), questi appaiono più spesso allegati a e-mail sicure.
Infine, a marzo MessageLabs Intelligence ha rilevato come la rete bot Rustock abbia distribuito una quantità di spam relativamente superiore al solito servendosi del protocollo TLS (Transport Layer Security). Approssimativamente, nel mese di marzo il 77% dello spam inviato dalla rete bot Rustock ha utilizzato connessioni TLS.
L’incremento medio di traffico in entrata e in uscita dovuto all’utilizzo del TLS richiede un overhead di circa 1 kilobyte. Mentre molte e-mail di spam hanno spesso dimensioni inferiori. A marzo lo spam che ha sfruttato il protocollo TLS ha rappresentato circa il 20% dello totale, con un picco del 35% il 10 marzo.
“Il protocollo TLS rappresenta un metodo molto usato per inviare e-mail attraverso un canale criptato”, ha spiegato Wood. “Tuttavia, esso utilizza molte più risorse del server ed è molto più lento rispetto all’invio di e-mail contenenti testo semplice, oltre a richiedere traffico sia in entrata che in uscita.
Quest’ultimo, in particolare, spesso eccede le dimensioni del messaggio stesso e può aumentare in modo significativo il carico di lavoro sui server di posta elettronica aziendali”.
Altri risultati importanti:
Spam: a marzo 2010, la percentuale globale di spam distribuito via e-mail da fonti pericolose, nuove o precedentemente sconosciute, è stato pari al 90,7 % (1 e-mail su 1,10), registrando un incremento di 1,5 punti percentuali rispetto a febbraio.
Virus: a marzo, la proporzione globale di virus diffusi via posta elettronica nel traffico e-mail da fonti pericolose – nuove o precedentemente sconosciute – è stato di 1 e-mail su 358,3 (0,28%): dato che riflette un decremento dello 0,05% rispetto al mese precedente. A marzo, il 16,8% del malware veicolato tramite e-mail conteneva link a siti pericolosi, con una diminuzione di 13,7% punti percentuali rispetto a febbraio.
Phishing: a marzo, l’attività di phishing è stata pari a 1 e-mail ogni 513,7 (0,19%), con un decremento dello 0,04% rispetto al mese precedente. Valutato come parte delle minacce veicolate tramite e-mail quali virus e trojan, il numero di e-mail di phishing è aumentato dell’8,4%, andando a costituire il 64,6% di tutte le minacce di malware veicolate tramite e-mail.
Web security: l’analisi della sicurezza web indica che il 14,9% del malware intercettato in rete è stato creato nel mese di marzo, con un aumento dell’1,6% rispetto al mese precedente. MessageLabs Intelligence ha anche identificato una media di 1,919 nuovi siti web al giorno ospitanti malware e altri programmi pericolosi come spyware e adware, per un decremento pari al 61,6% rispetto al mese di febbraio.
Tendenze per zona geografica:
• Con il 95,7% delle e-mail totali distribuite a marzo, l’Ungheria conquista il primato di Paese più colpito da attacchi di spam.
• Gli Stati Uniti e il Canada hanno registrato livelli di spam rispettivamente pari al 91,1% e all’89,5%, mentre in Gran Bretagna gli attacchi sono scesi all’90,1%.
• In Olanda, Australia e Germania i livelli di spam hanno raggiunto rispettivamente il 93%, 90,1% e 91,3%.
• A Hong Kong i livelli di spam hanno raggiunto il 92%, mentre in Giappone si sono attestati sull’87,5%.
• L’attività di virus a Taiwan ha visto 1 e-mail infetta ogni 90,9, rendendolo il Paese più colpito nel mese di marzo.
• Negli Stati Uniti e in Canada si registrano attacchi di virus pari rispettivamente a 1 e-mail ogni 551,4 e 492,8. In Germania, Olanda e Australia, invece, questi si attestano rispettivamente su 1 e-mail ogni 462, 834,7 e 351,6, mentre a Hong Kong e a Singapore si sono registrati attacchi pari a 1 e-mail su 1063,3 e 504,1.
• La Gran Bretagna è risultata essere il Paese più attivo per quanto riguarda gli attacchi di phishing, con 1 e-mail infetta 254,8.
Trend per settore:
• A marzo, il settore più colpito dallo spam è stato quello ingegneristico, con una percentuale del 94,7%.
• I livelli del fenomeno hanno raggiunto, invece, il 91,9% nel settore della scuola, il 91,1% nel settore chimico e farmaceutico, il 91,6% in quello dei servizi IT, il 91,8% nel retail, l’89,1% nella pubblica amministrazione e l’89,5% in quello finanziario.
• A marzo, il settore della pubblica amministrazione rimane il settore più colpito da attacchi di malware, con 1 e-mail infetta ogni 77,1.
• I livelli di virus sono stati pari a 1 e-mail su 642,9 nel settore chimico e farmaceutico, 1 su 510,9 in quello dei servizi IT, 1 su 728,6 nel retail, 1 su 189 nel settore della scuola e 1 su 301,8 nel finanziario.
L’edizione integrale del MessageLabs Intelligence Report di marzo 2010 offre un’analisi ancora più dettagliata delle tendenze e dei valori sopra riportati unitamente a ulteriori informazioni sulle tendenze per settore e per zona geografica. Lo studio completo è consultabile all’indirizzo http://www.messagelabs.com/intelligence.aspx.
Symantec MessageLabs Intelligence è una fonte di informazioni e di analisi di problematiche, tendenze e statistiche inerenti la sicurezza della messaggistica. MessageLabs Intelligence esamina in tempo reale i dati provenienti dai propri datacenter situati in tutto il mondo e preposti alla scansione di miliardi di messaggi ogni giorno.
