Ransomware: come proteggersi e cosa fare in caso di attacco


 

A fronte del rapido incremento dei ransomware per le aziende è di vitale importanza difendersi e sapere cosa fare in caso di attacco. Il primo passo è non cadere nella trappola del ricatto.

Se ad un furto di dati segue un attacco ransomware, è buona cosa non seguire l’esempio di Uber. La nota società americana non ha solo confermato oltre un anno dopo il misfatto di essere stata vittima di un furto di dati ma ha persino pagato agli hacker $100.000 di riscatto.

Picco di attacchi ransomware e riscatti alle stelle

Ciò che ha fatto Uber è sicuramente l’esempio migliore di cosa non fare nel caso in cui si dovesse subire un attacco soprattutto a fronte della crescita esponenziale del malware. Basta tornare agli avvenimenti dello scorso maggio. Il ransomware WannaCry aveva infettato diverse centinaia di migliaia di computer di tutto il mondo rendendo i file illeggibili. Per poterli ripristinare, un messaggio sullo schermo intimava il pagamento di un riscatto pari a $300 in Bitcoin, che sarebbe raddoppiato nel giro di qualche giorno in caso di mancato pagamento.

L’elenco di malware simili a WannaCry è lungo. Tra i ransomware in circolazione i più noti sono Cryptowall, TeslaCrypt, Locky Ransomware, Cerber Ransomware, CTB-Locker e Petya / Not Petya. L’incremento significativo della diffusione dei ransomware negli scorsi anni è altresì indice dell’accresciuto livello di rischio per gli utenti. A ciò si aggiunge quanto rilevato da Symantec negli Stati Uniti in uno studio pubblicato nell’aprile dello scorso anno: anche le aspettative degli hacker tendono ad aumentare, nel 2015 i ransomware esigevano un riscatto medio di $294 per dispositivo, nel 2016 si superava la soglia dei $1000, un importo medio confermato di recente anche da McAfee.

Rischio ransomware: grossa preoccupazione per il mondo business

Un rischio di questo calibro non può restare incontrollato. Secondo uno studio di Intermedia, questo tipo di cyberattacco viene considerato dalle aziende come la seconda minaccia più temibile (29%), preceduto solo dal malfunzionamento dell’hardware (30%). Una ricerca condotta da Osterman Research ha evidenziato che il 54% delle aziende operanti nel settore finanziario teme estremamente questo genere di minacce, mentre le aziende di trasporti figurano all’ultima posizione con un 26%.

Non meraviglia che comunque che i ransomware spaventino le aziende a livello globale: il costo annuale di questi ransomware è salito dai 325 milioni di dollari del 2015 ai 5 miliardi del 2017.

In che modo proteggere la propria azienda dai ransomware?

Esistono misure di sicurezza di base, tra cui aggiornare regolarmente i sistemi nel tempo, impiegare software antivirus di nuova generazione, non aprire allegati sospetti o messaggi da sconosciuti, e fare di tanto in tanto back-up verso un disco esterno, che sia rimovibile o cloud. Qualora queste precauzioni non vengano messe in atto o si rivelino insufficienti: non pagare! Cedere ai ricatti degli hacker non fa altro che incentivare queste pratiche illegali. Sfortunatamente non tutti prendono a cuore questa raccomandazione. La ricerca Intermedia rivela che il 59% degli impiegati di società con oltre 1000 dipendenti vittima di ransomware, pagano loro stessi il riscatto. Tuttavia, nonostante il pagamento, una vittima su cinque non riesce a recuperare i dati cifrati.

Cosa fare nel caso di un attacco ransomware

In presenza di un ransomware le aziende possono applicare diverse misure:

  • Disconnettere i sistemi dalla rete per limitare la contaminazione
  • Lasciare accesi i computer e non cercare di riavviarli; si potrebbero perdere informazioni utili all’analisi dell’attacco
  • Informare il responsabile della sicurezza della società
  • Scoprire il nome del ransomware (una versione datata potrebbe avere un antidoto per recuperare i file). Per riuscire a farlo bisogna andare sul sito nomoreransom.org e scaricare lo strumento di decriptazione disponibile per alcuni tipi di ransomware
  • Tentare di ripristinare i dati utilizzando sistemi di back-up automatici di qualche sistema operativo o tramite il proprio sistema di back-up
  • Recuperare i file da un servizio di stoccaggio dati come Dropbox nel caso in cui il computer fosse stato sincronizzato con questo genere di servizio

Gli attacchi ransomware spesso bypassano tipologie convenzionali di protezione impiegate sulle singole postazioni di lavoro e possono andare a buon fine nonostante in azienda si tengano corsi sulle best practice di sicurezza. Stormshield Endpoint Security, con i suoi meccanismi di hardenizzazione dei sistemi operativi, offre una protezione proattiva di alto livello contro le attuali minacce digitali.

Continua a leggere

Sicurezza in Rete: non abbassare il livello di guardia è essenziale


Gli innumerevoli cyberattacchi degli ultimi temi ci hanno mostrato che un semplice incidente può avere conseguenze catastrofiche – dall’interruzione della produzione alla chiusura di interi siti produttivi, dalla perdita di dati aziendali critici fino a danni per l’immagine e la reputazione. Siamo quotidianamente confrontati con attacchi sempre più sofisticati, che mettono in risalto la difficoltà di aziende private ed enti della pubblica amministrazione di rispondere efficacemente a minacce di nuova generazione.

Occorre un cambiamento di rotta

E’ assolutamente illusiorio pensare che i cyberattacchi possano essere fermati definitivamente su due piedi. Le aziende sono chiamate a riscattarsi dall’attuale ruolo di spettatore passivo e a prendere provvedimenti. Misure di cybersecurity che per molte aziende rappresentano uno sforzo (technologico, umano, organizzativo) e di conseguenza vengono messe in panchina. Ne consegue che oltre metà delle aziende spende ancora oggi meno del 3% del proprio budget IT in sicurezza (fonte Clusif 2016).

Pierre Calais, Direttore Generale di Stormshield

Ovviamente proteggere l’azienda con soluzioni adeguate ha un costo, ma tale investimento è necessario tanto quanto siglare una polizza assicurativa: la sicurezza IT va inquadrata come colonna portante di una strategia di governance aziendale contemplando tutti gli aspetti di natura tecnologica e organizzativa.

Per evitare che le normative impongano alle aziende regole sempre più stringenti in tema di cybersicurezza, esse devono affrontare le proprie responsabilità: le decisioni in merito agli investimenti in cybersecurity non dovrebbero riguardare esclusivamente lo staff IT bensì anche il management.

Tentativi di grande effetto

Uno dei maggiori cambiamenti che abbiamo riscontrato negli attacchi è la volontà degli hacker di renderli visibili. Siamo decisamente lontani da quelle APT (Advance Persistent Threat) il cui scopo consiste nell’operare nell’ombra il più a lungo possibile. I recenti attacchi di massa hanno lo scopo di guadagnarsi la massima visibilità, esponendo su larga scala le vulnerabilità che affliggono numerosissime aziende. Tuttavia questi attacchi potrebbero essere dei meri tentativi di sondare la qualità delle difese di un’azienda. Non illudiamoci: questo è solo l’inizio, virulenza e pericolosità aumenteranno.

Rispolveriamo il senso civico per il bene della collettività

La cybersicurezza è un tema che riguarda la collettività. La proliferazione degli attacchi negli scorsi mesi dovrebbe mettere in allarme le aziende puntando i riflettori su un trend che si ripercuote pesantemetne sulla produttività aziendale.

E‘ altrettanto importante, trascendere dalla mera protezione dei dati, le organizzazioni devono assumersi il proprio ruolo rispetto a impiegati, partner e clienti. E poiché il confine tra privato e professionale svanisce progressivamente, le aziende dovrebbero farsi carico della tutela delle attività e/o identità digitali di collaboratori e clienti.

Se la collettività prendesse a cuore tali indicazioni e reagisse, potremmo forse evitare il peggo e dar vita ad un ambiente digitale sicuro per il bene di tutti.

Continua a leggere

Può essere che gli hacker vadano in ferie a luglio?


Dopo aver rilevato forti ondate di cybercriminalità a giugno abbiamo riscontrato una certa quiete fino alla fine di luglio – forse gli hacker vanno in ferie a luglio? Con lo strumento Breach Fighter, il team di Security Intelligence di Stormshield rileva e analizza i malware esaminando milioni di spam e attacchi mirati. Dagli stabilimenti balneari al ritorno di Locky – da un tipo di onda all’altra.

In vacanza a luglio e rientro in agosto?

Breach Fighter è uno strumento integrato in centinaia di migliaia di firewall di Stormshield Network Security distribuiti in tutto il mondo allo scopo di raccogliere quanti più campioni o modelli di attacco possibili. Utilizzando questo strumento, il team di Security Intelligence di Stormshield è riuscito a identificare una concreta variazione nel volume di attacchi cybernetici. Dopo i picchi verificatisi quasi quotidianamente nel mese di giugno, i volumi sono diminuiti drasticamente nel corso di luglio, con una modesta ripresa negli ultimi giorni del mese.

 

clicca qui per ingrandire

 

Non foss’altro che per il curioso periodo di calma, questa considerevole diminuzione di attacchi potrebbe suggerire che gli hacker e i loro committenti vadano in vacanza. Forse hanno dovuto scegliere tra investire fondi nelle vacanze o in nuovi attacchi malware? E hanno ripreso le proprie attività tra la fine di luglio e l’inizio di agosto per l’irrefrenabile desiderio di scoprire se e quando tra Daenerys e Jon Snow in Game of Thrones sboccerà qualcosa di più che una semplice amicizia? Oppure non volevano perdere l’occasione di influenzare gli acquisti del FC Barcelona dopo la partenza di Neymar? Fortunatamente anche attività apparentemente aride come l’analisi acribica delle minacce danno adito a ipotesi che strappano un sorriso.

Stormshield Security intelligence: prevenzione e reazione

La squadra di Security Intelligence di Stormshield ha due missioni principali: studiare e capire le minacce al fine di migliorare i prodotti Stormshield da un lato e di fornire il proprio contributo alla cybersecurity condividendo le proprie analisi e collaborando strettamente con organizzazioni professionali (CERT, istituti di ricerca, specialisti della sicurezza e altri).

Una chiara identificazione delle minacce è infatti il primo passo per affrontarle in maniera risolutiva. Come azienda votata all’innovazione, Stormshield valuta modi per combattere le minacce in modo proattivo, attraverso prodotti come Stormshield Endpoint Security, la cui capacità di bloccare minacce day zero sul nascere, senza richiedere alcun aggiornamento, è il carattere distintivo di una soluzione frutto del lavoro incessante del team di Security Intelligence.

Tramite Breach Fighter, integrato nei firewall perimetrali di Stormshield, i clienti Stormshield caricano su una sand-box nel cloud un gran numero di file da suddividere tra applicazioni legittime (goodware) e fraudolente (malware). Questo sistema di intelligence contro le minacce si avvale di strumenti proprietari, tra cui un honeypot (dati che fungono da “esca” per eventuali attacchi), un laboratorio d’analisi del malware, un linguaggio di classificazione personalizzato e algoritmi di apprendimento automatico.

Insieme a informazioni provenienti da fonti esterne, i prodotti Stormshield producono enormi quantità di informazioni e file, costantemente eviscerati dal team di Security Intelligence con l’obiettivo di disporre di un bacino di dati quanto più ampio possibile e di assicurare il miglior tasso di identificazione dei malware sul mercato.

Continua a leggere

Tutti pronti per il GDPR


Eliminare le vulnerabilità dei sistemi informatici e gestire gli aggiornamenti facilmente con G DATA Patch Management.

Bochum (Germania)

Il 25 maggio 2018 entra in vigore il regolamento generale sulla protezione dei dati (GDPR) dell’UE per rafforzare e unificare le modalità con cui vengono trattati i dati in Europa. Anche la protezione dell’infrastruttura IT contro attacchi informatici al fine di prevenire il furto di dati fa parte delle misure di tutela previste.  Come evidenziato dagli ultimi episodi di infezione su larga scala, l‘installazione degli aggiornamenti dei software è un tassello essenziale per mitigare i rischi dovuti allo sfruttamento di vulnerabilità di sistemi operativi e delle applicazioni potenzialmente accessibili agli aggressori. G DATA Patch Management aiuta gli amministratori di sistema ad adempiere a tali compiti e consente di installare eventuali patch immediatamente o in modo progressivo sulla rete.  In combinazione con le potenti soluzioni antivirus business di G DATA, la gestione semplificata degli aggiornamenti porta la tutela contro il furto di dati ad un livello superiore, fornendo alle società un valido aiuto in termini di compliance con il GDPR. 


Il regolamento generale sulla protezione dei dati dell’UE: Le aziende non possono farsi cogliere impreparate

Le nuove normative riguardano tutte le aziende che raccolgono e trattano dati personali, ad esempio attraverso il proprio database clienti.Queste aziende, indipendentemente dalla dimensione, devono garantire una protezione completa di tutte le informazioni sensibili attraverso tecnologie “allo stato dell’arte”, pena il dover far fronte a rigide sanzioni economiche. Chi impiega software obsoleti o non aggiorna i sistemi si pone in una situazione che può potenzialmente favorire gli attacchi informatici e corre il rischio di essere multato nel caso di una violazione dei dati. L’elaborazione di regole di conformità obbligatorie in merito al trattamento dei dati sensibili è uno dei passi necessari per garantirne la tutela. Un’altra componente importante è assicurarsi che l’infrastruttura IT sia dotata di una protezione completa contro la perdita dei dati e attacchi cyber. Proprio in questo contesto si collocano le soluzioni per la gestione del processo di patching dei sistemi. Queste consentono di installare repentinamente sulla rete gli aggiornamenti forniti dai produttori del software in uso.

La soluzione: G DATA Patch Management

Attraverso una soluzione per la gestione delle patch si affronta in modo efficace la pletora di aggiornamenti dei sistemi operativi o delle applicazioni forniti dai vendor. G DATA Patch Management è un modulo aggiuntivo che si integra nativamente nelle soluzioni di rete dello specialista della sicurezza IT e  che supporta gli amministratori nella distribuzione efficiente delle patch.

 


Vantaggi di G DATA Patch Management:
 

  • Gestione centralizzata delle patch: gli aggiornamenti vengono distribuiti ai singoli client in modalità centralizzata tramite il server di gestione è inoltre possibile eseguire un roll-out progressivo.
  • Minimizzazione dei rischi: le patch possono essere “eseguite” in un ambiente di prova per escludere eventuali problemi di compatibilità specifici sui client.
  • Sempre aggiornati: Con G DATA Patch Management, i responsabili IT si assicurano che i client utilizzino sempre le versioni più recenti del software in uso che, di conseguenza, risulterà meno vulnerabile.
  • Panoramica intuitiva: Il modulo fornisce agli amministratori una panoramica delle applicazioni e dei sistemi operativi utilizzati nella rete e l’elenco delle patch disponibili.

Per saperne di più su consultare:

https://www.gdata.it/aziende/patch-management

Continua a leggere

Petya redivivo – di nuovo


Di Petya G DATA ha già parlato nel 2016. Il ransomware si ripresenta occasionalmente con nuove vesti, l’ultima volta come “GoldenEye”. Questa nuova ondata di infezioni presenta una sola differenza: è la prima volta che Petya sfrutta un exploit proveniente dall’arsenale di un’agenzia di intelligence, portato tristemente alla ribalta con WannaCry.

Bochum – Secondo le ultime notizie diffuse dalle regioni inizialmente interessate dall’attacco e dai media, l’ondata di infezioni con il ransomware di Petya ha colpito numerosissime organizzazioni governative e private in Europa come negli Stati Uniti, tra cui una grande compagnia petrolifera, costretta – secondo indiscrezioni – a passare ai server di backup per garantire la continuità della produzione, aziende per la fornitura di energia elettrica, società di logistica e l’aeroporto di Kiev, chiuso nel tardo pomeriggio di ieri per le conseguenze dell’infezione, oltre a sistemi di pagamento elettronico in uso presso supermercati.

Nel frattempo, primi pagamenti del riscatto richiesto sono già stati versati su quello che – al momento – risulta essere l’unico portafoglio bitcoin per il quale si riconosca una relazione diretta con l’attuale campagna. G DATA sconsiglia fortemente di pagare qualsiasi riscatto! Non necessariamente il pagamento assicura che si possa di nuovo disporre dei file cifrati.  Tra l’altro, una volta scoperto che cybercriminali si stavano avvalendo di una casella di posta elettronica Posteo per lanciare l’attacco su larga scala, il provider tedesco ha bloccato l’accesso alla casella e ha informato l’Ufficio Federale per la Sicurezza Informatica. I cybercriminali non hanno più accesso alle mail ivi inviate.

Dettagli tecnici

Dalle analisi condotte dai G DATA Security Lab e da risultanze condivise dalla community infosec, l’origine dell’ondata di infezioni è stata individuata nella compromissione di un meccanismo di aggiornamento di un software ampiamente utilizzato per la contabilità. Le prime vittime sono state infettate proprio tramite l’aggiornamento di tale software. Pur avvalendosi di Eternalblue per infettare la rete locale, a differenza di  Wannacry il “nuovo” Petya non si propaga tramite Internet. Cerca invece accesso alle credenziali di amministratore per poter inserire i propri file in cartelle $admin condivise in rete. Anche la cifratura mostra tratti familiari: il ransomware verifica se ha modo di accedere ai privilegi di amministratore per sovrascrivere alcune aree del disco rigido. Qualora l’esito sia positivo, viene forzato il reboot di una macchina infetta dopo aver subito un crash. Al contrario di quanto presentato da alcuni rapporti comparsi su piattaforme di social media, in questo ransomware non è presente alcun “killswitch”.

All’attuale stato delle cose, la componente che dà luogo alla diffusione dell’ultima variante di Petya pare funzionare meglio di WannaCry su Windows XP. Oltre a ciò, la versione corrente cancella il registro degli eventi di Windows durante il processo di infezione.

Il ransomware prende di mira file con le seguenti estensioni:

.3ds .7z .accdb.  ai. asp .aspx .avhd .back .bak .c .cfg .conf .cpp .cs .ctl .dbf .disk

.djvu .doc .docx .dwg .eml .fdb .gz .h .hdd .kdbx .mail .mdb .msg .nrg .ora .ost .ova .ovf .pdf .php .pmf .ppt

.pptx .pst .pvi .py .pyc .rar .rtf .sln .sql .tar .vbox .vbs .vcb .vdi .vfd .vmc .vmdk .vmsd .vmx .vsdx .vsv .work .xls.

xlsx .xvd .zip

Un’infinità di nomi per il Petya redivivo

G DATA ha riscontrato una generalizzata confusione nell’assegnare un nome all’attuale variante del ransomware “Petya”. La base di codice è indubbiamente quella di Petya / Misha / GoldenEye, per questo motivo inizialmente intendevamo procedere usando il nome “Petya”. Altri lo hanno chiamato NotPetya, EternalPetya, PetyaBlue, Petna, PetyaWrap, Petrwrap, SortaPetya, Nyetya, Expetr e altri. Pur avendo deciso di fare riferimento a questa particolare nuova variante con il nome Petna, la denominazione con cui il ransomware è identificato resta invariata.

Clienti G DATA protetti

La variante corrente è rilevata da tutte le soluzioni G DATA come Win32.Trojan-Ransom.Petya.V e Trojan.Ransom.GoldenEye.B. Altri moduli proattivi quali l’ExploitProtection e la protezione comportamentale AntiRansomware offrono un ulteriore livello di protezione.

Countromisure e mitigazione

Ci sono diverse misure efficaci per prevenire infezioni o quanto meno mitigare i rischi:

  • Installare l’ultimo aggiornamento di Windows se possibile. Questo aggiornamento (disponibile dal mese di marzo – come già indicato nel caso di WannaCry) chiude le falle di cui si avvale l’exploit Eternalblue.
  • Per prevenire infezioni attraverso l’interfaccia di gestione di Windows (WMI), gli amministratori di sistema dovrebbero prendere alcune precauzioni, come raccomandato da Microsoft
  • L’esecuzione di un codice da remoto attraveso PSExec o WMI richiede privilegi di amministratore: si sconsiglia di garantire tali privilegi ai normali utenti.
  • Se si nota un’infezione prima che appaia la richiesta di riscatto, spegnere immediatamente il sistema. Non riavviare la macchina in nessun caso – c’è la possibilità che non tutto sia stato cifrato prima dello spegnimento forzato.

Di nuovo: raccomandiamo di non effettuare alcun pagamento di riscatto, soprattutto visto che il provider ha chiuso la casella di posta elettronica dei criminali.

Per ulteriori dettagli tecnici e aggiornamenti consultare il blog G DATA al link https://www.gdatasoftware.com/blog/2017/06/29840-petya-is-back-again

Continua a leggere

Panda Security e Stormshield siglano un’alleanza tecnologia europea contro le minacce informatiche


  • Due aziende leader nel settore della sicurezza informatica sottoscrivono un’alleanza tecnologica europea che assicurerà ai rispettivi clienti una protezione completa e globale contro il cybercrime.
  • L’accordo offre agli utenti il meglio delle soluzioni Stormshield e Panda Security per proteggere workstation e infrastrutture IT.
  • Fornisce tutti gli strumenti di gestione della sicurezza necessari per proteggere le aziende contro la violazione dei dati che cagionano in media danni per 3,7 milioni di euro.

Secondo un recente studio (1), le violazioni dei dati sono aumentate del 29% dal 2013 e in media cagionano danni per 3,7 milioni di euro alle imprese.

Panda Security, multinazionale spagnola leader in soluzioni di sicurezza endpoint, e Stormshield, azienda francese leader nella protezione delle reti aziendali, annunciano di aver siglato un’alleanza strategica europea che unisce le rispettive competenze a garanzia di una protezione ancora più efficiente delle infrastrutture e degli ambienti IT delle aziende, al fine di fornire loro un aiuto concreto nel percorso verso la trasformazione digitale. Attraverso questa alleanza strategica, i clienti avranno accesso a soluzioni uniche, progettate per rilevare e contrastare le minacce note e non note ai danni di reti, workstation e server. L’offerta congiunta darà ai clienti una visibilità completa e unificata delle minacce.

Una soluzione di sicurezza innovativa

Oltre a fornire ai clienti una soluzione unificata ed europea al 100%, che integra il meglio delle tecnologie per la sicurezza di perimetro e endpoint, questa collaborazione permetterà ai due partner di condividere esperienze e competenze in merito alle differenti minacce, al fine di aumentare significativamente il livello di protezione dei propri clienti. Nello specifico Stormshield condividerà la propria esperienza nella tutela di reti industriali e tecnologie operative. Più in generale, Panda Security e Stormshield collaboreranno a stretto contatto per fornire una protezione efficace contro minacce note e sconosciute. Questa collaborazione unica in Europa è indice del ruolo centrale che le due società informatiche europee intendono svolgere nel mercato della cybersecurity e in particolare nel campo della protezione dell’infrastruttura digitale.

Juan Santamaria, Direttore Generale di Panda Security commenta: “I firewall di nuova generazione e le funzionalità UTM perno delle soluzioni Stormshield Network Security proteggono efficacemente le reti dei nostri clienti, assicurando loro il miglior rapporto prezzo / prestazioni sul mercato. Queste soluzioni offrono una risposta completa e quanto mai necessaria all’esigenza di tutelare infrastrutture tradizionali, industriali e cloud “. Matthieu Bonenfant, Direttore Marketing di Stormshield, dichiara: “Panda Security gode di un posizionamento unico sul mercato della protezione delle workstation e delle soluzioni avanzate per la sicurezza informatica. Con Adaptive Defense, tutti i nostri clienti, indipendentemente dalla loro dimensione, beneficeranno di una sicurezza next-gen, facile da implementare e gestire. Questa soluzione si combina perfettamente con l’offerta Stormshield Endpoint Security dedicata principalmente a ambienti operativi sensibili e industriali. Siamo lieti di questa nuova alleanza e di come essa sottolinei il nostro impegno nel proporre una soluzione europea su larga scala per la sicurezza end-to-end delle infrastrutture dei nostri clienti”.

(1) 2016 Ponemon Institute Cost of a Data Breach Study

Continua a leggere