La prima ondata è finita. La campagna del ransomware WannaCry ha colpito più di 70 paesi, ha messo fuori uso aziende di alto profilo e ha compromesso il sistema sanitario del Regno Unito. Derivato da un exploit creato dalla NSA e filtrato dal gruppo Shadow Brokers, WannaCry sfrutta una vulnerabilità che Microsoft ha corretto a marzo, anche se è evidente che le pratiche di amministrazione in tutto il mondo lasciano molto a desiderare. Nel migliore dei casi, il tuo sistema è già protetto, ma se hai dei dubbi, continua a leggere…
L'attacco di WannaCry
La situazione era molto strana. I media tradizionali hanno cominciato a parlare di termini come «ransomware» e «cyberattacco», e con il passare delle ore è diventato chiaro che non si trattava di un evento isolato. Una nuova campagna era entrata in azione, e il suo primo colpo è stato durissimo. Ha raggiunto più di 70 paesi, mettendo fuori gioco Telefónica, FedEx e il sistema sanitario britannico. La maggior parte degli attacchi (oltre 75.000 finora) si è concentrata in Russia, Ucraina e India, ma non ci è voluto molto perché si diffondesse oltre quei territori. Ed effettivamente è un ransomware, una variante di malware di cui abbiamo parlato molto negli ultimi mesi, e che a quanto pare nessuno ha preso sul serio fino ad ora. Ha molti nomi, ma il più popolare è WannaCry, e fondamentalmente chiede 300 dollari in bitcoin in cambio delle informazioni sequestrate. Se la vittima non paga entro il 15 maggio, il prezzo aumenterà e riceverà altre 96 ore di margine.
Se studiamo più a fondo WannaCry, scopriremo due dettagli molto interessanti e allo stesso tempo preoccupanti. In primo luogo, il suo sviluppo è basato sullo strumento ETERNALBLUE che attacca una vulnerabilità presente nel protocollo SMB di Windows. Questa risorsa è stata rubata alla NSA in aprile dal gruppo Shadow Brokers, quindi una buona parte del mondo digitale ha appena sentito il fuoco di un'arma di grado militare. In secondo luogo, è importante sottolineare che Microsoft ha rilasciato una patch per neutralizzare ETERNALBLUE, sotto il bollettino di sicurezza MS17-010, classificato come «critico». L'hotfix è disponibile su tutti i sistemi interessati da marzo, e a causa della gravità, Microsoft ha deciso di pubblicare una patch fuori banda per i suoi tre sistemi senza supporto ufficiale, cioè Windows XP, Windows 8 e Windows Server 2003. Fortunatamente, il ricercatore di sicurezza MalwareTech ha scoperto l'«interruttore» di WannaCry dopo aver preso il controllo di un dominio integrato nell'exploit, e ha anche creato una mappa che aiuta a visualizzare l'impatto della campagna.
Come proteggersi
Il vero problema è che con così tanti sistemi non protetti, è solo questione di tempo prima che i responsabili apportino modifiche al loro codice e ci riprovino. Raccomandazioni? In teoria, l'utente medio che utilizza una versione aggiornata di Windows dovrebbe essere immune a WannaCry, ma passiamo in rassegna quattro punti:
- Se l'hotfix equivalente a MS17-010 per il tuo sistema operativo non è installato, fallo ora. Windows XP, Windows 8 e Windows Server 2003 hanno ricevuto una «eccezione straordinaria» tramite una patch dedicata.
- Rafforzare le politiche di sicurezza sui router relative alle porte TCP 139 e 445, storicamente associate a SMB. In altre parole, non lasciare che nulla passi da lì.
- Disabilitare SMBv1. Il processo è stato spiegato nel bollettino MS17-010 e si applica solo a Windows Vista e successivi. Si trova sotto il menu «Attivare o disattivare le funzionalità di Windows» in «Programmi» nel Pannello di controllo.
- Esplorare qualche opzione anti-ransomware per integrare gli antivirus tradizionali.
