CCleaner con ospite sgradito “a bordo”, una breve analisi


Alcuni ricercatori hanno riscontrato che la versione 5.33 della nota applicazione di manutenzione del sistema “CCleaner” è gravata da software malevolo. Oltre ad invitare gli utenti ad aggiornare l’applicazione con la versione 5.34, G DATA analizza la situazione tracciando parallelismi con altri casi simili.

Bochum – Per circa un mese la nota applicazione “CCleaner”, impiegata per ottimizzare le prestazioni, proteggere la privacy e pulire i registri di sistema dei PC Windows, è stata distribuita con un passeggero clandestino. I ricercatori di Talos hanno scoperto che la versione infetta dell’applicazione è stata resa disponibile tramite i server di download ufficiali del produttore. Due fatti rendono questo incidente particolarmente esplosivo: in primis l’applicazione è molto comune. Secondo i dati del produttore, l’applicazione è stata scaricata oltre due miliardi di volte in tutto il mondo. Il numero di utenti interessati è quindi indiscutibilmente elevato. In secondo luogo la versione infetta di CCleaner è stata firmata con un certificato valido. Tale certificato, tra l’altro, dovrebbe garantire che un’applicazione provenga da un produttore affidabile. Pertanto, chi utilizza un certificato valido rubato per firmare un malware ha modo di raggiungere un ampio numero di utenti. Windows non esegue infatti applicazioni non firmate se le impostazioni di sistema non sono state manipolate precedentemente.

I clienti G DATA sono protetti

La versione contraffatta del CCleaner è stata resa disponibile tra il 15 agosto e il 12 settembre tramite la pagina di download ufficiale e viene riconosciuta da tutte le soluzioni G DATA come Win32.Backdoor.Forpivast.A  

Il produttore ha già rilasciato una versione “ripulita”. Gli utenti che attualmente si avvalgono della versione 5.33 dovrebbero aggiornare l’applicazione all’attuale 5.34. Nelle versioni gratuite del programma gli aggiornamenti non sono automatizzati. In questo caso l’attuale file di installazione dovrà essere scaricato e installato.

File scaricabili compromessi? Niente di nuovo sotto il sole

Il fatto, che la versione infetta (5.33) sia stata firmata con un certificato valido può essere un indicatore di diversi problemi di sicurezza, a partire da una vulnerabilità nel processo di firma del produttore fino ad una possibile compromissione dell’organizzazione che ha rilasciato il certificato. Tuttavia, firmare un software dannoso con certificati validi rubati o distribuire versioni compromesse di software affidabili attraverso siti di download ufficiali non è certamente una novità. In passato, è già accaduto con un client torrent per Mac e con una distribuzione Linux. Lo stesso ransomware “Petna” (Petya o NotPetya che dir si voglia) è stato diffuso utilizzando l’infrastruttura di aggiornamento di un software per la gestione finanziaria.

Gli autori di malware si fanno carico di uno sforzo crescente per poter infettare il maggior numero di sistemi nel più breve tempo possibile. In questo quadro, il percorso di distribuzione del software risulta un obiettivo molto remunerativo per i criminali che desiderano assicurarsi una vasta diffusione del proprio software dannoso. Se l’infiltrazione in una fase del ciclo produttivo dei software ha successo, avrebbe conseguenze dirette – e anche questo è già accaduto in passato.

Continua a leggere

G DATA mette a nudo ZeuS Panda


Gli analisti G DATA hanno curiosato nella struttura di questo ospite fisso tra i trojan che mirano al mondo bancario. Ora disponibile l’analisi completa di un malware particolarmente articolato.

Bochum – Il banking trojan ZeuS e la sua variante chiamata “Panda” hanno rappresentato negli ultimi sei anni un esempio di malware “prezzemolino” nell’universo delle minacce ai sistemi bancari. L’analisi G DATA rivela un trojan assolutamente fuori dal comune.

Come sapere se i sistemi sono infetti

Partiamo con una cattiva notizia: una volta che una macchina non protetta è stata infettata, è quasi impossibile rilevare la presenza di ZeuS Panda guardando solo i contenuti sullo schermo. Quanto visualizzato sullo schermo è infatti frutto di una intelligente manipolazione che presenta all’utente un perfetto clone di un particolare sito bancario o di sito per i pagamenti online. Gli utenti vengono indotti ad eseguire una donazione a un ente caritatevole o ingannati con richieste di restituzione di un pagamento ricevuto erroneamente, altri aggressori addirittura alzano la posta adducendo indagini sul riciclaggio di denaro condotte dalla “polizia finanziaria tedesca” (non esiste una simile istituzione in Germania, almeno non sotto questo nome). Oltre ad appropriarsi dei dati immessi sul sito web e modificare ciò che l’utente può vedere, ZeuS Panda manipola anche alcune impostazioni di sicurezza e allarmi all’interno del browser, che altrimenti potrebbero rivelarne la presenza.

Ed ora la buona notizia: esistono tecnologie in grado di rilevare un’infezione anche in assenza di una firma per questo malware, come ad esempio G DATA BankGuard.

Perchè Panda è speciale

Sono numerosissime le applicazioni dannose che cercano di eludere la rilevazione e di precludere l’analisi. ZeuS Panda è dotato di meccanismi articolati per evitare che venga analizzato: ad esempio controlla se sono presenti indicatori tipici di macchine virtuali – tra cui VMWare, OpenBox, Wine o qualsiasi tipologia di ambiente HyperV. Molti analisti testano campioni di malware in ambienti virtuali, il malware tenta quindi di compromettere l’analisi. Inoltre, Panda verifica la presenza di molti strumenti utilizzati dagli analisti tra cui ProcMon, Regshot, Sandboxie, Wireshark, IDA e il debugger SoftICE. Se viene rilevata la presenza di uno di questi programmi, il malware non viene eseguito. Altre applicazioni malevole utilizzano controlli davvero superficiali per verificare la presenza di VMWare e OpenBox, funzioni spesso copiate e incollate da codice di terzi. Nel caso di Panda, non solo la verifica è approfondita ma sono stati utilizzati diversi “packer” per creare il file dannoso, cosa che obbliga gli analisti a spacchettizzare il file manualmente. Insomma i creatori di ZeuS Panda hanno creato un malware che dà parecchio filo da torcere agli analisti.

Online circolano anche altri tipi di malware che utilizzano tecniche simili, ma in molti casi l’implementazione è scadente o il trojan stesso contiene errori, limitandone l’efficacia. Tra i numerosi esempi figurano anche casi in cui, dopo aver condotto le attività di deoffuscamento del codice, è risultato che l’URL che doveva essere contattato dal malware conteneva un errore di battitura, azzoppando l’intero costrutto.

Non è questo il caso di ZeuS Panda il cui compito è di continuare a raccogliere dati fino a quando non gli viene ordinato il contrario. Anche qualora il server di comando e controllo di riferimento sia tolto dalla rete, il malware continua ad accumulare i dati sul sistema fino a quando non può scaricarli su un altro server.

Un “coltellino svizzero” fabbricato nell’Europa orientale

Ciò che differenzia Panda in termini di meccanismi di evasione e qualità della produzione, è la sua versatilità. Sebbene ZeuS Panda sia innanzitutto un Trojan bancario, è anche in grado di rubare altri tipi di dati da un sistema, inclusi i contenuti degli appunti (ossia quello che viene copiato in un file per incollarlo altrove  – le applicazioni che gestiscono le password utilizzano spesso la clipboard per trasferire le credenziali dal gestore delle password ad un’altra applicazione o sito web) e eventuali screenshot. Inoltre può implementare una backdoor completa sul sistema infetto tramite VNC. Una situazione equiparabile all’avere qualcuno che siede alle nostre spalle e ci spia quotidianamente 24 ore su 24.

Quale funzione di ZeuS Panda è effettivamente attiva sul sistema dipende dalla configurazione del malware stesso, che si aggiorna automaticamente a intervalli regolari. L’applicazione può quindi trasformarsi da trojan bancario a spyware e controllo remoto di un PC in pochi minuti, a discrezione esclusiva dell’aggressore.

In merito all’origine di ZeuS Panda le indicazioni sono molto chiare: il malware non si attiva se rileva che il sistema aggredito si trova in Russia, Ucraina, Bielorussia o Kazakistan.

Analisi dettagliata

Il rapporto contenente l’analisi tecnica dettagliata di ZeuS Panda è scaricabile dal sito G DATA Advanced Analytics ed è integrato in due articoli postati dal team sul sito (Parte 1 e Parte 2 ).

Continua a leggere

Tutti pronti per il GDPR


Eliminare le vulnerabilità dei sistemi informatici e gestire gli aggiornamenti facilmente con G DATA Patch Management.

Bochum (Germania)

Il 25 maggio 2018 entra in vigore il regolamento generale sulla protezione dei dati (GDPR) dell’UE per rafforzare e unificare le modalità con cui vengono trattati i dati in Europa. Anche la protezione dell’infrastruttura IT contro attacchi informatici al fine di prevenire il furto di dati fa parte delle misure di tutela previste.  Come evidenziato dagli ultimi episodi di infezione su larga scala, l‘installazione degli aggiornamenti dei software è un tassello essenziale per mitigare i rischi dovuti allo sfruttamento di vulnerabilità di sistemi operativi e delle applicazioni potenzialmente accessibili agli aggressori. G DATA Patch Management aiuta gli amministratori di sistema ad adempiere a tali compiti e consente di installare eventuali patch immediatamente o in modo progressivo sulla rete.  In combinazione con le potenti soluzioni antivirus business di G DATA, la gestione semplificata degli aggiornamenti porta la tutela contro il furto di dati ad un livello superiore, fornendo alle società un valido aiuto in termini di compliance con il GDPR. 


Il regolamento generale sulla protezione dei dati dell’UE: Le aziende non possono farsi cogliere impreparate

Le nuove normative riguardano tutte le aziende che raccolgono e trattano dati personali, ad esempio attraverso il proprio database clienti.Queste aziende, indipendentemente dalla dimensione, devono garantire una protezione completa di tutte le informazioni sensibili attraverso tecnologie “allo stato dell’arte”, pena il dover far fronte a rigide sanzioni economiche. Chi impiega software obsoleti o non aggiorna i sistemi si pone in una situazione che può potenzialmente favorire gli attacchi informatici e corre il rischio di essere multato nel caso di una violazione dei dati. L’elaborazione di regole di conformità obbligatorie in merito al trattamento dei dati sensibili è uno dei passi necessari per garantirne la tutela. Un’altra componente importante è assicurarsi che l’infrastruttura IT sia dotata di una protezione completa contro la perdita dei dati e attacchi cyber. Proprio in questo contesto si collocano le soluzioni per la gestione del processo di patching dei sistemi. Queste consentono di installare repentinamente sulla rete gli aggiornamenti forniti dai produttori del software in uso.

La soluzione: G DATA Patch Management

Attraverso una soluzione per la gestione delle patch si affronta in modo efficace la pletora di aggiornamenti dei sistemi operativi o delle applicazioni forniti dai vendor. G DATA Patch Management è un modulo aggiuntivo che si integra nativamente nelle soluzioni di rete dello specialista della sicurezza IT e  che supporta gli amministratori nella distribuzione efficiente delle patch.

 


Vantaggi di G DATA Patch Management:
 

  • Gestione centralizzata delle patch: gli aggiornamenti vengono distribuiti ai singoli client in modalità centralizzata tramite il server di gestione è inoltre possibile eseguire un roll-out progressivo.
  • Minimizzazione dei rischi: le patch possono essere “eseguite” in un ambiente di prova per escludere eventuali problemi di compatibilità specifici sui client.
  • Sempre aggiornati: Con G DATA Patch Management, i responsabili IT si assicurano che i client utilizzino sempre le versioni più recenti del software in uso che, di conseguenza, risulterà meno vulnerabile.
  • Panoramica intuitiva: Il modulo fornisce agli amministratori una panoramica delle applicazioni e dei sistemi operativi utilizzati nella rete e l’elenco delle patch disponibili.

Per saperne di più su consultare:

https://www.gdata.it/aziende/patch-management

Continua a leggere

Petya redivivo – di nuovo


Di Petya G DATA ha già parlato nel 2016. Il ransomware si ripresenta occasionalmente con nuove vesti, l’ultima volta come “GoldenEye”. Questa nuova ondata di infezioni presenta una sola differenza: è la prima volta che Petya sfrutta un exploit proveniente dall’arsenale di un’agenzia di intelligence, portato tristemente alla ribalta con WannaCry.

Bochum – Secondo le ultime notizie diffuse dalle regioni inizialmente interessate dall’attacco e dai media, l’ondata di infezioni con il ransomware di Petya ha colpito numerosissime organizzazioni governative e private in Europa come negli Stati Uniti, tra cui una grande compagnia petrolifera, costretta – secondo indiscrezioni – a passare ai server di backup per garantire la continuità della produzione, aziende per la fornitura di energia elettrica, società di logistica e l’aeroporto di Kiev, chiuso nel tardo pomeriggio di ieri per le conseguenze dell’infezione, oltre a sistemi di pagamento elettronico in uso presso supermercati.

Nel frattempo, primi pagamenti del riscatto richiesto sono già stati versati su quello che – al momento – risulta essere l’unico portafoglio bitcoin per il quale si riconosca una relazione diretta con l’attuale campagna. G DATA sconsiglia fortemente di pagare qualsiasi riscatto! Non necessariamente il pagamento assicura che si possa di nuovo disporre dei file cifrati.  Tra l’altro, una volta scoperto che cybercriminali si stavano avvalendo di una casella di posta elettronica Posteo per lanciare l’attacco su larga scala, il provider tedesco ha bloccato l’accesso alla casella e ha informato l’Ufficio Federale per la Sicurezza Informatica. I cybercriminali non hanno più accesso alle mail ivi inviate.

Dettagli tecnici

Dalle analisi condotte dai G DATA Security Lab e da risultanze condivise dalla community infosec, l’origine dell’ondata di infezioni è stata individuata nella compromissione di un meccanismo di aggiornamento di un software ampiamente utilizzato per la contabilità. Le prime vittime sono state infettate proprio tramite l’aggiornamento di tale software. Pur avvalendosi di Eternalblue per infettare la rete locale, a differenza di  Wannacry il “nuovo” Petya non si propaga tramite Internet. Cerca invece accesso alle credenziali di amministratore per poter inserire i propri file in cartelle $admin condivise in rete. Anche la cifratura mostra tratti familiari: il ransomware verifica se ha modo di accedere ai privilegi di amministratore per sovrascrivere alcune aree del disco rigido. Qualora l’esito sia positivo, viene forzato il reboot di una macchina infetta dopo aver subito un crash. Al contrario di quanto presentato da alcuni rapporti comparsi su piattaforme di social media, in questo ransomware non è presente alcun “killswitch”.

All’attuale stato delle cose, la componente che dà luogo alla diffusione dell’ultima variante di Petya pare funzionare meglio di WannaCry su Windows XP. Oltre a ciò, la versione corrente cancella il registro degli eventi di Windows durante il processo di infezione.

Il ransomware prende di mira file con le seguenti estensioni:

.3ds .7z .accdb.  ai. asp .aspx .avhd .back .bak .c .cfg .conf .cpp .cs .ctl .dbf .disk

.djvu .doc .docx .dwg .eml .fdb .gz .h .hdd .kdbx .mail .mdb .msg .nrg .ora .ost .ova .ovf .pdf .php .pmf .ppt

.pptx .pst .pvi .py .pyc .rar .rtf .sln .sql .tar .vbox .vbs .vcb .vdi .vfd .vmc .vmdk .vmsd .vmx .vsdx .vsv .work .xls.

xlsx .xvd .zip

Un’infinità di nomi per il Petya redivivo

G DATA ha riscontrato una generalizzata confusione nell’assegnare un nome all’attuale variante del ransomware “Petya”. La base di codice è indubbiamente quella di Petya / Misha / GoldenEye, per questo motivo inizialmente intendevamo procedere usando il nome “Petya”. Altri lo hanno chiamato NotPetya, EternalPetya, PetyaBlue, Petna, PetyaWrap, Petrwrap, SortaPetya, Nyetya, Expetr e altri. Pur avendo deciso di fare riferimento a questa particolare nuova variante con il nome Petna, la denominazione con cui il ransomware è identificato resta invariata.

Clienti G DATA protetti

La variante corrente è rilevata da tutte le soluzioni G DATA come Win32.Trojan-Ransom.Petya.V e Trojan.Ransom.GoldenEye.B. Altri moduli proattivi quali l’ExploitProtection e la protezione comportamentale AntiRansomware offrono un ulteriore livello di protezione.

Countromisure e mitigazione

Ci sono diverse misure efficaci per prevenire infezioni o quanto meno mitigare i rischi:

  • Installare l’ultimo aggiornamento di Windows se possibile. Questo aggiornamento (disponibile dal mese di marzo – come già indicato nel caso di WannaCry) chiude le falle di cui si avvale l’exploit Eternalblue.
  • Per prevenire infezioni attraverso l’interfaccia di gestione di Windows (WMI), gli amministratori di sistema dovrebbero prendere alcune precauzioni, come raccomandato da Microsoft
  • L’esecuzione di un codice da remoto attraveso PSExec o WMI richiede privilegi di amministratore: si sconsiglia di garantire tali privilegi ai normali utenti.
  • Se si nota un’infezione prima che appaia la richiesta di riscatto, spegnere immediatamente il sistema. Non riavviare la macchina in nessun caso – c’è la possibilità che non tutto sia stato cifrato prima dello spegnimento forzato.

Di nuovo: raccomandiamo di non effettuare alcun pagamento di riscatto, soprattutto visto che il provider ha chiuso la casella di posta elettronica dei criminali.

Per ulteriori dettagli tecnici e aggiornamenti consultare il blog G DATA al link https://www.gdatasoftware.com/blog/2017/06/29840-petya-is-back-again

Continua a leggere

AV-TEST: protezione perfetta con G DATA Mobile Internet Security


La soluzione mobile ha rilevato il 100 per cento delle attuali minacce al sistema operativo Android.

Bochum (Germania) – Nell’ultimo test comparativo effettuato, AV-TEST ha analizzato 20 soluzioni di sicurezza per il sistema operativo Android, di cui ha valutato il livello di resistenza contro le attuali minacce. G Data Mobile Internet Security ha rilevato il 100 per cento di tutti i malware utilizzati nel test. Pieni voti attribuiti anche per facilità d’uso e le utili funzionalità aggiuntive. Ne consegue che G Data Mobile Internet Security ha ottenuto il massimo punteggio ottenibile, assicurandosi una collocazione ai vertici della classifica e l’ambita certificazione AV-TEST.

Attraverso scenari di test realistici, AV-TEST analizza le applicazioni di sicurezza per dispositivi mobili e il loro comportamento rispetto alle attuali minacce. Nello specifico, l’Istituto mette alla prova le capacità della soluzione utilizzando tutte le funzionalità che essa offre e testandone il grado di protezione a tutti i livelli.

Tra i criteri salienti del test anche la valutazione dell’impatto della app sull’uso dello smartphone, la possibilità di cifrare il traffico dati generato attraverso rete mobile o hotspot wifi aperti, l’efficacia del controllo genitoriale sulla navigazione.

“Le minacce per i dispositivi Android sono in costante aumento. L’uso di soluzioni efficaci per la protezione di smartphone e tablet offre sicurezza. I test eseguiti da AV-TEST mostrano quali prodotti garantiscono la migliore protezione “, ha dichiarato Andreas Marx, CEO di AV-TEST. “In questo frangente, G DATA Mobile convince regolarmente ottenendo ottimi voti in tutte le categorie di test.”

Anche Dragomir Vatkov, responsabile del Product Management di G DATA sa che il miglioramento continuo della soluzione di sicurezza è un criterio chiave per garantire la migliore protezione possibile agli utenti di device Android. “I risultati dei test condotti da AV-TEST confermano regolarmente il valore della nostra soluzione G Data Mobile Internet Security”, afferma Vatkov.”Il test attuale della nostra soluzione documenta inequivocabilmente che le nostre tecnologie di sicurezza proteggono gli utenti in modo affidabile contro le minacce informatiche. Siamo particolarmente soddisfatti che il nostro impegno quotidiano nella lotta al cybercrime dia i suoi frutti”.

Dettagli del Test:

  • Soluzioni di sicurezza testate: 20 inclusa G DATA Mobile Internet Security
  • Piattaforma / Sistema operativo: Android
  • Periodo: Maggio 2017
  • Eseguito da: AV-TEST

Sicurezza Mobile efficace sempre più essenziale

L’analisi dello status quo della sicurezza mobile condotta nel primo trimestre 2017 ha rivelato che i criminali informatici puntano a dispositivi mobili con crescente frequenza, perché molti utenti eseguono transazioni bancarie o fanno acquisti tramite smartphone o tablet. Una app di sicurezza per device Android dovrebbe includere sia un antivirus che tuteli contro trojan, virus e altri malware ma anche una protezione della navigazione e strumenti antiphishing a tutela degli utenti contro e-mail e siti web pericolosi.

G Data Mobile Internet Security assicura una protezione affidabile e completa per  dispositivi dotati di sistema operativo Android. Oltre a fornire protezione contro malware, applicazioni malevole e pericoli derivanti dalla navigazione mobile, la app di sicurezza intelligente tutela gli utenti contro le conseguenze fatali di perdita o furto del dispositivo: gli smartphone possono essere tracciati ed è possibile eliminare a distanza tutti i dati in essi memorizzati allo scopo di impedirne l’accesso da parte di terzi.

G DATA Mobile Internet Security: una panoramica

  • Protezione contro phishing e siti web dannosi attraverso un sistema di rilevazione cloud-based.
  • Protezione contro applicazioni pericolose: il controllo delle app verifica i diritti richiesti dalle stesse e avvisa qualora si installi una app particolarmente “curiosa”
  • Protezione contro malware per Android: grazie alla connessione al cloud, il sistema di scansione avanzata è sempre aggiornato alla versione attuale. L’analisi non ha alcun impatto sulle prestazioni del dispositivo e riconosce programmi malevoli.
  • Protezione contro la perdita o furto del dispositivo: qualora smartphone o tablet vengano smarriti o sottratti, tutti i dati ivi archiviati possono essere eliminati, il dispositivo può essere localizzato e bloccato.
  • Funzionalità di parental control estese e personalizzabili garantiscono un uso sicuro del dispositivo anche ai più piccoli
  • Il modulo VPN opzionale protegge contro il furto di dati all’interno di reti pubbliche

Continua a leggere

Sarà un lunedì nero? Considerazioni sul ransomware “WannaCry”


Dopo solo tre ore dall’inizio della diffusione di massa “WannaCry” ha mietuto numerosissime vittime in 11 Paesi. Gli effetti sono stati tali da spingere le organizzazioni colpite a richiedere l’immediato spegnimento di tutti i computer. G DATA raccomanda fortemente di installare tutti gli aggiornamenti delle soluzioni antivirus e le patch fornite da Microsoft il più presto possibile.

Un fulmine a ciel sereno

Nelle prime ore del mattino (CET) di venerdì 12 maggio in tutto il mondo si è rilevata un’ondata considerevole di infezioni ad opera dell’ultima versione del ransomware WCry / WannaCry. I ricercatori non hanno ancora identificato l’origine di questo attacco violento perpetrato tramite bot net, exploit kit, mail infette e malvertizing, con l’obiettivo di distribuire il ransomware attraverso i più svariati canali.

Risulta che il meccanismo impiegato da WannaCry sia basato su codici originariamente sviluppati dalla NSA. L’exploit è chiamato ETERNALBLUE ed è parte dei file diffusi pubblicamente lo scorso mese.

In Spagna, presso l’operatore telco Telefónica, la situazione è escalata al punto che i responsabili IT hanno richiesto a tutti gli impiegati di spegnere i PC immediatamente e di chiudere tutte le connessioni VPN per evitare che il ransomware si diffondesse su ulteriori sistemi nella rete aziendale. In UK il ransomware si è diffuso in diversi ospedali, forzando lo staff ad utilizzare la documentazione cartacea di back-up per garantire quanto meno un servizio di base. In Germania sono stati colpiti numerosi monitor con gli orari di partenze e arrivi di diverse stazioni ferroviarie.

(Immagine: Martin Wiesner via Twitter, stazione di Neustadt)

 

Ad oggi, lunedì 15 maggio, sono oltre 11 i Paesi colpiti, il ransomware ha interessato le più diverse tipologie di organizzazioni, dalla pubblica amministrazione al settore sanitario fino al terziario.

Infezione rallentata, l’eroe accidentale di WannaCry

Secondo quanto rilevato accidentalmente dal giovane ricercatore Darien Huss, WannaCry comunica con un dominio su cui è integrato un meccanismo per la sua disattivazione. Una volta contattato il dominio, se il server risponde, il ransomware viene disattivato e non infetta il sistema. Questa rilevazione fortuita ha contribuito a rallentare la diffusione del ransomware, assicurando ai responsabili di sicurezza di numerose organizzazioni un breve sollievo, ma non è risolutiva. La disattivazione funziona infatti solo su sistemi che non hanno subito un’infezione in precedenza. Non ripulisce il sistema dal malware e non ripristina i file cifrati. Inoltre il meccanismo non funziona se le macchine da colpire si trovano dietro ad un server proxy.

Contromisure

La falla di sicurezza che ha aperto la strada all’infezione e che trova riscontro anche nel CVE è stata identificata come “critica” e oggetto di patching da parte di Microsoft già nel mese di marzo! Proprio per questo motivo gli aggiornamenti forniti dai produttori andrebbero installati tempestivamente. Inoltre, a fronte dell’ampio parco di installazioni su cui sono ancora impiegati Windows XP (anche in ambienti critici), Windows 8 e Windows Server 2003, microsoft ha rilasciato aggiornamenti di emergenza. Patch che andrebbero applicate immediatamente.

A livello globale ci si aspetta una ripresa della diffusione nel corso della giornata di oggi. Gli utenti dovrebbero prestare particolare attenzione ai messaggi che vedono sullo schermo e allertare il proprio reparto IT immediatamente qualora sullo schermo appaia una richiesta di riscatto. E’ inoltre raccomandabile prestare grande attenzione agli allegati delle email, specie se queste risultano inviate dopo giovedì 11 maggio.

I maggiori produttori di soluzioni antivirus hanno già aggiornato tempestivamente i propri sistemi. Già da venerdì scorso il ransomware WannaCry viene identificato da tutte le soluzioni G DATA come Win32.Trojan-Ransom.WannaCry.A.

Per ulteriori dettagli tecnici e aggiornamenti consultare il blog G DATA al link https://blog.gdatasoftware.com/2017/05/29751-wannacry-ransomware-campaign

Continua a leggere