La storia è questa: nei mesi scorsi gli hacker Shadow Borkers irrompono su internet affermando di aver rubato dai server della NSA documenti segreti. Tra questi anche i codici di un paio di software utilizzati per bucare le difese informatiche di programmi comuni. L’exploit EternalBlue, usato poi per divulgare il ransomware WannaCry, deriva proprio dal lavoro digitale degli ingegneri della NSA, divenuto tutto d’un tratto di pubblico dominio. Dietro il fattaccio tecnico ve n’è uno prettamente politico: gli smanettoni, legati al governo di Mosca, tra i file si sono ritrovati anche informazioni di un certo peso su Trump, capaci di creare evidentemente un po’ di malumori a Washington. Da qui l’idea dei federali: contattare gli hacker per farsi fissare il prezzo del pacchetto e riaverlo indietro.

Cosa è successo

Tra le modalità di comunicazione utilizzate dalla NSA ci sarebbe anche Twitter, come affermato da un report del portale The Intercept. Nello specifico, il 20 giugno 2017 alle 12.30, l’account ufficiale @NSAGov scrive Samuel Morse ha inventato il telegrafo 177 anni fa. Sapete di poter ancora inviare telegrammi? In maniera più veloce di altri servizi. Il tweet, come altri, sembra un messaggio innocuo e invece rappresenta una forma di dialogo con i russi.

Nei seguenti arrivano infatti indicazioni su luoghi, cifre numeriche che corrisponderebbero al prezzo fissato in dollari e altre informazioni sull’oggetto dell’accordo. Secondo The Intercept, il dialogo tra USA e Russia sarebbe andato a buon fine, tanto che questi ultimi avrebbero consegnato parte dei file a fine dicembre, inclusi dati finanziari, statistiche e indagini condotte dalla National Security Agency, di cui probabilmente il governo centrale non era nemmeno a conoscenza.

L'articolo La NSA ha usato Twitter per inviare messaggi segreti proviene da Data Manager Online.

Se EternalBlue è l’exploit che ha permesso a minacce come WannaCry e NotPetya di espandersi a livello globale, questi altri tre potrebbero fare anche peggio. Si chiamano EternalSynergy, EternalChampion ed EternalRomance e sono stati scoperti da un ricercatore dell’agenzia di sicurezza RiskSense. Si tratta di linee di codice modificate apposta per affliggere tutte le versioni del sistema operativo di Microsoft lanciate negli ultimi 18 anni, a partire da Windows 2000.

Queste soffrono di alcune vulnerabilità per le quali esistono già le patch, ma non è detto che tutti le abbiano installate, proprio come nel caso del difetto che interessava Windows XP e che ha semplificato la diffusione di WannaCry. Qui la storia è leggermente diversa, perché i tre exploit colpiscono tanto i vecchi software quanto i più recenti, Windows 10 incluso.

Cari vecchi security bulletin

C’è poco da girarci attorno: scaricare e installare sempre le correzioni presenti nei bollettini di sicurezza che Microsoft rilascia periodicamente non è un vezzo per gli esperti ma deve porsi come buona pratica da parte di tutti. Basti pensare che la stessa Redmond affermava come Windows 10 fosse protetto da ogni simile attacco e invece no, con il rilascio delle informazioni sulle vulnerabilità  indicate nei documenti CVE-2017-0143 e CVE-2017-0146 ci siamo accorti che anche lavori di ultima generazione sono bisognosi di cerotti digitali. Anzi, in un simile contesto è ancora più evidente che non si può poggiare il proprio lavoro su OS obsoleti, che mamma Microsoft non supporta più. Windows XP è tra questi mentre il più utilizzato Windows 7 si appresta all’end of support il 14 gennaio del 2020.

L'articolo Così la NSA può colpire tutti i sistemi Windows in circolazione proviene da Data Manager Online.

Nei mesi scorsi si è fatto un gran parlare di EternalBlue, l’exploit realizzato dalla NSA e rubato dai server dell’agenzia federale dagli hacker del gruppo Shadow Brokers. A detta degli analisti, proprio il pacchetto è stato usato per creare la minaccia WannaCry, che nella seconda parte del 2017 ha messo in crisi sistemi informatici in tutto il mondo, compresi quelli di ospedali, multinazionali del settore automotive, manifatturiero e molto altro. EternalBlue però si è mostrato estremamente versatile, tanto da potenziare pure NotPetya, un attacco successivo e meno distruttivo di WannaCry ma comunque in grado di fare danni un po’ ovunque sotto forma di ransomware.

Cosa succede

Stando a Panda Security, EternalBlue sta continuando la sua missione camaleontica, insediandosi questa volta nei computer in maniera diversa. L’exploit infatti sarebbe stato usato per diffondere un malware che, una volta nel PC, prende possesso della CPU per convertirne il lavoro in attività di produzione di monete digitali, come Bitcoin e Monero. CloudStrike, che è andata più a fondo nella questione, ha definito il virus WannaMine, legandolo evidentemente a quello dello scorso anno, almeno nella base di programmazione.

Riconoscerlo nella propria rete non è per nulla semplice, anche perché l’ennesima trasformazione non da segni di malfunzionamento della macchina, se non un rallentamento che in certi casi può arrivare al 100% delle risorse occupate dal sistema. Gli obiettivi degli hacker sono specifici: non tanto gli utenti singoli ma le server farm e i data center, con un potenziale di produzione di criptomoneta decisamente superiore. Dal momento della scoperta, i principali tool di rilevamento dovrebbero essere in grado di scovare WannaMine e rimuoverlo senza troppi problemi.

L'articolo EternalBlue è tornato e comanda WannaMine proviene da Data Manager Online.

Gli Shadow Brokers sono tornati alla carica. Dopo aver rubato i codici del tool Eternal Blue dai server della NSA, che di fatto hanno permesso la creazione di ransomware diffusi a livello globale, i ragazzacci hanno pensato bene di sponsorizzare il loro servizio di dumping e backup dei dati: “Un altro cyberattacco globale ha colpito il mondo alla fine del primo mese del servizio di dump shadowbrokers. Non lasciate che la vostra compagnia cada vittima delle nuove minacce, con il rischio di perdere importanti business e capitali. Siete ancora in tempo per iscrivervi alla piattaforma, prima di un rialzo del prezzo del canone a luglio”. Il gruppo ha avviato inoltre un programma VIP per fornire a chiunque voglia exploit specifici e colpire così obiettivi specifici. Insomma: un portfolio a 360 gradi che guarda sia alle necessità delle compagnie che degli hacker.

Cosa succede

Il team di smanettoni che sta mettendo in pericolo computer in tutto il globo ha persino minacciato di rivelare l’identità di un utente che su Twitter ha cominciato a deridere le loro azioni. I Brokers pensano (avranno buoni motivi per farlo) che si tratti di un ex membro della NSA, o meglio dell’Equation Group, la divisione cybernetica dell’agenzia federale. L’account doctor (@drwolfff), è tutt’ora vittima di una vera estorsione, spinta dalla richiesta di iscrizione al programma di dump tramite l’email corporate per la quale lavora; se non lo farà, gli hacker rilasceranno le sue generalità, che potrebbero svelare un tecnico che, in passato, avrebbe sviluppato diversi software per violare organizzazioni e aziende in Cina. L’operato degli Shadow Brokers non è lineare e molto vicino a quello di troll schizofrenici che si divertono su internet: da un lato mietono il terrore con la promessa di diffondere leak e procedure utilizzate dai governi, dall’altro spingono per la sottoscrizione a soluzioni che servono a mitigare i problemi che loro stessi hanno contribuito a creare.

L'articolo Shadow Brokers senza pietà: servizio a pagamento contro i ransomware che hanno diffuso proviene da Data Manager Online.

Gli Shadow Brokers sono diventati famosi qualche mese fa, con la pubblicazione in rete di alcuni dei tool utilizzati dalla NSA nelle loro operazioni di spionaggio. Come li hanno ottenuti? È ancora un mistero ma a ridosso del furto gli hacker avevano tentato di vendere online il frutto del loro lavoro, senza riscontrare un grande interesse. Per evitare di cadere nell’oblio, gli smanettoni hanno diffuso via GitHub il codice sorgente di un malware federale, probabilmente quello che a metà maggio ha bloccato prima decine di ospedali inglesi e poi utenti e aziende in giro per il mondo. Insomma, se le attività di multinazionali e servizi sanitari sono saltate per più di un giorno, la colpa è si della National Security Agency ma anche dei Brokers, divenuti consapevoli fornitori dei malintenzionati che sono riusciti a sfruttare le vulnerabilità individuate dagli agenti USA.

Scopo di business

Come non di rado accade nel panorama della cybersecurity, gli Shadow Brokers hanno mostrato la loro strategia, lanciando un servizio mensile per la ricerca di zero-day. Questo è rivolto a grandi compagnie, gruppi di hacker, governi e OEM, che hanno facoltà di pagare circa 20 mila euro al mese per ottenere le ultime informazioni sui bug che affliggono i sistemi a livello globale, così da patacharli o sfruttarli, a seconda delle intenzioni. Il particolare curioso è che il canone di abbonamento viene richiesto in ZEC, ovvero Zcash, una moneta virtuale nata sulla scia dei bitcoin ma considerata più sicura e protetta, tanto da essere usata anche dalla DARPA e dal Dipartimento della Difesa americano. La domanda è: perché investire una simile cifra nell’operato di un team di hacker che ha permesso la divulgazione di WannaCry e del seguente blackout informatico invece di concentrarsi sullo sviluppo di una rete protettiva interna, circondata da policy solide e aggiornamenti frequenti? Non dovrebbero esserci dubbi a riguardo, ma ovviamente bastano un paio di clienti ai ragazzi per portare avanti il loro business.

L'articolo Ecco dove volevano arrivare gli Shadow Brokers: piattaforma di testing a pagamento proviene da Data Manager Online.

Si chiama così rocce eterne perché è il ransomware che punta a non scomparire mai, mietendo vittime un po’ ovunque. Si tratta di una minaccia simile a quanto visto nei giorni scorsi con WannaCry, anche se EternalRocks ne migliora (in negativo per noi) alcuni aspetti. Ad esempio sfrutta non solo i due exploit della NSA su cui si era basato il primo, ovvero EternalBlue e DoublePulsar, ma pure EternalChampion, EternalRomance, EternalSynergy, ArchiTouch e SMBTouch, indirizzati principalmente a scovare falle nel MicrosoftServer Message Block, l’SMB che ha il compito di gestire gli accessi condivisi tra i nodi di una stessa rete. A scoprire la pericolosa variante è stata Trend Micro, che ne ha anche dettagliato il funzionamento, con l’obiettivo di diffonderne la conoscenza e un rapido debellamento.

Come agisce

Nella pratica, EternalRocks agisce in due momenti separati. Nel primo si assicura un canale di comunicazione diretto per il computer infetto, attraverso l’installazione di un client TOR che punta direttamente al centro di comando e controllo del server. Dopo 24 ore dal primo contatto, il Command & Control (C&C) invia alla vittima il file shadowbrokers.zip (dal nome degli hacker che hanno contribuito a diffondere online i tool della NSA) che contiene gli exploit. Quando è attivo, EternalRocks effettua ricerche continue su internet per individuare sistemi con la porta 445 aperta, così da insediarsi tramite questa e duplicarsi su altri PC. Tecnicamente non stiamo nemmeno parlando di un ransomware, visto che Rocks non comprende eseguibili maligni, tesi a crittografare gli archivi o a bloccare il computer. La sua pericolosità sta proprio in questo: senza un’azione concreta, le macchine non riescono facilmente a individuarlo, restando infette e potenzialmente alla mercé degli hacker connessi in remoto. Per fortuna il virus usa gli stessi exploit di WannaCry e dunque per evitarlo basta scaricare e patchare il sistema con le ultime definizioni di Microsoft. Cosa può accadere sui dispositivi colpiti è ancora da capire.

L'articolo I timori erano fondati: EternalRocks è peggio di WannaCry proviene da Data Manager Online.