Sarà un lunedì nero? Considerazioni sul ransomware “WannaCry”


Dopo solo tre ore dall’inizio della diffusione di massa “WannaCry” ha mietuto numerosissime vittime in 11 Paesi. Gli effetti sono stati tali da spingere le organizzazioni colpite a richiedere l’immediato spegnimento di tutti i computer. G DATA raccomanda fortemente di installare tutti gli aggiornamenti delle soluzioni antivirus e le patch fornite da Microsoft il più presto possibile.

Un fulmine a ciel sereno

Nelle prime ore del mattino (CET) di venerdì 12 maggio in tutto il mondo si è rilevata un’ondata considerevole di infezioni ad opera dell’ultima versione del ransomware WCry / WannaCry. I ricercatori non hanno ancora identificato l’origine di questo attacco violento perpetrato tramite bot net, exploit kit, mail infette e malvertizing, con l’obiettivo di distribuire il ransomware attraverso i più svariati canali.

Risulta che il meccanismo impiegato da WannaCry sia basato su codici originariamente sviluppati dalla NSA. L’exploit è chiamato ETERNALBLUE ed è parte dei file diffusi pubblicamente lo scorso mese.

In Spagna, presso l’operatore telco Telefónica, la situazione è escalata al punto che i responsabili IT hanno richiesto a tutti gli impiegati di spegnere i PC immediatamente e di chiudere tutte le connessioni VPN per evitare che il ransomware si diffondesse su ulteriori sistemi nella rete aziendale. In UK il ransomware si è diffuso in diversi ospedali, forzando lo staff ad utilizzare la documentazione cartacea di back-up per garantire quanto meno un servizio di base. In Germania sono stati colpiti numerosi monitor con gli orari di partenze e arrivi di diverse stazioni ferroviarie.

(Immagine: Martin Wiesner via Twitter, stazione di Neustadt)

 

Ad oggi, lunedì 15 maggio, sono oltre 11 i Paesi colpiti, il ransomware ha interessato le più diverse tipologie di organizzazioni, dalla pubblica amministrazione al settore sanitario fino al terziario.

Infezione rallentata, l’eroe accidentale di WannaCry

Secondo quanto rilevato accidentalmente dal giovane ricercatore Darien Huss, WannaCry comunica con un dominio su cui è integrato un meccanismo per la sua disattivazione. Una volta contattato il dominio, se il server risponde, il ransomware viene disattivato e non infetta il sistema. Questa rilevazione fortuita ha contribuito a rallentare la diffusione del ransomware, assicurando ai responsabili di sicurezza di numerose organizzazioni un breve sollievo, ma non è risolutiva. La disattivazione funziona infatti solo su sistemi che non hanno subito un’infezione in precedenza. Non ripulisce il sistema dal malware e non ripristina i file cifrati. Inoltre il meccanismo non funziona se le macchine da colpire si trovano dietro ad un server proxy.

Contromisure

La falla di sicurezza che ha aperto la strada all’infezione e che trova riscontro anche nel CVE è stata identificata come “critica” e oggetto di patching da parte di Microsoft già nel mese di marzo! Proprio per questo motivo gli aggiornamenti forniti dai produttori andrebbero installati tempestivamente. Inoltre, a fronte dell’ampio parco di installazioni su cui sono ancora impiegati Windows XP (anche in ambienti critici), Windows 8 e Windows Server 2003, microsoft ha rilasciato aggiornamenti di emergenza. Patch che andrebbero applicate immediatamente.

A livello globale ci si aspetta una ripresa della diffusione nel corso della giornata di oggi. Gli utenti dovrebbero prestare particolare attenzione ai messaggi che vedono sullo schermo e allertare il proprio reparto IT immediatamente qualora sullo schermo appaia una richiesta di riscatto. E’ inoltre raccomandabile prestare grande attenzione agli allegati delle email, specie se queste risultano inviate dopo giovedì 11 maggio.

I maggiori produttori di soluzioni antivirus hanno già aggiornato tempestivamente i propri sistemi. Già da venerdì scorso il ransomware WannaCry viene identificato da tutte le soluzioni G DATA come Win32.Trojan-Ransom.WannaCry.A.

Per ulteriori dettagli tecnici e aggiornamenti consultare il blog G DATA al link https://blog.gdatasoftware.com/2017/05/29751-wannacry-ransomware-campaign

Continua a leggere

Android colabrodo: 8.400 nuovi malware al giorno nel primo trimestre 2017.


Il livello di rischio rimane allarmante, ma non è dovuto solo all’alacre attività dei cybercriminali.

Con una quota di mercato del 72 per cento a livello mondiale, il sistema operativo Android domina chiaramente il mercato della telefonia mobile. In Italia, circa il 69 per cento dei possessori di smartphone utilizza un dispositivo Android (Fonte: Statcounter, marzo 2017). Nel primo trimestre 2017, gli esperti dei G DATA Security Labs hanno individuato oltre 750.000 nuovi malware per Android, in media 8.400 nuove app dannose al giorno, una ogni dieci secondi.

Ancora troppo bassa la diffusione di Android 7

La vulnerabilità del sistema operativo Android, come di altri sistemi operativi, non é una novità. Molte aziende, tra cui Microsoft, Adobe o la stessa Google rilasciano con regolarità aggiornamenti di sicurezza. I proprietari di dispositivi Nexus o Pixel ricevono queste patch direttamente da Google. Purtroppo però la quota dei possessori dei “Googlefonini” è molto ridotta (nel mese di marzo 2017 in Italia oltre il 40% dei naviganti con smartphone Android impiegava dispositivi Samsung – fonte Statcounter), e attualmente, su scala globale, solo il 4.9 per cento degli utenti Android beneficia della versione 7 del sistema operativo sul proprio dispositivo, nonostante Nougat sia disponibile dal 7 agosto 2016 (status al 04.2017 Fonte: Google).

Tale enorme dilatazione dei tempi di consegna degli aggiornamenti dipende in massima parte dal fatto che quando Google rilascia una patch o una nuova versione del proprio sistema operativo, i produttori e gli operatori devono adattarla ai propri dispositivi. Il tutto richiede un’eternità e in alcuni casi tale processo non ha proprio luogo, forse perché la strategia di mercato per cui, su base annuale, sono immessi sul mercato nuovi top di gamma lascia poco spazio alla cura dei modelli precedenti (comunque ancora commercializzati poiché recenti) e della pletora di dispositivi di gamma medio-bassa. Per gli utenti ciò comporta l’esposizione a inutili rischi. Considerando l’impatto dei dispositivi mobili sulla quotidianità personale e aziendale, beneficiare di frequenti aggiornamenti di sicurezza che chiudono falle del sistema operativo è essenziale.

Come proteggersi

A differenza di Windows, per chi acquista un dispositivo sia esso uno smartphone o un tablet Android, non è sempre possibile determinare per quanto tempo e se il produttore renderà disponibili i dovuti aggiornamenti di sicurezza. Dotarsi di una soluzione completa per la protezione dei propri dati e delle proprie credenziali contro trojan come BankBot, contro malware in genere, tentativi di phishing, di dirottamento delle sessioni e di infezione drive-by è assolutamente un must. Di fronte al crescente volume e alla sofisticatezza delle minacce e al grado di obsolescenza dei sistemi operativi presenti sulla stragrande maggioranza degli smartphone e tablet Android, stare attenti non è sufficiente.

Conclusioni

Sebbene le moderne soluzioni complete per la sicurezza mobile siano in grado di tutelare gli utenti, riteniamo quanto mai opportuna una massiccia riduzione dei tempi di reazione da parte di tutti i produttori e un repentino cambio di rotta nei processi di distribuzione degli aggiornamenti di Android.

Continua a leggere