Venerdì 12 maggio 2017 il WannaCry ransomware è stato inizialmente identificato in alcuni ospedali in tutto il Regno Unito. In soli cinque giorni si è diffuso in tutto il mondo, infettando decine di migliaia di dispositivi in oltre 150 paesi. In questo articolo spiegheremo i dettagli dell’attacco WannaCry, dimostreremo anche come il ransomware rappresenta uno dei tipi di attacchi informatici più diffusi e spiegheremo come FlashStart può aiutarti a mantenere la tua sicurezza contro questo tipo di attacco.
1. L’attacco WannaCry: ransomware ultra-veloce
1.1 Che cos’è un attacco ransomware
L’attacco WannaCry era di tipo ransomware: in questi attacchi, un software dannoso cifra alcuni dati di un dispositivo e blocca l’accesso rendendo il dispositivo inutilizzabile.
I dati vengono quindi ‘tenuti in ostaggio’ dagli autori dell’attacco e viene richiesto un riscatto al proprietario del dispositivo. Se il proprietario decide di non pagare, l’accesso ai dati rimane bloccato. Oggi è molto frequente che, insieme alla richiesta di riscatto, ci sia anche la minaccia di rendere pubblici i dati e i documenti, distruggerli completamente o addirittura metterli in vendita sul dark web a chiunque possa essere interessato.
1.2 L’attacco del 2017
L’attacco WannaCry, il cui nome completo è WannaCryptor, è stato avviato venerdì 12 maggio 2017 ed era rivolto ai dispositivi che utilizzavano il sistema Windows. Quasi due mesi prima, Microsoft aveva distribuito una patch per EternalBlue, un nome dato a una vulnerabilità in Windows che un gruppo chiamato TSB – The Shadow Brokers – ha reso pubblico al mondo.
Nonostante la patch di Microsoft, molti utenti si sono trovati impreparati all’esplosione dell’attacco poiché avevano ignorato l’aggiornamento o stavano utilizzando versioni più vecchie di Windows, diventando così soggetti molto vulnerabili a questo attacco su larga scala. EternalBlue non è stato sfruttato solo da WannaCry ma anche da un altro software ransomware chiamato NotPetya.
WannaCry si è diffuso molto rapidamente. L’importo iniziale del riscatto era di $ 300 in Bitcoin ma presto è salito a $ 600 in Bitcoin. Come spesso accade nei casi di ransomware, il riscatto è stato richiesto in valuta elettronica poiché qualsiasi traccia sarebbe molto più difficile rispetto ai bonifici bancari o ad altri tipi di transazioni.
Si stima che il malware abbia infettato circa 230.000 computer in 150 paesi. Dopo la diffusione iniziale molto veloce è stato scoperto un interruttore di arresto che ha rallentato l’attacco WannaCry ma non lo ha fermato completamente.
>> FlashStart il filtro Internet contro malware, ransomware e altri contenuti pericolosi? Richiedi un preventivo o tprovalo ora
1.3 Cosa ha aiutato il successo dell’attacco WannaCry?
Rispetto ad altri tipi di attacchi ransomware, WannaCry era un attacco su larga scala che non aveva un obiettivo preciso. È stato individuato per la prima volta nei sistemi informatici degli ospedali britannici ma le vittime includevano anche aziende e organizzazioni in vari settori in molti paesi diversi, anche quelli tradizionalmente considerati nemici.
L’attacco non ha risparmiato nessuno e ha colpito allo stesso modo l’Europa, la Russia e gli Stati Uniti. Alcune vittime notevoli includono: il Ministero degli Interni russo, le aziende ferroviarie russe, l’Indiana Shaheen Airlines, uffici di sicurezza pubblica della Cina regionale, Renault in Francia, società telefoniche spagnole e l’Università Bicocca di Milano.
Quello che ha reso così potente l’attacco WannaCry era la sua struttura. Il malware infatti includeva un worm, una caratteristica che consente all’attacco di cancellare file, consumare larghezza di banda e soprattutto diffondersi rapidamente senza la necessità di un host di file. In realtà, il worm si autopropaga e quindi, a differenza di un virus, non ha bisogno di alcuna azione umana per avviare la sua attività dannosa.
Non solo, il malware ha sfruttato l’EternalBlue patch menzionato sopra, una violazione del sistema SMB di Windows, il protocollo che consente ai nodi di rete di comunicare. Questa violazione è ancora oggi sfruttata da alcuni attacchi in modo tale che molti utenti Windows non scaricano e installano gli aggiornamenti di sicurezza necessari per il corretto utilizzo del loro programma.
1.4 Chi ha creato l’attacco WannaCry?
A dicembre 2017 gli Stati Uniti hanno dato la colpa ufficiale dell’attacco WannaCry alla Corea del Nord, in particolare, a un’organizzazione nota come Lazarus Group. Anche se l’NSA – l’Agenzia di Sicurezza Nazionale americana – avrebbe potuto avere un ruolo involontario nell’attacco stesso.
>> FlashStart ti protegge da un’ampia gamma di minacce e blocca l’accesso ai siti dannosi? Richiedi un preventivo oppure tprovali ora
2. La pervasività degli attuali attacchi ransomware
Gli attacchi ransomware sono tra gli attacchi informatici più comuni in modo tale che consentono ai responsabili di monetizzare e trarre profitto. Secondo il rapporto 2021 Internet Crime Report 2021 dell’FBI IC3 – il centro dei reclami informatici dell’FBI – nel 2021 hanno ricevuto 3.729 reclami di attacchi ransomware identificati che hanno causato una perdita stimata di 49,2 milioni di dollari. Di questi, 649 reclami riguardavano attacchi alle infrastrutture critiche di 16 settori governativi in America.
L’FBI sottolinea come le tattiche e le tecniche del ransomware continuano a evolversi, ulteriore prova della crescente sofisticazione tecnologica degli hacker e delle minacce che derivano per le aziende e le organizzazioni di tutto il mondo. I tre modi principali in cui gli attacchi vengono perpetrati sono:
» Email di phishing che mirano ad attirare il destinatario, a volte con obiettivi dichiarati e a volte con attacchi che ti addestrano nella trappola dell’attacco.
» Sfruttamento del protocollo desktop remoti, resi sempre più comuni dal diffondersi del lavoro a distanza e dall’apprendimento remoto.
» Vulnerabilità software sfruttamento, come ad esempio dimostrato dall’attacco WannaCry che viene analizzato in questo articolo con lo sfruttamento di EternalBlue.
>> Sei un produttore di appliance? È possibile integrare nativamente FlashStart? Richiedi un preventivo oppure tprova ora
3. Come proteggersi dal ransomware?
L’FBI Internet Crime Report 2021 ha elencato quattro azioni che tutti gli utenti di Internet oggi possono mettere in pratica per proteggersi meglio dagli attacchi ransomware. Sono:
» Aggiorna i sistemi operativi e il software: dimostrato dall’attacco WannaCry, questo aspetto è fondamentale nel garantire la sicurezza dei tuoi dispositivi. Quando l’azienda madre si rende conto di avere una vulnerabilità di sistema, lavora per offrire patch per risolvere il problema per i suoi utenti. Anche se scaricare e installare tali aggiornamenti richiede tempo, questi possono fare una grande differenza quando si tratta di attacchi.
» Insegna ai colleghi a riconoscere gli attacchi di phishing attraverso la formazione dedicata e esercizi di phishing reali per aumentare la conoscenza riguardante i link che vengono sempre più ricevuti nei messaggi di posta elettronica che potrebbero risultare sospetti o addirittura dannosi.
» Monitora i protocolli remote desktop e rendi questi strumenti sicuri applicando misure speciali dedicate.
» Conserva copie di backup di dati e documenti su supporti esterni, non connessi a Internet e quindi disponibili in modalità offline.
Tra le misure volte a migliorare la protezione delle reti e dei dispositivi collegati ad esse c’è un filtro di contenuto come quello offerto da FlashStart, un software che crea un checkpoint, quindi un punto di controllo, per tutti gli accessi alla rete Internet e alle richieste degli utenti che desiderano visitare i siti desiderati.
>> FlashStart è il web filter che protegge oltre 25 milioni di utenti? Richiedi un preventivo oppure tprova ora
4. FlashStart: la protezione ultra-veloce e costantemente aggiornata contro gli attacchi informatici
FlashStart offre una soluzione di filtro Internet ultra-veloce, costantemente aggiornata e personalizzabile.
4.1 FlashStart: protezione ultra-veloce
FlashStart dispone di una rete globale stabile Anycast con un uptime del 99,87, tra i primi 5 al mondo. Attraverso la rete Anycast lo stesso indirizzo IP corrisponde a più host, pertanto la richiesta dell’utente viene inviata a un solo indirizzo in base al costo e alla posizione del server. Questo garantisce prestazioni molto elevate non solo nella velocità di risposta del sistema – quando l’utente digita un sito web che desidera visitare, non si rende nemmeno conto di tutti i controlli che avvengono dietro la sua richiesta – ma anche in termini di ridondanza del sistema per la protezione e il servizio continuo.
4.2 FlashStart: intelligenza artificiale per garantire una protezione aggiornata
La protezione FlashStart, inoltre, sfrutta una miscela di algoritmi di Intelligenza Artificiale (IA) e Machine Learning (ML) che ogni giorno analizzano fino a 200mila nuovi siti web in 24 lingue diverse e li catalogano automaticamente in 90 diversi gruppi in base ai loro contenuti. Quando identificano nuove minacce, il sistema FlashStart Cloud, dove si trovano tutte le blacklist contenenti i siti il cui accesso non è consentito, viene aggiornato automaticamente. In questo modo l’utente può beneficiare direttamente di una protezione aggiornata senza la necessità di scaricare alcun tipo di aggiornamento che richieda il riavvio del sistema.
4.3 FlashStart: protezione personalizzabile granulare
Infine, la protezione FlashStart è completamente personalizzabile e consente all’ amministratore di rete di creare vari profili di sicurezza per singoli utenti o gruppi, importando anche la logica da Active Directory dove presente. Oltre ai contenuti pericolosi, bloccati direttamente dal sistema, l’amministratore può scegliere di bloccare contenuti indesiderati o inadatti – come pornografia, violenza o giochi d’azzardo online – così come quelli che creano distrazione, inclusi social network, piattaforme audio e di streaming e siti di shopping online.
>> FlashStart è la protezione granulare contro le minacce informatiche e gli attacchi di phishing: richiedi un preventivo o tprovalo ora
Puoi attivare la protezione FlashStart® Cloud su qualsiasi tipo di router e firewall per proteggere i dispositivi desktop, mobili e IoT sulle reti locali.
