Era solo questione di tempo, lo abbiamo detto più volte. WannaCry è stato semplicemente l’inizio. Tutto ciò che serviva era qualche elemento malizioso con la capacità sufficiente e un budget superiore per riutilizzare gli exploit in una campagna molto più aggressiva. Quella campagna è già tra noi. Molte fonti indicano che l’attacco è iniziato in Ucraina e, nonostante l’enfasi sull’infezione delle reti locali, si è diffuso rapidamente. Aziende farmaceutiche, società di trasporto, studi legali, banche, produttori alimentari e persino i sistemi di monitoraggio di Chernobyl sono stati colpiti.
Una campagna globale
I media specializzati stanno ancora elaborando le informazioni e prevediamo che ci saranno diversi aggiornamenti nelle prossime ore, ma abbiamo già una base solida per capire cosa è successo. Una nuova campagna di ransomware su scala globale ha interrotto le operazioni in più di 80 aziende. Alcuni dei nomi che sono circolati sono quelli dell’azienda farmaceutica Merck, Mondelez International (Cadbury, Toblerone, Milka, Oreo, ecc.), il gigante del trasporto marittimo Maersk, e diversi operatori in Russia e Ucraina, tra cui la compagnia petrolifera Rosneft, l’acciaieria Evraz, la distributrice statale di energia Ukrenergo e l’aeroporto internazionale di Boryspil. Non è stato ancora confermato del tutto, ma le analisi forensi preliminari suggeriscono che si tratta di una variante del ransomware Petya. Come WannaCry, questa build di Petya (anche identificata come PetyaWrap, GoldenEye e Nyetya) utilizza l’exploit EternalBlue, tuttavia, su Kaspersky dicono che applica un secondo exploit filtrato dalla NSA, EternalRomance.
Non è stato ancora identificato il metodo principale di propagazione, ma le prove disponibili parlano di un programma di contabilità ucraino chiamato MeDoc, il cui sistema di aggiornamento è stato hackerato. Kaspersky e il Gruppo Talos di Cisco non sono arrivati a quel punto, anche se nell’articolo ufficiale del ricercatore MalwareTech (lo stesso che ha scoperto l’interruttore di WannaCry) possiamo trovare diversi riferimenti. In pratica, i responsabili vogliono un pagamento di 300 dollari in Bitcoin e, una volta effettuato, le vittime devono inviare la “chiave di installazione” a un indirizzo e-mail. Questa e-mail utilizza il dominio di un provider tedesco, Posteo, che ha già confermato il suo blocco. Ciò significa che gli utenti colpiti non hanno alcun modo di ricevere la chiave di decifratura e ripristinare i propri file, quindi dobbiamo ripetere la stessa raccomandazione di sempre: Non pagate.
Le differenze con WannaCry
Anche se ci sono motivi più che sufficienti per confrontare questa campagna con WannaCry, le differenze tecniche sono considerevoli. WannaCry ha concentrato la sua potenza su un piccolo numero di terminali e rapidamente è andato fuori controllo, mentre questa variante di Petya ha attaccato un gran numero di computer, per poi procedere a infettare le reti interne (basta un terminale vulnerabile). Ha anche la capacità di rubare credenziali locali con l’aiuto di Mimikatz e di approfondire la sua presenza usando PSExec, uno strumento ufficiale di Microsoft. Una volta completata l’infezione, il ransomware può attendere tra 10 e 60 minuti per riavviare il computer. La maggior parte delle fonti concorda sul fatto che questa campagna è molto più raffinata. Non c’è alcun interruttore magico che la disattivi e sembra più focalizzata a causare danni che a raccogliere denaro (ha ottenuto solo 6.000 dollari). Sono state viste immagini del ransomware negli sportelli automatici, ma il rapporto più inquietante è stato fatto dalla CNN, che ha riferito che il sistema automatico di monitoraggio delle radiazioni nella centrale nucleare di Chernobyl è stato colpito. Le autorità continueranno i monitoraggi manualmente fino a nuovo avviso.
Come difendersi
Per ora, l’unico modo per evitare il ransomware è interrompere il processo di cifratura. Se il computer si riavvia spontaneamente e mostra un messaggio che indica che il file system è in riparazione (molto simile al classico CHKDSK), dobbiamo spegnerlo completamente. Continueremo a informare.
MalwareTech
