WannaCry 2017: un attacco famoso in tutto il mondo
WannaCry 2017 è ancora uno degli attacchi più famigerati nella storia dell’informatica e della sicurezza informatica. Più di sei anni sono passati da quando è accaduto, ma dovrebbe comunque essere considerato un caso di studio molto utile e istruttivo.
Fig.1 – L’avviso che è apparso sui computer colpiti da WannaCry
Ricordo ancora che quel venerdì, 12 maggio 2017, la notizia dell’attacco WannaCry era la notizia principale in tutti i telegiornali delle prime serate in tutta Europa. Quindi, WannaCry 2017 non è stato solo un evento per gli esperti di sicurezza informatica, ma ha colpito anche i media generici, oltre alle organizzazioni e alle aziende di ogni nazione.
Perché è accaduto tutto questo?
WannaCry, alias “Voglio piangere”, è anche chiamato WanaCrypt0r 2.0. Nel maggio 2017, precisamente venerdì 12, questo ransomware ha paralizzato computer in tutto il mondo, grazie a una falla trovata nella funzionalità SMB di Windows, un “bug” noto e già “bloccato” dall’azienda di Redmond con una patch, numero MS17-010. La richiesta di riscatto era di 300 dollari, da pagare in Bitcoin a uno dei tre account specificati nella richiesta di riscatto (vedi Figura 1 – Il messaggio di richiesta di riscatto di WannaCry).
Molti ricercatori nel settore hanno considerato WannaCry “un attacco di proporzioni senza precedenti”. Kaspersky Lab ha registrato più di 300.000 attacchi in 150 nazioni, inclusi Russia, Cina, Italia, India, Egitto e Ucraina. Europol, un’agenzia dell’UE impegnata nella lotta contro la criminalità, ha parlato di “un attacco senza precedenti che richiede un’indagine internazionale”.
Uno dei paesi più gravemente colpiti è stato il Regno Unito, dove WannaCry ha messo fuori servizio almeno venticinque ospedali e ha messo in crisi il sistema sanitario britannico. L’attacco ha causato significative interruzioni alle cure dei pazienti, come l’annullamento di circa 19.000 appuntamenti, inclusi gli interventi chirurgici, e l’interruzione dei sistemi IT per almeno un terzo di tutti gli ospedali del National Health Service (NHS) del Regno Unito. Gli ospedali colpiti sono stati costretti a mandare i visitatori del pronto soccorso in altri ospedali.
Non ci sono prove concrete di persone morte come risultato dell’attacco WannaCry, ma uno studio della Owen Graduate School of Management della Vanderbilt University ha riscontrato un aumento del tasso di mortalità correlato all’attacco: fino a trentasei decessi aggiuntivi ogni 10.000 infarti che si verificavano – statisticamente – ogni anno negli centinaia di ospedali esaminati.
Questo è stato possibile perché migliaia di computer negli ospedali del Regno Unito stavano ancora eseguendo Windows XP (un sistema dichiarato “fine vita” e non più supportato da Microsoft da aprile 2014). Un sondaggio condotto da Motherboard nel 2016 ha trovato almeno quarantadue strutture del National Health Service (NHS) che stavano ancora utilizzando XP.
Tuttavia, attacchi sono stati segnalati in tutta Europa e nel resto del mondo, tra gli altri, Nissan e Renault in Francia, la società di telecomunicazioni Telefonica, Iberdrola e le banche BBVA e Santander in Spagna, FedEx negli USA e molti altri. In Germania, i computer di Deutsche Bahn (le ferrovie tedesche) sono stati colpiti. In Giappone, è toccato ad Hitachi, Nissan e alla East Japan Railway. In Russia, gli attacchi hanno colpito RZD (Ferrovie Russe), la banca VTB, Megafon. Anche l’Italia si aggiunge all’elenco, con l’Università Bicocca di Milano (che secondo quanto riferito è stata attaccata attraverso una chiavetta USB contenente il malware).
Si stima che abbia costato, a livello mondiale, tra 4 miliardi e 8 miliardi di dollari e che abbia causato un danno stimato di più di 100 milioni di dollari al National Health Service britannico.
Eppure, nonostante la diffusione rapidissima, WannaCry è stato considerato un flop economico: l’importo dei ricavi raccolti dai criminali informatici era di circa 100.000 dollari.
Abbiamo rilevato questi dati due settimane dopo l’attacco analizzando i movimenti dei tre account Bitcoin utilizzati e identificati nella nota di riscatto e che sono i seguenti:
- 13AM4VW2dhxYgXeQepoHkHSQuy6NgaEb94
- 12t9YDPgwueZ9NyMgw519p7AA8isjr6SMw
- 115p7UMMngoj1pMvkpHijcRdfJNXj6LrLn
Ora sembra certo che l’attacco sia stato originato dalla Corea del Nord, con il suo gruppo di hacker noto come Lazarus (altri nomi di gruppo: Hidden Cobra, Guardians of Peace, APT38). Questo è affermato da Symantec e Kaspersky Lab, che hanno trovato alcune somiglianze nel codice del malware con attacchi precedenti: quello alla Banca Centrale del Bangladesh nel 2016 (il più grande furto informatico di sempre, 82 milioni di dollari rubati), ma soprattutto quello a Sony Pictures Entertainment, la casa di produzione attaccata per aver prodotto “The Interview”, un film satirico che prende di mira il leader nordcoreano Kim Jong-un.
Nel 2018 WannaCry ha colpito di nuovo: a marzo, Boeing, il più grande produttore aeronautico del mondo, è stato attaccato. L’azienda ha confermato l’incidente ma ha precisato che il problema ha interessato solo un numero limitato di sistemi nella divisione commerciale, non quelli dello stabilimento di produzione.
WannaCry 2017: la tecnica di attacco
La distinzione di WannaCry, rispetto ad altri tipi più classici di ransomware, è che si tratta di un malware costituito da due componenti che operano in successione:
Fase 1: è stato utilizzato un exploit (abbiamo discusso gli exploit in questo articolo) che ha sfruttato una vulnerabilità in SMB v.1 (un protocollo di condivisione di file di rete, Server Message Block, utilizzato dai sistemi Microsoft Windows) per attaccare il computer target. La vulnerabilità è classificata come CVE-2017-0144 e era già stata chiusa da Microsoft il 14 marzo 2017, ma non nei sistemi WinXP e Windows Server 2003, che non sono più supportati dal 2014.
Precisiamo che solo la versione 1.0 (SMBv1) è vulnerabile: è un protocollo molto vecchio (e molto insicuro), nato più di vent’anni fa e già presente in XP. Le versioni SMBv2 (introdotta nel 2006) e SMBv3 (nata con Windows 8) non soffrono di questa vulnerabilità.
In questo modo, WannaCry si è diffuso automaticamente ad altri computer, il che spiega il tasso molto elevato della sua circolazione.
Una questione importante e preoccupante: WannaCry ha utilizzato l’exploit chiamato EternalBlue, che sembra sia stato creato dalla NSA (la National Security Agency degli Stati Uniti). Tuttavia, la NSA ha avuto il newly created exploit “rubato” da un gruppo di hacker chiamato The Shadow Brokers (TSB) che lo ha reso disponibile sul darkweb ad aprile 2017 e che gli attaccanti hanno utilizzato.
Fase 2: un vero e proprio ransomware esegue la crittografia dei file. Il malware di tipo ransomware esiste da circa dieci anni ormai (ed è volto a estorcere denaro: richiedendo un riscatto per recuperare i propri file che sono stati crittografati). Tuttavia, il ransomware non era mai stato propagato così rapidamente, proprio grazie all’exploit EternalBlue.
Secondo Microsoft, ci sono almeno due vettori di attacco presunti, che Microsoft indica come “altamente probabili”:
- Il primo – e più banale – sono i soliti email di phishing, o tramite pen drive USB. Questi sono i vettori di attacco più tipici e frequenti, sfruttati dalla maggior parte degli attacchi ransomware;
- Il secondo scenario è quello già menzionato, utilizzando exploit che sfruttano la vulnerabilità del protocollo SMB su sistemi obsoleti.
È importante notare che se il sistema è interessato dalla vulnerabilità suddetta (CVE-2017-0144, MS17-010 secondo la classificazione Microsoft), l’email di phishing non è necessariamente necessaria per essere attaccati.
In altre parole: l’errore umano non è necessario, perché l’exploit è già in grado di violare il sistema sfruttando la sua vulnerabilità. Non deve essere la vittima ad aprire la porta, perché è l’hacker che già possiede la chiave (cioè, l’exploit).
Una volta che entra in un computer su un sistema Windows (ne basta uno!), WannaCry 2017 si diffonde automaticamente ad altri computer (anche se non connessi a Internet) sfruttando le condivisioni di rete SMB, attraverso le porte di comunicazione 139 e 445. Questo spiega la velocità (insolita) con cui si è diffuso.
Poi – il secondo passo – esegue una crittografia dei file, utilizzando la crittografia asimmetrica RSA a 2048 bit, basata su una coppia di chiavi pubbliche/private per crittografare e decrittografare i file (assolutamente inattaccabile).
Come fanno molti ransomware, con WannaCry i file crittografati vengono rinominati aggiungendo un’estensione tipica, in questo caso .WNCRY.
Ad esempio, un file invoice.pdf verrà cambiato in invoice.pdf.WNCRY.
WannaCry si occupa anche di eliminare le “Shadows copies” di Windows (per impedirci di recuperare i dati) e va a scrivere in alcune tipiche cartelle di sistema, come:
- %SystemRoot%
- %SystemDrive%
- %ProgramData%
Un’altra caratteristica di WannaCry: poiché sfrutta una vulnerabilità, il malware è in grado di installarsi, anche se l’utente non dispone di diritti di amministratore ma è semplicemente un utente.
Come proteggersi
Sebbene WannaCry 2017 sia stato un attacco devastantemente massiccio, le misure di prevenzione e protezione da adottare sono abbastanza basilari. Possiamo riassumerle in una sola parola: aggiornamento.
Secondo la dichiarazione (12/05/2017) di Microsoft, WannaCry può colpire solo i sistemi fino a Windows 8, se non aggiornati, quindi chi utilizza Windows 10 non è a rischio. Le versioni precedenti non supportate di Windows (ad esempio, Windows XP e Windows Server 2003) non sono protette comunque, perché Microsoft non fornisce più patch di sicurezza per quelle versioni di Windows.
Cosa ci ha insegnato WannaCry 2017
Abbiamo parlato dello sfruttamento di una vulnerabilità di Windows, ma, in realtà, ancora una volta, il vero problema è l’errore umano.
Molte aziende e organizzazioni, in spregio a qualsiasi norma di cybersecurity, hanno scelto di mantenere sistemi operativi che non sono solo obsoleti, ma anche privi di aggiornamenti di sicurezza.
Pertanto, WannaCry 2017 non era una nuova minaccia nata grazie a vulnerabilità sconosciute. No, è riuscito a colpire grazie alla negligenza e all’incompetenza di coloro che dovrebbero proteggere i sistemi informatici aziendali.
Quindi, questa lezione non è ancora stata completamente compresa, poiché oggi, – sei anni dopo – stiamo ancora trovando sistemi vulnerabili esposti a WannaCry e EternalBlu in internet. Potremmo facilmente verificare questo interrogando il portale Shodan (https://www.shodan.io/): oltre 15.000 computer sono esposti con Windows Server 2003 in esecuzione e quasi 13.000 con Windows XP in esecuzione, quindi vulnerabili a WannaCry perché visibili nella rete.
L’autore
Giorgio Sbaraglia, ingegnere, fornisce consulenza e formazione in sicurezza delle informazioni e privacy.
Insegna corsi su questi argomenti per molte importanti aziende di formazione italiane, tra cui ABIFormazione e 24Ore Business School.
È il coordinatore scientifico del programma master “Cybersecurity and Data Protection” presso 24Ore Business School.
È membro del Comitato Scientifico di CLUSIT (Associazione Italiana per la Sicurezza delle Informazioni) e “Innovation Manager” certificato da RINA.
Ricopre posizioni di DPO (Data Protection Officer) presso varie aziende e associazioni professionali.
È autore dei libri:
“GDPR kit di sopravvivenza” (Editore goWare),
“Cybersecurity kit di sopravvivenza. Il web è un luogo pericoloso. Dobbiamo difenderci!” (2a edizione 2022, Editore goWare),
“iPhone. Come usarlo al meglio. Scopriamo insieme tutte le funzioni e le app migliori” (Editore goWare).
È collaboratore di CYBERSECURITY360 , la pubblicazione specializzata del gruppo Cybersecurity.
Scrive anche per ICT Security Magazine, per AGENDA DIGITALE, e per CLASS magazine.
Puoi attivare la protezione FlashStart® Cloud su qualsiasi tipo di Router e Firewall per proteggere i dispositivi desktop, mobile e IoT sulle reti locali.
