Come è ormai tradizione, specialmente in occasione di attacchi di alto impatto come quello che stiamo osservando da venerdì scorso, denominato #WannaCry (anche detto #WannaCrypt #WannaCryptor #Wcry …), sento l’opportunità di potervi aiutare ad orientarvi rispetto alle risorse più significative di approfondimento, e parallellamente la necessità di aiutare a fare chiarezza su potenziali rischi di disinformazione.
Alcune mie personali risposte a domande frequenti che spero aiutino a fare chiarezza:
Perché questa campagna ransomware ha avuto questo impatto globale? In che cosa è diversa dalle precedenti?
La pericolosità di questa minaccia risiede nell’aver combinato in un solo attacco 2 tipologie di malware: un codice di tipo ransomware encryption che agisce in modo classico nel cifrare i file del PC della vittima e chiedere il riscatto relativo, ed un codice di tipo worm che ha la capacità di propagarsi automaticamente all’interno di una rete (tipicamente aziendale) permettendo al primo codice di essere copiato e quindi infettare tutti i PC che riesce a contattare se vulnerabili rispetto alla vulnerabilità di rete utilizzata (nel caso specifico è la già citata “EternalBlue” CVE-2017-0145 ). Un modo ingegnoso di amplificare l’infezione da ransomware che fino ad ora dipendeva solamente dall’adescamento degli utenti tramite email di phishing con allegati o link pericolosi. In virtù di tale meccanismo combinato è bastato che un solo dipendente sia rimasto vittima dell’apertura di allegato infetto, per scatenare la propagazione all’interno della propria azienda, con impatto tanto più elevato quanti più sistemi accesi e vulnerabili (=non aggiornati rispetto alle patch MS17-010 rese disponibili lo scorso marzo, o non aggiornabili perché così obsoleti da essere fuori supporto) fossero raggiungibili dal meccanismo casuale di replicazione del worm.
Qual’è stato il vettore di attacco primario?
Credo sia molto probabile che sia stata la modalità tradizionale di email di phishing inviate a pioggia in tutto il mondo, con allegato PDF infetto da ransomware, anche se non è stata ancora data evidenza di quale siano state le email utilizzate per adescare i primi utenti.
Si può immaginare un attacco internazionale organizzato e mirato verso le aziende che sono state maggiormente colpite?
Anche se lo chiariranno le indagini che si stanno attivando a tale scopo, personalmente non lo credo proprio: appare solo un meccanismo ingegnoso per aumentare l’infezione da ransomware che ha potuto purtroppo avere un impatto significativo nelle realtà aziendali dotate di sistemi obsoleti e/o con processi non efficienti (o addirittura assenti) di aggiornamento dei sistemi.
Sono più a rischio gli utenti finali o le aziende?
Gli utenti finali sono tipicamente solo esposti alla minaccia di essere adescati dalla email di phishing se decidono di aprire l’allegato pericoloso o seguono un link pericoloso, perché le connessioni da casa non dovrebbero permettere ai PC di essere contattati da Internet sui protocolli SMB usati per l’attacco di replica. Per le aziende vale invece quanto indicato alla domanda 1, con una situazione che le rende molto più esposte al rischio di essere compromesse in modo massivo, a causa della propagazione interna del worm dopo la prima infezione, sempre che vi siano sistemi vulnerabili accesi.
E’ vero che Windows 10 è immune a questo attacco? Per quale motivo lo è?
Il codice utilizzato dalla parte worm della variante osservata in questi primi giorni prende di mira versioni di Windows precedenti perchè probabilmente sfrutta exploit già collaudati ed efficaci sulle versioni più datate di Windows, che è anche più probabile non siano state adeguatamente aggiornate, come si è dimostrato vero. Inoltre Windows 10 è strutturalmente più robusto e ha trasformato la modalità di aggiornamento verso gli utenti finali rendendo obbligatoria l’installazione delle patch di sicurezza quando rilasciate il secondo martedì di ogni mese. Alla luce di quanto avvenuto credo si riesca a capire meglio il senso del modello di Windows as a Service come approccio che possa contribure a migliorare il livello generale di sicurezza dell’ecosistema globale: le patch di sicurezza vanno installate non appena disponibili e solo l’innovazione costante può garantire un efficace contrasto all’altrettando rapida evoluzione delle minacce.
L’attacco è ancora in corso? In che senso si parla di attacco bloccato dal ricercatore MalwareTech?
Personalmente la presenza di questa funzionalità del malware che è stata usata come “kill switch” è l’aspetto che mi ha sorpreso di più: vi segnalo l’articolo che credo abbia colto il senso esatto di quanto sia successo, una probabilmente casuale ma tanto provvidenziale registrazione del finto dominio usato per evadere i tentativi di analisi ha di fatto bloccato la propagazione della specifica variante lanciata in questi giorni. Il problema è che si ha già notizia che possano propagarsi varianti prive di tale meccanismo, quindi in ultima istanza ci si deve sempre affidare all’aggiornamento dei sistemi come metodo di protezione definitiva rispetto allo sfruttamento di questa specifica vulnerabilità.
Quali soluzioni sono disponibili per fronteggiare attacchi di questo tipo?
Vi riporto considerazioni valide in generale, ma spero non vi scandalizzi se le declino segnalandovi quelle che sono parte della nostra Microsoft Security Platform come condivisa nel mio post di inizio anno:
Alla luce di quanto indicato al punto 5, ribadisco l’importanza di aggiornare i sistemi con urgenza e di adottare appena possibile le versioni più recenti del software in uso, che per l’ambito sistemi operativi Microsoft si traduce nell’auspicata adozione di Windows 10 per i client e Windows Server 2016 per i server.
Considerando le email di phishing con allegati infetti e link pericolosi come vettore di attacco primario, la soluzione principe è quella che si propone di proteggere e rilevare attacchi 0-day che giungono proprio attraverso le email: Office 365 Advanced Threat Protection.
Le soluzioni antimalware più tradizionali si sono ovviamente mosse a valle dell’analisi e relativa produzione di firme in grado di rilevare la minaccia una volta nota, per l’ambito Microsoft questo è stato indirizzato da Windows Defender già venerdì 12.
L’attività anomala del codice worm che tenta l’automatica propagazione tramite la rete è una tipica attività rilevabile dalle moderne soluzioni di endpoint protection di tipo anti-APT: per l’ambito Microsoft questo si traduce nella soluzione di Windows Defender Advanced Threat Protection.
Le caratteristiche delle soluzioni di archiviazione documentale basate sul cloud computing possono essere d’aiuto nella possibilità di mantenere lo storico delle versioni dei file e quindi di poter recuperare la versione originale del file prima che venga cifrato dal ransomware: per Microsoft questo si traduce in OneDrive for Business come parte di Office 365.
di Feliciano Intini, Technical Specialist di Microsoft, esperto di Sicurezza e Privacy
