Il 2017 è stato senza dubbio l’anno dei ransomware, basti pensare a Petya e WannaCryptor, che hanno causato danni per molti miliardi, mettendo in ginocchio tanto gli utenti privati quanto le aziende. Tuttavia, a destare scalpore sono stati soprattutto i ransomware progettati per la piattaforma Android, che si sono rivelati sempre più aggressivi e capaci di estorcere denaro. Eppure, secondo i dati di ESET LiveGrid, nonostante la crescita generale dei malware per Android, la distribuzione dei ransomware per questa piattaforma non ha mantenuto il trend di crescita degli anni precedenti: si è registrata infatti una diminuzione significativa, che ha visto scendere le percentuali di detenzione dal picco del 100% di Marzo 2016 al 35% del Marzo 2017, toccando i minimi del 5% di Novembre 2017.

Questo calo potrebbe essere stato solo temporaneo, come potrebbero dimostrare i diversi picchi di rilevamento ransomware per Android tra cui DoubleLocker, individuato dai ricercatori ESET proprio verso la fine del 2017. DoubleLocker rappresenta probabilmente uno dei casi più emblematici dell’evoluzione dei ransomware avvenuta nel 2017, che ha coniugato un miglioramento dei sistemi per estorcere denaro alle vittime con l’abuso dei servizi di accessibilità del menu Android. Grazie a questi ultimi, i cyber criminali sono stati in grado di attivare i diritti di amministratore del dispositivo, raccogliere le credenziali e le informazioni personali dell’utente, scaricare e installare payload malevoli, applicazioni indesiderate o altri malware sul dispositivo della vittima. La maggior parte degli attacchi registrati negli ultimi 12 mesi hanno distribuito malware bancari, che hanno puntato ad ottenere le credenziali del conto corrente e rubare i numeri delle carte di credito delle vittime.

La tematica sarà approfondita anche in occasione del Mobile World Congress di Barcellona, in cui ESET sarà presente allo stand 7H41, padiglione 7.

L'articolo I ransomware Android nel 2017: meno numerosi ma sempre più innovativi e capaci di estorcere denaro proviene da Data Manager Online.

Quando nel 2017 WannaCry ha cominciato a colpire l’Europa, una delle prime vittime è stata la NHS, catena che gestisce gli ospedali pubblici nel Regno Unito. Lo scalpore dovuto al malfunzionamento delle strutture e relative conseguenze per i pazienti ha innalzato il livello di attenzione della massa verso problematiche del genere, già molto conosciute dagli addetti ai lavori. Per evitare che i figli di WannaCry creino simili danni in futuro, il reparto speciale NHS Digital ha concluso un accordo di fornitura con Microsoft per riconoscere e prevenire minacce informatiche lungo tutta la rete nazionale.

A supportare il lavoro del team dedicato sarà la piattaforma Enterprise Threat Detection Service, che invierà notifiche periodiche sullo stato dei network, soprattutto in prossimità di falle e bug e rischi sfruttabili dagli hacker. Saranno poi gli esperti di Redmond a mettersi in contatto con NHS per l’attivazione delle migliori procedure del caso.

Proteggere i dati sensibili

Queste le parole di Dan Taylor, direttore della sicurezza di NHS Digital: “L’accordo con Microsoft rafforzerà ulteriormente la protezione delle strutture. Il nostro compito sarà quello di avvisare le singole organizzazioni per renderle consapevoli dei pericoli riscontrati e aiutarli a prendere le misure necessarie per minimizzarli. Si tratta di un cambiamento nell’approccio, che diventa maggiormente proattivo, con l’obiettivo di proteggere la salute dei pazienti”.

L’Enterprise Threat Detection Service raggiungerà un numero di computer che vagli attuali 30 mila agli oltre 1,5 milioni di cui sono dotati gli ospedali del gruppo, non solo computer ma tutti i dispositivi usati a scopo professionale. L’obiettivo è anche sensibilizzare sul tema, soprattutto in contesti che dovrebbero fare della sicurezza informatica un caposaldo della propria attività. Non è un caso se le prime indagini su come era stato diffuso WannaCry avevano evidenziato che se fossero state intraprese pratiche basilari di cyber-security sarebbero state evitate la maggior parte delle conseguenze sofferte dai sistemi vittima dell’attacco.

L'articolo NHS Digital stringe un accordo di prevenzione cyber con Microsoft proviene da Data Manager Online.

A pochi giorni dalla scoperta di NotPetya (o Petya 2.0), le forze dell’ordine dell’Ucraina hanno sequestrato i server della compagnia Intellect Service, considerata la responsabile per la diffusione del ransomware su scala globale. Il capo della divisione cyber della polizia ha confermato la misura di sicurezza, giunta dopo alcune indagini che hanno portato ad analizzare il software di contabilità M.E.Doc, quello da cui sarebbe partito il contagio. Il programma in questione appartiene alla ME Doc ma lo sviluppo è nelle mani della Intellect Service, che pare abbia incluso nel codice una backdoor di emergenza, la stessa che avrebbe consentito alla minaccia di espandersi così rapidamente. Durante i controlli, un dipendente ha postato un Facebook l’arrivo della polizia e il seguente sequestro dei server.

Cosa succede

Resta da capire come e perché sia stato utilizzato M.E.Doc come sorgente primaria dell’infezione. Secondo le forze dell’ordine: “Una volta ottenuto l’accesso al codice, gli hacker hanno sfruttato la backdoor insediandosi in uno degli update del programma, così da avere una via preferenziale di intrusione sui computer”. Di che hacker stiamo parlando? Mossi da uno stato? Hacktivisti? Terroristi o lupi solitari? Non è chiaro, quello che si sa al momento è che il ransomware che ha messo in ginocchio un numero più alto ed esteso di computer rispetto a WannaCry è partito da un semplice software di contabilità. Abbiamo anche la data della prima infezione: 15 maggio 2017, poco più di un mese prima del 27 giugno, quando NotPetya ha messo fuori uso i computer governativi ucraini e quelli in giro per il mondo. Anche se la connessione tra ME Doc e i criminali informatici non è stata appurata, la compagnia potrebbe comunque rispondere penalmente di quanto accaduto, se non altro per la negligenza nell’aver ignorato, volutamente o meno, la presenza della backdoor e delle sue conseguenze.

L'articolo NotPetya è partito da questi server proviene da Data Manager Online.

Sappiamo quanto gran parte dei danni provocati dai ransomware WannaCry e Petya derivino da sistemi operativi non aggiornati. La maggioranza dei dispositivi colpiti montava Windows XP, un software obsoleto, che Microsoft ha abbandonato anni fa. Eppure, data la vastità dell’infezione, la compagnia di Redmond è dovuta tornare sui suoi passi, rilasciando patch di sicurezza anche per la piattaforma presente un po’ ovunque, da PC domestici a quelli di grande catene industriali. Sebbene la storia dei virus avrebbe dovuto spingere le persone ad affidarsi a OS di nuova generazione, in realtà l’effetto è stato l’esatto contrario: Windows XP ha guadagnato punti in percentuale sull’utilizzo, a scapito dei rivali in casa.

I numeri

Stando alle ultime rilevazioni di Netmarketshare.com, Windows XP ha guadagnato il +1,28% nell’ultimo mese, portandosi a casa una fetta del 6,94% sul totale. A questo fa eco lo stallo persistente di Windows 10, fermo al +0,02 che corrisponde a un 26,8 del mercato. Scendono sia Windows 7 che Windows 8, a dimostrazione di quanto conti il salto in avanti compiuto da XP. Considerando computer, smartphone, tablet, console di gioco e IoT, le varie versioni di Windows sono presenti sul 91,13% di tutte le macchine attive a livello globale, in buona parte Windows 10, quindi protette dalle recenti minacce alla sicurezza digitale. Siamo evidentemente dinanzi a un curioso paradosso che ora Microsoft dovrà affrontare: più rilascia patch e più le persone (soprattutto la pubblica amministrazione) sembrano apprezzare il sistema operativo vecchio di una vita; non esattamente la strategia che si aspettava Redmond.

L'articolo Paradosso Windows XP: adesso è in risalita proviene da Data Manager Online.

Gli Shadow Brokers sono tornati alla carica. Dopo aver rubato i codici del tool Eternal Blue dai server della NSA, che di fatto hanno permesso la creazione di ransomware diffusi a livello globale, i ragazzacci hanno pensato bene di sponsorizzare il loro servizio di dumping e backup dei dati: “Un altro cyberattacco globale ha colpito il mondo alla fine del primo mese del servizio di dump shadowbrokers. Non lasciate che la vostra compagnia cada vittima delle nuove minacce, con il rischio di perdere importanti business e capitali. Siete ancora in tempo per iscrivervi alla piattaforma, prima di un rialzo del prezzo del canone a luglio”. Il gruppo ha avviato inoltre un programma VIP per fornire a chiunque voglia exploit specifici e colpire così obiettivi specifici. Insomma: un portfolio a 360 gradi che guarda sia alle necessità delle compagnie che degli hacker.

Cosa succede

Il team di smanettoni che sta mettendo in pericolo computer in tutto il globo ha persino minacciato di rivelare l’identità di un utente che su Twitter ha cominciato a deridere le loro azioni. I Brokers pensano (avranno buoni motivi per farlo) che si tratti di un ex membro della NSA, o meglio dell’Equation Group, la divisione cybernetica dell’agenzia federale. L’account doctor (@drwolfff), è tutt’ora vittima di una vera estorsione, spinta dalla richiesta di iscrizione al programma di dump tramite l’email corporate per la quale lavora; se non lo farà, gli hacker rilasceranno le sue generalità, che potrebbero svelare un tecnico che, in passato, avrebbe sviluppato diversi software per violare organizzazioni e aziende in Cina. L’operato degli Shadow Brokers non è lineare e molto vicino a quello di troll schizofrenici che si divertono su internet: da un lato mietono il terrore con la promessa di diffondere leak e procedure utilizzate dai governi, dall’altro spingono per la sottoscrizione a soluzioni che servono a mitigare i problemi che loro stessi hanno contribuito a creare.

L'articolo Shadow Brokers senza pietà: servizio a pagamento contro i ransomware che hanno diffuso proviene da Data Manager Online.

Petya è stato scoperto nel 2016 ed è un tipo di ransomware che cripta la Master File Tree (MFT) e riscrive il Master Boot Record (MBR),  impedendo alle vittime di utilizzare il proprio computer e chiedendo loro un riscatto per potere nuovamente accedere  ai propri dati.

Questa nuova variante è particolarmente efficace perché sfrutta una serie di tecniche mirate alla diffusione automatica del ransomware all’interno della rete aziendale nel momento in cui il primo computer viene infettato.

I clienti di Sophos, grazie a Sophos Endpoint Protection, sono protetti contro questa nuova minaccia. Gli utenti di Sophos Intercept X sono protetti proattivamente e dal momento in cui  questa minaccia è apparsa nessun loro dato è stato criptato dai cybercriminali.

Cosa devono fare gli utenti al più presto

• Assicurarsi che i propri sistemi abbiano installato le ultime patch, inclusa la patch di Microsoft MS17-010
• Valutare di bloccare Microsoft PsExec, rendendolo non eseguibile sui computer degli utenti. È possibile bloccarlo usando una soluzione come Sophos Endpoint Protection. Una versione di questo strumento Microsoft è infatti sfruttata da Petya per diffondersi automaticamente.
• Effettuare il backup regolarmente e tenere sempre una copia del backup, più recente possibile, off-site. Ci sono una dozzina di modi in cui i file possono essere irrimediabilmente corrotti, oltre naturalmente ad un attacco ransomware. Un’eliminazione accidentale, un furto, un danneggiamento dell’hardware dovuto ad agli urti. È necessario inoltre criptare il proprio backup per evitare che possa essere rubato.
• Evitare di aprire allegati da destinatari sconosciuti, anche se lavorate spesso con allegati di email
• Scaricare la prova gratuita di Sophos Intercept X e, per l’utenza casalinga, registrarsi per la versione gratuita Sophos Home Premium Beta: queste soluzioni prevengono l’attacco ransowmare bloccando la criptazione dei file non autorizzata sui file nei vostri hard disk

L'articolo Nuova variante del Ransomware Petya (noto anche come Petrwrap/Petyawrap) proviene da Data Manager Online.

Che Petya (o NotPetya) fosse una storia nota è evidente. Nel 2016 il codice appartenente al ransomware era stato riscontrato in alcuni attacchi e anche agli inizi del 2017 una sua variante aveva causato qualche interruzione a livello locale. Poche soprese anche a riguardo della conoscenza della falla su cui Petya agisce da parte della NSA, l’agenzia che ha sviluppato il tool EternalBlue proprio per scovare vulnerabilità sui sistemi più usati al mondo. Suscita maggiore interesse l’indiscrezione secondo cui la stessa National Security Agency avrebbe informato a tempo debito Microsoft del problema, più o meno tra febbraio e marzo di quest’anno, e che questa abbia temporeggiato un po’ troppo prima di emettere una soluzione.

Cosa succede

Perché l’azienda di Redmond ha ritardato nella pubblicazione di una patch non così difficoltosa? Volendo pensare male, potrebbe sembrare che senza il caos generato da WannaCry oggi non avremmo nemmeno un aggiornamento di sicurezza volto a chiudere ogni via di ingresso al ransomware. Il motivo? Eccessivo menefreghismo e noncuranza di un pericolo considerato sorpassato e poca attenzione, da parte delle aziende, ad aggiornare i sistemi per proteggersi meglio. Visto che il nuovo Petya è composto in parte da EternalBlue, una rapida soluzione da parte della multinazionale avrebbe evitato (di certo limitato) la serie di unità che stanno cadendo vittime della più recente minaccia: dalla centrale dismessa di Chernobyl alla metropolitana di Kiev, passando per banche e ospedali. Il dito è puntato contro la lentezza di Microsoft ma anche nei confronti di chi, pur pagato per questo, non ha colto l’invito a installare le patch quando emesse, lasciando i computer scoperti e vulnerabili al virus.

L'articolo Petya? La NSA conosce il ransomware da anni proviene da Data Manager Online.

Petya è stato scoperto nel 2016 ed è un tipo di ransomware che cripta la Master File Tree (MFT) e riscrive il Master Boot Record (MBR),  impedendo alle vittime di utilizzare il proprio computer e chiedendo loro un riscatto per potere nuovamente accedere  ai propri dati.

Questa nuova variante è particolarmente efficace perché sfrutta una serie di tecniche mirate alla diffusione automatica del ransomware all’interno della rete aziendale nel momento in cui il primo computer viene infettato.

I clienti di Sophos, grazie a Sophos Endpoint Protection, sono protetti contro questa nuova minaccia. Gli utenti di Sophos Intercept X sono protetti proattivamente e dal momento in cui  questa minaccia è apparsa nessun loro dato è stato criptato dai cybercriminali”.

Cosa devono fare gli utenti al più presto

• Assicurarsi che i propri sistemi abbiano installato le ultime patch, inclusa la patch di Microsoft MS17-010
• Valutare di bloccare Microsoft PsExec, rendendolo non eseguibile sui computer degli utenti. È possibile bloccarlo usando una soluzione come Sophos Endpoint Protection. Una versione di questo strumento Microsoft è infatti sfruttata da Petya per diffondersi automaticamente.
• Effettuare il backup regolarmente e tenere sempre una copia del backup, più recente possibile, off-site. Ci sono una dozzina di modi in cui i file possono essere irrimediabilmente corrotti, oltre naturalmente ad un attacco ransomware. Un’eliminazione accidentale, un furto, un danneggiamento dell’hardware dovuto ad agli urti. È necessario inoltre criptare il proprio backup per evitare che  possa essere rubato.
• Evitare di aprire allegati da destinatari sconosciuti, anche se lavorate spesso con allegati di email
• Scaricare la prova gratuita di Sophos Intercept X e, per l’utenza casalinga, registrarsi per la versione gratuita Sophos Home Premium Beta: queste soluzioni prevengono l’attacco ransowmare bloccando la criptazione dei file non autorizzata sui file nei vostri hard disk.

L'articolo Nuova variante del Ransomware Petya (noto anche come Petrwrap/Petyawrap) proviene da Data Manager Online.

Secondo le ultime notizie diffuse dalle regioni inizialmente interessate dall’attacco e dai media, l’ondata di infezioni con il ransomware di Petya ha colpito numerosissime organizzazioni governative e private in Europa come negli Stati Uniti, tra cui una grande compagnia petrolifera, costretta – secondo indiscrezioni – a passare ai server di backup per garantire la continuità della produzione, aziende per la fornitura di energia elettrica, società di logistica e l’aeroporto di Kiev, chiuso nel tardo pomeriggio di ieri per le conseguenze dell’infezione, oltre a sistemi di pagamento elettronico in uso presso supermercati.

Nel frattempo, primi pagamenti del riscatto richiesto sono già stati versati su quello che – al momento – risulta essere l’unico portafoglio bitcoin per il quale si riconosca una relazione diretta con l’attuale campagna. G DATA sconsiglia fortemente di pagare qualsiasi riscatto! Non necessariamente il pagamento assicura che si possa di nuovo disporre dei file cifrati.  Tra l’altro, una volta scoperto che cybercriminali si stavano avvalendo di una casella di posta elettronica Posteo per lanciare l’attacco su larga scala, il provider tedesco ha bloccato l’accesso alla casella e ha informato l’Ufficio Federale per la Sicurezza Informatica. I cybercriminali non hanno più accesso alle mail ivi inviate.

Dettagli tecnici

Dalle analisi condotte dai G DATA Security Lab e da risultanze condivise dalla community infosec, l’origine dell’ondata di infezioni è stata individuata nella compromissione di un meccanismo di aggiornamento di un software ampiamente utilizzato per la contabilità. Le prime vittime sono state infettate proprio tramite l’aggiornamento di tale software. Pur avvalendosi di Eternalblue per infettare la rete locale, a differenza di  Wannacry il “nuovo” Petya non si propaga tramite Internet. Cerca invece accesso alle credenziali di amministratore per poter inserire i propri file in cartelle $admin condivise in rete. Anche la cifratura mostra tratti familiari: il ransomware verifica se ha modo di accedere ai privilegi di amministratore per sovrascrivere alcune aree del disco rigido. Qualora l’esito sia positivo, viene forzato il reboot di una macchina infetta dopo aver subito un crash. Al contrario di quanto presentato da alcuni rapporti comparsi su piattaforme di social media, in questo ransomware non è presente alcun “killswitch”.

All’attuale stato delle cose, la componente che dà luogo alla diffusione dell’ultima variante di Petya pare funzionare meglio di WannaCry su Windows XP. Oltre a ciò, la versione corrente cancella il registro degli eventi di Windows durante il processo di infezione.

Il ransomware prende di mira file con le seguenti estensioni:

.3ds .7z .accdb.  ai. asp .aspx .avhd .back .bak .c .cfg .conf .cpp .cs .ctl .dbf .disk

.djvu .doc .docx .dwg .eml .fdb .gz .h .hdd .kdbx .mail .mdb .msg .nrg .ora .ost .ova .ovf .pdf .php .pmf .ppt

.pptx .pst .pvi .py .pyc .rar .rtf .sln .sql .tar .vbox .vbs .vcb .vdi .vfd .vmc .vmdk .vmsd .vmx .vsdx .vsv .work .xls.

xlsx .xvd .zip

Un’infinità di nomi per il Petya redivivo

G DATA ha riscontrato una generalizzata confusione nell’assegnare un nome all’attuale variante del ransomware “Petya”. La base di codice è indubbiamente quella di Petya / Misha / GoldenEye, per questo motivo inizialmente intendevamo procedere usando il nome “Petya”. Altri lo hanno chiamato NotPetya, EternalPetya, PetyaBlue, Petna, PetyaWrap, Petrwrap, SortaPetya, Nyetya, Expetr e altri. Pur avendo deciso di fare riferimento a questa particolare nuova variante con il nome Petna, la denominazione con cui il ransomware è identificato resta invariata.

Clienti G DATA protetti

La variante corrente è rilevata da tutte le soluzioni G DATA come Win32.Trojan-Ransom.Petya.V e Trojan.Ransom.GoldenEye.B. Altri moduli proattivi quali l’ExploitProtection e la protezione comportamentale AntiRansomware offrono un ulteriore livello di protezione.

Countromisure e mitigazione

Ci sono diverse misure efficaci per prevenire infezioni o quanto meno mitigare i rischi:

• Installare l’ultimo aggiornamento di Windows se possibile. Questo aggiornamento (disponibile dal mese di marzo – come già indicato nel caso di WannaCry) chiude le falle di cui si avvale l’exploit Eternalblue.
• Per prevenire infezioni attraverso l’interfaccia di gestione di Windows (WMI), gli amministratori di sistema dovrebbero prendere alcune precauzioni, come raccomandato da Microsoft
• L’esecuzione di un codice da remoto attraveso PSExec o WMI richiede privilegi di amministratore: si sconsiglia di garantire tali privilegi ai normali utenti.
• Se si nota un’infezione prima che appaia la richiesta di riscatto, spegnere immediatamente il sistema. Non riavviare la macchina in nessun caso – c’è la possibilità che non tutto sia stato cifrato prima dello spegnimento forzato.

Di nuovo: raccomandiamo di non effettuare alcun pagamento di riscatto, soprattutto visto che il provider ha chiuso la casella di posta elettronica dei criminali.

L'articolo Petya redivivo, di nuovo proviene da Data Manager Online.

L’analisi iniziale indica che l’attacco è iniziato in Ucraina, indirizzato a varie aziende e agenzie governative. I dati dei nostri ricercatori hanno segnalato attacchi importanti in Francia, Danimarca, Spagna, Regno Unito, Russia e Stati Uniti.

Cisco Talos sta indagando attivamente sull’attacco e sta aggiornando regolarmente questo blog post.

I ricercatori di Talos ritengono che il primo attacco verificatosi in Ucraina abbia avuto origine da sistemi di aggiornamento software di un pacchetto contabile fiscale ucraino chiamato MeDoc. Questo sembra essere stato confermato da MeDoc stesso.

Ma l’aspetto più innovativo ed inquietante allo stesso tempo è che una volta che questo ransomware è entrato nel sistema, utilizza tre modi per diffondersi automaticamente in una rete, uno dei quali è la nota vulnerabilità Eternal Blue, simile a quanto è avvenuto con l’attacco WannaCry del mese scorso.

Inoltre la nuova variante scoperta da Talos crittografa il master boot record (MBR) di un sistema. (la sequenza di comandi/istruzioni necessarie all’avvio (boot) del sistema operativo- chiaramente molto importante).

Quello che emerge da questo attacco è che le aziende di ogni dimensione e settore, pubbliche e private, devono dare priorità alle patch dei sistemi per abbassare il loro profilo di rischio. Dobbiamo affrontare queste vulnerabilità il più rapidamente possibile. Inoltre, fare backup dei dati importanti è fondamentale e va introdotto in qualsiasi processo di security.

Stefano Volpi, Practice Leader per l’Italia e GSSO di Cisco

L'articolo Ransomware globale: non più Petya, scoperto Nyetya proviene da Data Manager Online.