Italian
Chinese (Simplified)
English
French
German
Greek
Hebrew
Japanese
Portuguese
Russian
SpanishRansomware: il lato oscuro della Crittografia - "wannacry" il virus che tiene in scacco mezzo mondo
È notizia di queste ultime ore che un nuovo ransomware, “wannacry”, si sia diffuso molto rapidamente in tutto il mondo, infettando decine di migliaia di computer.
Diciamolo subito: il ransomware “wannacry” attacca solo i sistemi basati su Microsoft Windows e non i sistemi Linux, FreeBSD, OSX, ecc.
Un ransomware è un software che viene installato nel computer dell’utente e che, una volta in esecuzione, cripta i documenti che trova: foto, video, documenti pdf, fatture, atti, ecc.
Le estensioni principali dei file colpiti dal ransomware sono le seguenti:
- ufficio (.ppt, .doc, .docx, .xlsx, .sxi, .odt)
- archivi (.zip, .rar, .tar, .bz2, .mp4, .mkv)
- email ed archivi di mail (.eml, .msg, .ost, .pst, .edb)
- file di database (.sql, .accdb, .mdb, .dbf, .odb, .myd)
- codice sorgente (.php, .java, .cpp, .pas, .asm)
- chiavi crittografiche di cifratura e firma digitale (.key, .pfx, .pem, .p12, .csr, .gpg, .aes)
- file master grafici (.vsd, .odg, .raw, .nef, .svg, .psd)
- macchine virtuali (.vmx, .vmdk, .vdi)
Come si evince il target è estremamente ampio.
Il computer diventa vittima dell’infezione aprendo, ad esempio, file infetti che si sono ricevuti via mail o anche navigando su siti web in grado di iniettare il malware.
Il ransomware “wannacry” utilizza un exploit (una grave falla di sicurezza) di Microsoft Windows, chiamata in codice “EternalBlue”.
“EternalBlue” consente l’esecuzione remota di codice utilizzando una vulnerabilità del servizio SMBv2 (Server Message Block), un protocollo di rete usato per la condivisione in rete e per implementare comunicazioni autenticate tra diversi processi, dando garanzia dell’autenticità degli attori della comunicazione.
Così come certificato dall’ “Official website of the Department of Homeland Security” in data 16 marzo 2017, la Microsoft ha rilasciato un aggiornamento di sicurezza il 14 marzo per risolvere questa vulnerabilità.
US-CERT: https://www.us-cert.gov/ncas/current-activity/2017/03/16/Microsoft-SMBv1-Vulnerability
Microsoft: https://technet.microsoft.com/library/security/MS17-010
I sistemi a rischio sono quindi, potenzialmente, tutti quelli su sistema operativo Windows non aggiornati alla data di marzo 2017 con il critical update 4013389.
Occorre rilevare che il rischio che si è poi concretizzato con il ransomware “wannacry” non è inaspettato poiché già il 16 gennaio 2017 la US-CERT forniva delle best practices da implementare, come la chiusura di alcune porte TCP-IP utilizzate dal protocollo SMBv1.
https://www.us-cert.gov/ncas/current-activity/2017/01/16/SMB-Security-Best-Practices
La Microsoft descrive inoltre la procedura per la disattivazione di SMBv1 su Windows in un articolo datato febbraio 2017, un mese dopo la comunicazione della US-CERT sulle best practices ed un mese prima del rilascio del critical update 4013389.
Azione preventiva è chiudere le porte 135 e 445 del protocollo TCP digitando al prompt (se il servizio firewall è in esecuzione…):
netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=135 name="Block_TCP-135" netsh advfirewall firewall add rule dir=in action=block protocol=TCP localport=445 name="Block_TCP-445"
L’algoritmo crittografico utilizzato da “wannacry” è a chiave pubblica, RSA4096, quindi con chiave da 4096 bit non attaccabile, in tempi ragionevoli, tramite “brute force” - un attacco dove vengono testate tutte le possibili combinazioni in un insieme di cardinalità definito dal numero in bit della chiave.
Per una descrizione dell'algorimo RSA vedere le slide ed il video di Mario Rossano "Crittografia, da Cesare ai quanti" tenuto durante i Workshop@UniNA 2014
https://netlogica.it/blog/45-workshop-unina-crittografia-da-cesare-ai-quanti
Lo scopo dei cybercriminali è quello di ottenere un riscatto in cambio della fornitura, alla vittima, della chiave di decifratura, in modo da permettergli di recuperare i propri documenti.
La Crittografia, solitamente utilizzata per proteggere documenti e comunicazioni da osservatori indiscreti, diventa così un’arma rivolta contro di noi, rendendoci non più accessibili i nostri dati personali o aziendali.
Al momento, fonte Kaspersky Lab, tramite “wannacry” vi sono stati oltre 45000 attacchi in 74 nazioni.
Come sempre avviene nel settore della cybersecurity, l’azione migliore da fare è quella preventiva e non a posteriori quando i danni, ormai, ci sono già stati.
Una breve nota: devo rilevare un difetto di precisione riportato dall’AGI che indica come oggetto dell’attacco “pc con sistemi operativi così vecchi da non essere più aggiornati dalle case di produzione (XP)”.
Falso, poiché sono oggetto dell’attacco anche i sistemi Windows10. La frase sembrerebbe quindi rassicurare gli utenti con Windows7 oppure 8 mentre invece questi sistemi operativi sono potenzialmente soggetti all'attacco.
L'AGI indica inoltre, nello stesso articolo, che per difendersi occcorre installare la “patch MS 17-010, rilasciata da Microsoft il 17 marzo, e quella del 9 maggio”, patch non installabile sui sistemi Windows XP poiché il supporto ufficiale a questa versione di Windows si è conclusa ad aprile 2014.
Tuttavia la situazione è talmente allarmante che Microsoft ha appena rilasciato (13 maggio 2017) un aggiornamento di sicurezza per Windows XP del tutto straordinario e che mette al sicuro da "wannacry".
La patch per Windows XP è scaricabile QUI
COSA FARE
Contro i ransomware, ma non solo, la regola è sempre una: prevenire.
Occorre prevedere scenari dettagliati di disaster recovery che, nel caso dei ransomware come l’ultimo “wannacry” (e non sarà l'ultimo), devono passare necessariamente per sistemi di backup automatici e verificati.
- Backup automatici in modo da bypassare l’invervento umano ed avere certezza nella schedulazione del processo.
- Backup verificati poiché un backup non esiste se non si è verificata la correttezza della procedura di restore ivi compresa l’integrità dei singoli file.
- I backup automatici e verificati dovranno poi essere salvati in ambienti scissi da quello di produzione e, possibilmente, dislocati geograficamente.
L’intervallo di tempo tra due backup successivi deve essere valutato caso per caso e deve comprendere i documenti, i database fino alle macchine virtuali eventualmente presenti.
Il monitoring, costante ed automatico, è inoltre un “occhio aperto” su cosa avviene sui files - ad esempio dei nostri server - ed è una conditio sine qua non di ogni sistema di cybersecurity.
A tal proposito Netlogica, già da dicembre del 2016, ha iniziato lo sviluppo, tuttora in corso, del software netShield:
https://netlogica.it/blog/59-netlogica-rilascia-netshield-ver-0-3
NetShield verifica i files in modo da rilevare immediatamente modifiche non autorizzate, portate ad esempio dal ransomware di turno, così da ripristinare la versione non infetta.
Azioni di buona norma da intraprendere immediatamente, soprattutto da parte degli utenti Windows, sono:
- Aggiornare Microsoft Windows
- Aggiornare il software antivirus
- Effettuare il backup di tutti i dati su unità esterna e non connessa alla LAN
- Evitare di aprire allegati mail senza preventiva scansione antivirus e da mittenti sconosciuti
- Disabilitare il protocollo SMB 1.0 come indicato in precedenza in questo articolo.
- Disconnettere dalla rete locale eventuali computer infetti ad evitare la propagazione dell'infezione.
La sicurezza informatica è un complesso di processi e buone abitudini che non possono essere demandate esclusivamente ai robot software e su questo occorre investire.
Chi ha aggiornato regolarmente il suo sistema e a maggior ragione chi ha investito in sistemi di backup non ha nulla da temere dal più pericoloso cryptolocker mai visto.
Sento spesso nel mio lavoro che la sicurezza è una spesa non presente nel budget: affermazione questa molto grave poiché la sicurezza dovrebbe essere vista come un investimento, tuttavia ci si rende conto di questo solo quando ormai è troppo tardi.
Come rilevavo in un mio breve intervento del 2012 sul blog Netlogica: “Sicurezza e Crittografia, si ma… in Italia?”, gli investimenti in questo campo non ci sono o non sono sufficienti e soprattutto se ci sono sono tardivi (ma meglio tardi che mai!).
https://netlogica.it/blog/26-sicurezza-e-crittografia-si-ma-in-italia
Nel 2016 oltre un terzo delle aziende ha subito violazioni di tipo informatico, con il danno accessorio di perdita di clienti e mancate entrate anche nell’ordine del 20%, così come riportato dal Cybersecurity Report 2017 di Cisco.
http://www.cisco.com/c/dam/m/digital/1198689/Cisco_2017_ACR_PDF.pdf
In sintesi, il 23% delle società ha subito perdite di opportunità di sviluppo, il 29% ha perso fatturato ed il 22% ha anche perso clienti.
Di seguito le best practices da seguire, indicate dall’Italian Cybersecurity Report 2016 ad opera del CINI e del CNR.
https://netlogica.it/blog/63-italian-cybersecurity-report-2016
Un paradigma della sicurezza informatica è quello della catena in cui l’anello debole determina la resistenza del tutto.
La sicurezza deve essere innanzitutto uno stile di vita, al pari di una dieta equilibrata e sana attività fisica, occorre seguire buone norme ma queste norme devono essere parte integrante della cultura informatica di base di ogni individuo, soggetto economico e istituzionale per comprendere, intimamente, che investimenti – e non spese – sono necessari quanto prima.
Come si diceva in un vecchio spot pubblicitario: "prevenire è meglio che curare" e questo, in materia di ransomware, è l'unica cosa davvero utile da fare (in tempo però).
Mario Rossano, CTO Netlogica
N.B. Questo articolo sarà aggiornato non appena sarà reso disponibile il tool per la decifratura dei files criptati dal ransomware “wannacry”.
081 011 85 17