WannaCry ovvero “ritorno al futuro”


Il nostro universo interconnesso sta vivendo una crisi importante dovuta all’ormai sensazionalistico ransomware WannaCry, aka WannaCrypt, WanaCrypt0r o WCry, diffusosi a macchia d’olio in pochissimo tempo con modalità che richiamano alla memoria un passato non proprio recente. Matthieu Bonenfant, Chief Marketing Officer, Stormshield, condivide le sue riflessioni.

Assediate da tempo dalla minaccia del ransomware, molte organizzazioni sono riuscite a volare sotto i radar dei cybercriminali mentre altre hanno adottato misure preventive incrementando la consapevolezza degli utenti e impiegando tecnologie di nuova generazione per la propria sicurezza. Tuttavia WannaCry è parso a tutti dotato di una “nuova arma” che ne incrementa a dismisura la potenziale diffusione e il danno cagionato.  Una volta infettato un singolo sitema tramite – per esempio – l’apertura di un allegato, questo malware di nuova generazione è in grado di diffondersi automaticamente in modo del tutto trasparente senza intervento umano, replicandosi quasi istantaneamente su tutte le macchine insufficientemente protette nella rete aziendale. Ma è davvero così?

Quindi qual è la novità? In realtà nessuna, sfortunatamente.

La situazione attuale dà adito a parallelismi con un’esperienza altrettanto caotica del passato. Circa 10 anni fa il worm Conficker obbligò numerose aziende e organizzazioni a disattivare le proprie reti informatiche, chiudere temporaneamente punti di vendita, interrompere catene logistiche, persino l’areonautica militare subì blocchi operativi. Questo worm, che continuava ad assumere nuove forme, si è diffuso in un lampo e ha infettato milioni di sistemi in tutto il mondo. A quei tempi liberarsi dal worm richiese sforzi enormi in termini monetari, di energie, risorse e tempo. Alla fine di questa battaglia, le aziende colpite erano così traumatizzate da essere determinate a non rivivere mai più un’esperienza del genere. “Mai più” è diventato il mantra di un congruo numero di responsabili IT che avevano finalmente fatto esperienza dell’impatto dei rischi informatici sulle proprie attività aziendali.

Ed eccoci qui, dieci anni dopo.  Potremmo dire che è cambiato ben poco da allora, dato che la stessa ricetta ha dimostrato la stessa efficacia dieci anni dopo. Conficker e WannaCry usano lo stesso metodo di propagazione: sfruttano da remoto una vulnerabilità critica di Microsoft attraverso i servizi SMB e NetBIOS. In entrambi i casi, la patch era disponibile mesi prima che il malware fosse lanciato. Dieci anni dopo la stessa tecnica continua a creare subbuglio nelle aziende. Purtroppo non risulta esistere un grafico simile a quello del maggio 2017 prodotto dal SANS Internet Storm Center sull’uso via internet della porta SMB (TCP/445), ma anche allora gli strumenti per il monitoraggio del traffico mostravano un picco simile durante la fase di propagazione di Conficker.

Il picco di utilizzo della porta SMB (TCP/445) durante la propagazione del malware WannaCrypt (maggio 2017).

Gli strumenti che avrebbero cambiato completamente il corso della storia

La cosa più spiacevole nel caso di WannaCry è che la situazione avrebbe potuto essere facilmente evitata o quanto meno ampiamente mitigata: due mesi fa Microsoft ha rilasciato una patch di sicurezza per la vulnerabilità del servizio SMB sfruttata per la diffusione del malware. Molti esperti avevano emesso avvisi riguardo alla criticità di tale falla, riferendosi esplicitamente a Conficker.

Un mese dopo, il gruppo di hacker noti come Shadow Brokers ha persino diffuso il codice rubato alla NSA che sfruttava questa vulnerabilità. Un’informazione passata in sordina e nota ai più solo ora che l’attacco è in corso è oggetto dell’interesse dei media.

Le aziende e le organizzazioni hanno avuto un ampio lasso di tempo per applicare la patch o la soluzione che avrebbe relegato WannaCry al rango di “semplice” ransomware, come tutti quelli con cui noi, quale produttore di soluzioni per la sicurezza IT, ci confrontiamo quotidianamente.

Oltre ad applicare tempestivamente le patch di sicurezza, tecnologie come quelle presenti in Stormshield Endpoint Security basate sull’analisi comportamentale e non sulle mere signature, assicurano una risposta reale a minacce simili a WannaCry, bloccando lo sfruttamento di vulnerabilità anche qualora non siano note o prevenendo azioni malevole, come la cifratura illegittima dei file. Una soluzione che protegge egregiamente anche sistemi basati su Windows XP o Windows 2000, spesso ancora impiegati in infrastrutture critiche, che necessitano di speciali attenzioni.

Conclusioni

Come Conficker, anche WannaCry ha dimostrato che una maggiore consapevolezza dei rischi informatici, adatte misure per la mitigazione di tali rischi e un’applicazione tempestiva delle patch di sicurezza prodotte dai vendor sono sicuramente lo strumento migliore per evitare di incappare ciclicamente negli stessi problemi. Non resta che da chiedersi se “repetita juvant”.

Sarà un lunedì nero? Considerazioni sul ransomware “WannaCry”


Dopo solo tre ore dall’inizio della diffusione di massa “WannaCry” ha mietuto numerosissime vittime in 11 Paesi. Gli effetti sono stati tali da spingere le organizzazioni colpite a richiedere l’immediato spegnimento di tutti i computer. G DATA raccomanda fortemente di installare tutti gli aggiornamenti delle soluzioni antivirus e le patch fornite da Microsoft il più presto possibile.

Un fulmine a ciel sereno

Nelle prime ore del mattino (CET) di venerdì 12 maggio in tutto il mondo si è rilevata un’ondata considerevole di infezioni ad opera dell’ultima versione del ransomware WCry / WannaCry. I ricercatori non hanno ancora identificato l’origine di questo attacco violento perpetrato tramite bot net, exploit kit, mail infette e malvertizing, con l’obiettivo di distribuire il ransomware attraverso i più svariati canali.

Risulta che il meccanismo impiegato da WannaCry sia basato su codici originariamente sviluppati dalla NSA. L’exploit è chiamato ETERNALBLUE ed è parte dei file diffusi pubblicamente lo scorso mese.

In Spagna, presso l’operatore telco Telefónica, la situazione è escalata al punto che i responsabili IT hanno richiesto a tutti gli impiegati di spegnere i PC immediatamente e di chiudere tutte le connessioni VPN per evitare che il ransomware si diffondesse su ulteriori sistemi nella rete aziendale. In UK il ransomware si è diffuso in diversi ospedali, forzando lo staff ad utilizzare la documentazione cartacea di back-up per garantire quanto meno un servizio di base. In Germania sono stati colpiti numerosi monitor con gli orari di partenze e arrivi di diverse stazioni ferroviarie.

(Immagine: Martin Wiesner via Twitter, stazione di Neustadt)

 

Ad oggi, lunedì 15 maggio, sono oltre 11 i Paesi colpiti, il ransomware ha interessato le più diverse tipologie di organizzazioni, dalla pubblica amministrazione al settore sanitario fino al terziario.

Infezione rallentata, l’eroe accidentale di WannaCry

Secondo quanto rilevato accidentalmente dal giovane ricercatore Darien Huss, WannaCry comunica con un dominio su cui è integrato un meccanismo per la sua disattivazione. Una volta contattato il dominio, se il server risponde, il ransomware viene disattivato e non infetta il sistema. Questa rilevazione fortuita ha contribuito a rallentare la diffusione del ransomware, assicurando ai responsabili di sicurezza di numerose organizzazioni un breve sollievo, ma non è risolutiva. La disattivazione funziona infatti solo su sistemi che non hanno subito un’infezione in precedenza. Non ripulisce il sistema dal malware e non ripristina i file cifrati. Inoltre il meccanismo non funziona se le macchine da colpire si trovano dietro ad un server proxy.

Contromisure

La falla di sicurezza che ha aperto la strada all’infezione e che trova riscontro anche nel CVE è stata identificata come “critica” e oggetto di patching da parte di Microsoft già nel mese di marzo! Proprio per questo motivo gli aggiornamenti forniti dai produttori andrebbero installati tempestivamente. Inoltre, a fronte dell’ampio parco di installazioni su cui sono ancora impiegati Windows XP (anche in ambienti critici), Windows 8 e Windows Server 2003, microsoft ha rilasciato aggiornamenti di emergenza. Patch che andrebbero applicate immediatamente.

A livello globale ci si aspetta una ripresa della diffusione nel corso della giornata di oggi. Gli utenti dovrebbero prestare particolare attenzione ai messaggi che vedono sullo schermo e allertare il proprio reparto IT immediatamente qualora sullo schermo appaia una richiesta di riscatto. E’ inoltre raccomandabile prestare grande attenzione agli allegati delle email, specie se queste risultano inviate dopo giovedì 11 maggio.

I maggiori produttori di soluzioni antivirus hanno già aggiornato tempestivamente i propri sistemi. Già da venerdì scorso il ransomware WannaCry viene identificato da tutte le soluzioni G DATA come Win32.Trojan-Ransom.WannaCry.A.

Per ulteriori dettagli tecnici e aggiornamenti consultare il blog G DATA al link https://blog.gdatasoftware.com/2017/05/29751-wannacry-ransomware-campaign

Continua a leggere

“Cyber boh” – dal 12 al 13 maggio a Bologna il più grande evento per scuole e famiglie sui pericoli del web


Due giornate gratuite di conferenze, spettacoli, laboratori e tante curiosità per accompagnare le scuole e le famiglie nella rivoluzione digitale di questi anni. Frutto della collaborazione tra G DATA, Unijunior e Leo Scienza, Cyber boh è un evento dedicato a scuole e famiglie su cyberbullismo e pericoli del web

“Con Cyber boh forniamo una risposta ai numerosi interrogativi ed al generale disorientamento che si registrano intorno al tema della sicurezza in rete, dal rischio di frodi informatiche ai pericoli connessi alla condivisione dei dati e delle immagini sui social network, dall’uso di giochi online fino al fenomeno del cyberbullismo”. Così Riccardo Guidetti, presidente dell’Associazione Culturale Leo Scienza, presenta un grande evento volto a fornire strumenti di comprensione e valutazione delle potenzialità e dei rischi della rete e dei dispositivi digitali, a consigliare corrette modalità di utilizzo di tali strumenti e a indicare strategie per aumentare la sicurezza dei giovani internauti.

Patrocinata dalla Regione Emilia Romagna e dal Comune di Bologna, e ospitata nelle bellissime aule e negli spazi del Complesso Belmeloro dell’Università di Bologna, la due giorni (12 e 13 maggio) contro i rischi del web e il cyberbullismo prevede un foltissimo calendario di spettacoli a tema, conferenze interattive con i Cyberesperti di Unijunior, oltre che laboratori aperti alle scuole e al pubblico, sviluppati su misura per i nativi digitali, sempre più giovani, come ha rilevato G DATA nel corso della propria iniziativa ‘Cyberbullismo – 0 in condotta’.

Numerose le motivazioni che hanno spinto G DATA, Unijunior e Leo Scienza a lanciare “Cyber boh”, tra cui la ormai conclamata necessità di sensibilizzare e approfondire temi sensibili per i nativi digitali, per i loro genitori e insegnanti unitamente al fatto che, a livello nazionale, siano ancora troppo poche le attività di alfabetizzazione condotte con scuole e famiglie. Motivi per cui G DATA ha accolto con entusiasmo l’iniziativa di Unijunior e Leo Scienza, come conferma Giulio Vada, Country Manager di G DATA Italia e Presidente di Assintel Emilia Romagna.

“Siamo molti lieti di affiancare entrambe le organizzazioni nella divulgazione di informazioni corrette su come tutelare al meglio le attività condotte online e l’identità digitale dei più giovani” commenta Vada. “Siamo certi che il connubio tra il nostro know-how come produttore di soluzioni per la sicurezza IT e l’esperienza di Unijunior e Leo Scienza nel rapporto con gli istituti scolastici e le famiglie sia una ricetta vincente”.

“Alla sua prima edizione, Cyber boh è un’iniziativa educativa gratuita che speriamo di poter ripetere su base annuale” commenta Guidetti. “Articolato su due giorni Cyber boh è un evento di ampio respiro che vede già coinvolti numerosissimi istituti scolastici.

Oltre 700 tra allievi e insegnanti hanno già confermato la propria presenza a Cyber boh, confidiamo di poter incontrare altrettante famiglie”.

Dettagli su Cyber boh – 12/13 maggio 2017, Bologna

Il calendario completo delle due giornate è reperibile al link:

http://bit.ly/2pwiNqD

Il modulo di registrazione per istituti scolastici è reperibile qui:

http://bit.ly/2pXJZ35

Ulteriori dettagli sull’evento sono reperibili sulla pagina di facebook dedicata all’inizativa: https://www.facebook.com/events/1654039628235472/

Continua a leggere

Stormshield aderisce al Dropbox Partner Network


Stormshield, la soluzione di crittografia ottimizzata per cloud, ha annunciato oggi di aver aderito al Dropbox Partner Network, attraverso cui gli utenti beneficiano di soluzioni tecnologiche selezionate e collaudate. Grazie alle numerose e importanti integrazioni di sicurezza, Dropbox Partner Network assicura maggiore visibilità, interoperabilità e controllo sulle modalità di accesso e condivisione delle informazioni aziendali.

Parigi – La società europea di sicurezza IT Stormshield ha annunciato l’integrazione con Dropbox conseguente alla propria adesione al Dropbox Partner Network, un programma che riunisce partner e servizi selezionati che supportano i clienti Dropbox Business consentendo loro di sfruttare al meglio il proprio spazio di archiviazione su cloud e semplificare la collaborazione tra team. Con Dropbox Business, gli utenti possono condividere file e collaborare ovunque, in qualsiasi momento, avvalendosi di centinaia di soluzioni esistenti fornite da terze parti, come appunto Stormshield per la cifratura dei dati condivisi.

Stormshield Data Security

Grazie alle funzionalità di crittografia a prova di neofita che caratterizzano la soluzione Stormshield, gli oltre 200.000 clienti Dropbox Business traggono ora vantaggio dal connubio tra una delle migliori piattaforme per la collaborazione e una soluzione per la protezione dei dati affidabile che agevola la trasformazione digitale.

Inoltre, i clienti che si avvalgono Stormshield possono utilizzare le chiavi di crittografia per accedere e decriptare i propri file su Dropbox, indipendentemente dal dispositivo utilizzato. Separare lo spazio di archiviazione fisica dei dati e l’accesso crittografato ai file consentirà alle aziende di adottare più rapidamente i servizi cloud proteggendo e gestendo al meglio l’accesso ai dati aziendali.

Pierre Calais, CEO, Stormshield

“Siamo lieti di annunciare che Stormshield è entrato a far parte del Dropbox Partner Network. Ciò permetterà ai clienti in tutto il mondo di trarre vantaggio dalla tecnologia Dropbox Business e dalla sicurezza dei dati firmata Stormshield”, dichiara Pierre Calais, CEO di Stormshield.

“La missione di Dropbox è semplificare la collaborazione tra i team. Siamo entusiasti di avere Stormshield nel Dropbox Partner Network e di integrare le loro soluzioni di cifratura e protezione dati affidabile in Dropbox Business” commenta Billy Blau, Head of Technology Partnerships di Dropbox.

Continua a leggere

Android colabrodo: 8.400 nuovi malware al giorno nel primo trimestre 2017.


Il livello di rischio rimane allarmante, ma non è dovuto solo all’alacre attività dei cybercriminali.

Con una quota di mercato del 72 per cento a livello mondiale, il sistema operativo Android domina chiaramente il mercato della telefonia mobile. In Italia, circa il 69 per cento dei possessori di smartphone utilizza un dispositivo Android (Fonte: Statcounter, marzo 2017). Nel primo trimestre 2017, gli esperti dei G DATA Security Labs hanno individuato oltre 750.000 nuovi malware per Android, in media 8.400 nuove app dannose al giorno, una ogni dieci secondi.

Ancora troppo bassa la diffusione di Android 7

La vulnerabilità del sistema operativo Android, come di altri sistemi operativi, non é una novità. Molte aziende, tra cui Microsoft, Adobe o la stessa Google rilasciano con regolarità aggiornamenti di sicurezza. I proprietari di dispositivi Nexus o Pixel ricevono queste patch direttamente da Google. Purtroppo però la quota dei possessori dei “Googlefonini” è molto ridotta (nel mese di marzo 2017 in Italia oltre il 40% dei naviganti con smartphone Android impiegava dispositivi Samsung – fonte Statcounter), e attualmente, su scala globale, solo il 4.9 per cento degli utenti Android beneficia della versione 7 del sistema operativo sul proprio dispositivo, nonostante Nougat sia disponibile dal 7 agosto 2016 (status al 04.2017 Fonte: Google).

Tale enorme dilatazione dei tempi di consegna degli aggiornamenti dipende in massima parte dal fatto che quando Google rilascia una patch o una nuova versione del proprio sistema operativo, i produttori e gli operatori devono adattarla ai propri dispositivi. Il tutto richiede un’eternità e in alcuni casi tale processo non ha proprio luogo, forse perché la strategia di mercato per cui, su base annuale, sono immessi sul mercato nuovi top di gamma lascia poco spazio alla cura dei modelli precedenti (comunque ancora commercializzati poiché recenti) e della pletora di dispositivi di gamma medio-bassa. Per gli utenti ciò comporta l’esposizione a inutili rischi. Considerando l’impatto dei dispositivi mobili sulla quotidianità personale e aziendale, beneficiare di frequenti aggiornamenti di sicurezza che chiudono falle del sistema operativo è essenziale.

Come proteggersi

A differenza di Windows, per chi acquista un dispositivo sia esso uno smartphone o un tablet Android, non è sempre possibile determinare per quanto tempo e se il produttore renderà disponibili i dovuti aggiornamenti di sicurezza. Dotarsi di una soluzione completa per la protezione dei propri dati e delle proprie credenziali contro trojan come BankBot, contro malware in genere, tentativi di phishing, di dirottamento delle sessioni e di infezione drive-by è assolutamente un must. Di fronte al crescente volume e alla sofisticatezza delle minacce e al grado di obsolescenza dei sistemi operativi presenti sulla stragrande maggioranza degli smartphone e tablet Android, stare attenti non è sufficiente.

Conclusioni

Sebbene le moderne soluzioni complete per la sicurezza mobile siano in grado di tutelare gli utenti, riteniamo quanto mai opportuna una massiccia riduzione dei tempi di reazione da parte di tutti i produttori e un repentino cambio di rotta nei processi di distribuzione degli aggiornamenti di Android.

Continua a leggere

Un nuovo malware ogni 4,2 secondi: G DATA presenta il primo trimestre 2017


“Non credere ad alcuna statistica che non abbia falsificato tu stesso”, usava dire Winston Churchill. Gli esperti di sicurezza di G DATA condividono quanto rilevato nel primo trimestre 2017 rapportandone i risultati ai trend registrati nel 2016.

Nel 2016 l’azienda ha rilevato 6.834.443 nuovi ceppi di malware per workstation, pari ad un incremento del 32,9% rispetto al 2015. Un trend che non accenna a rallentare neanche nel 2017: nel solo primo trimestre G DATA ha registrato 1.852.945 nuovi tipi di applicazioni malevole. Ciò corrisponde ad un nuovo campione di malware ogni 4,2 secondi, un valore che supera del 72,6% le rilevazioni degli analisti G DATA nello stesso periodo del 2016. Gli esperti di sicurezza G DATA pronosticano un nuovo record negativo di 7,41 milioni di nuovi malware entro la fine dell’anno.

 

Il malware in categorie

La quota predominante dei programmi malevoli consta di cavalli di troia prodotti tipicamente allo scopo di scaricare ulteriore malware, rilevare i caratteri digitati sulla tastiera, trafugare password, integrare la macchina infetta in botnet per la conduzione di attacchi DDoS. Al secondo posto in classifica figura l’adware, che lo scorso anno cubava per il 4,9% delle rilevazioni totali ma già nel primo trimestre 2017 è responsabile del 13,9% del malware registrato.

Anche il ransomware è aumentato notevolmente. Tra il primo ed il secondo semestre 2016 si è quasi decuplicato e nel solo primo trimestre 2017 ha mancato di poco i valori registrati nell’intera seconda metà dello scorso anno. Ma attenzione: „il ransomware ha cagionato danni ingenti destando un notevole interesse su scala globale, ma la quota di questo tipo di malware rispetto al totale non è quasi misurabile”, specifica Ralf Benzmüller, Direttore dei G DATA SecurityLabs, che aggiunge “l’adware invece è una delle categorie di malware più produttive, ma non viene quasi percepito dagli utenti”.

Obiettivi del malware: Windows, script e makro

Come d’abitudine, la parte preponderante dei malware per workstation mira a piattaforme Windows, obiettivo del 99,1% delle applicazioni malevole rilevate. Seguono, sebbene a lunga distanza, script, java applets e macro.

Continua a leggere