Ransomware WannaCry: cos’è, come funziona e come proteggersi

Il ransomware WannaCry è un malware che ha segnato la storia della cibersicurezza, sia per la sua diffusione capillare a livello globale sia per la particolare modalità di attacco. L’esperienza di WannaCry è stata preziosa per tutti i produttori di soluzioni di sicurezza informatica: analizzando in profondità la struttura, la strategia di distribuzione e gli effetti di questo attacco, è stato possibile sviluppare difese più efficaci contro minacce analoghe. Se da un lato l’epidemia di WannaCry ha segnato un punto di svolta nella protezione digitale, dall’altro la sensibilità al tema da parte di aziende e utenti privati richiede ancora un impegno costante. Per questo motivo è fondamentale continuare a promuovere una vera e propria cultura della cibersicurezza partendo dalle lezioni apprese.

Ransomware WannaCry: la storia

Il ransomware WannaCry, noto anche come WannaCrypt0r 2.0, è un malware appartenente alla categoria dei crypto-worm. Diffusosi nel maggio 2017, è stato responsabile di un’epidemia globale che ha colpito centinaia di migliaia di computer basati sul sistema operativo Microsoft Windows. Una volta eseguito, il virus cifrava i file presenti sul dispositivo, richiedendo un riscatto in criptovaluta per consentirne la decifratura.

Tra il 12 e il 15 maggio 2017, il malware ha infettato le infrastrutture informatiche di numerose aziende e istituzioni in tutto il mondo, tra cui Portugal Telecom, Deutsche Bahn, FedEx, Telefónica, Renault, il Servizio Sanitario Nazionale inglese (NHS), il Ministero dell’Interno russo e l’Università degli Studi di Milano-Bicocca. Nel Regno Unito, l’attacco ha bloccato l’operatività di diversi ospedali nei quali erano ancora in uso sistemi Windows XP privi di aggiornamenti.

Alla fine di maggio 2017, il bilancio contava circa 230.000 computer infetti in oltre 150 Paesi. Dal punto di vista tecnico, WannaCry ha sfruttato una vulnerabilità del protocollo SMB (Server Message Block) attraverso l’exploit denominato EternalBlue. Il malware ha utilizzato una falla nel protocollo di condivisione di file e stampanti delle reti Windows. L’exploit EternalBlue è stato originariamente sviluppato dall’NSA (National Security Agency) americana ed è successivamente sottratto e reso pubblico da un gruppo di hacker.

Come si è propagato il malware

Inizialmente si riteneva che WannaCry venisse distribuito esclusivamente tramite e-mail ingannevoli. Una volta eseguito su un computer, il worm era in grado di diffondersi autonomamente verso gli altri sistemi connessi alla medesima rete locale, senza richiedere alcuna azione da parte degli utenti.

L’attacco si articolava in due fasi successive: l’infezione iniziale tramite l’exploit EternalBlue e la successiva esecuzione del ransomware, che cifrava i file aggiungendo l’estensione .WCRY e bloccava il riavvio del sistema. A quel punto, all’interno del file di testo @Please_Read_Me@, veniva mostrata la richiesta di riscatto (inizialmente pari a 300 dollari, poi raddoppiata a 600 dollari in Bitcoin) per ottenere la chiave di sblocco.

Microsoft ha confermato che la propagazione è avvenuta principalmente attraverso due canali:

• E-mail di phishing (contenenti fatture o allegati falsi) e dispositivi di memoria USB infetti.
• Attacchi diretti tramite l’exploit EternalBlue verso macchine con protocollo SMBv1 abilitato e non aggiornato.

La vulnerabilità sfruttata da EternalBlue era già stata corretta da Microsoft il 14 marzo 2017 con l’aggiornamento di sicurezza MS17-010. Tuttavia, la mancata installazione della patch su un numero elevatissimo di sistemi pubblici e privati ha reso inefficace la protezione rilasciata dal produttore.

A confermare la sofisticazione di WannaCry vi era anche la sua capacità di eliminare le copie di ripristino di sistema (Shadow Copies) di Windows e di installarsi ed eseguire comandi anche tramite account utente sprovvisti di privilegi amministrativi.

I responsabili dell’attacco

L’exploit EternalBlue è stato sottratto e pubblicato online il 14 aprile 2017 da un gruppo hacker noto come The Shadow Brokers.

Nonostante la vastissima eco mediatica e l’elevato numero di dispositivi colpiti, l’attacco WannaCry non ha generato incassi economici proporzionati all’estensione del contagio. Dall’analisi dei portafogli Bitcoin indicati per il riscatto, è emerso che i cybercriminali hanno raccolto circa 100.000 dollari, evidenziando una finalità più dimostrativa e destabilizzante che meramente finanziaria.

Le successive indagini condotte dalle principali aziende di cibersicurezza e dalle autorità internazionali hanno attribuito la matrice dell’attacco al gruppo noto come Lazarus Group, legato alla Corea del Nord, già responsabile di precedenti attacchi informatici su scala globale, tra cui la violazione della Banca Centrale del Bangladesh nel 2016 e l’attacco a Sony Pictures Entertainment.

Come difendersi dai ransomware

Le misure fondamentali per prevenire infezioni da ransomware includono:

• Mantenere costantemente aggiornati i sistemi operativi e i software installati applicando tempestivamente le patch di sicurezza.
• Disabilitare il protocollo obsoleto SMBv1 e bloccare il traffico in ingresso sulla porta 445 a livello di firewall.
• Isolare i sistemi legacy o non più supportati dal produttore all’interno di segmenti di rete separati.
• Pianificare ed eseguire backup periodici dei dati secondo la regola 3-2-1, mantenendo almeno una copia offline e non raggiungibile dalla rete.

L’esperienza di WannaCry ha dimostrato quanto l’utilizzo di sistemi operativi obsoleti o non aggiornati rappresenti un fattore di rischio primario per le organizzazioni, trasferendo la responsabilità dai singoli utenti alle politiche di gestione IT aziendali.

Proteggersi dai cyberattacchi con il filtraggio DNS

Un sistema di filtraggio DNS rappresenta una componente essenziale per schermare la rete da malware e ransomware. Agendo prima che la connessione verso un dominio pericoloso venga stabilita, il filtro DNS intercetta i tentativi di comunicazione verso server di comando e controllo (C2) o link malevoli inseriti in e-mail di phishing.

Le soluzioni avanzate di filtraggio utilizzano algoritmi di intelligenza artificiale per analizzare continuamente il traffico web, aggiornando le basi dati in tempo reale e offrendo moduli come il Geoblocking per inibire il traffico verso Paesi o aree ad alto rischio cibernetico.

Come funziona la protezione di FlashStart

La soluzione di cibersicurezza FlashStart analizza accuratamente ogni richiesta di risoluzione DNS. Attraverso modelli di apprendimento automatico (machine learning), il sistema valuta la reputazione dei domini e blocca preventivamente le minacce senza generare latenza per gli utenti.

In grado di esaminare miliardi di query quotidiane, la rete cloud Anycast di FlashStart protegge la navigazione di oltre 25 milioni di utenti in più di 156 Paesi, servendo migliaia di aziende, scuole e Pubbliche Amministrazioni.

Ecco i vantaggi principali della soluzione FlashStart:

• Aggiornamento continuo delle blacklist: scansione ed esame di oltre 200.000 nuovi domini al giorno.
• Bassa latenza: risoluzione DNS ultraveloce distribuita su scala globale.
• Controllo granulare e Geoblocking: oltre 200 categorie di filtraggio dei contenuti e isolamento geografico dei rischi.
• Intelligenza Artificiale applicata: identificazione predittiva delle minacce di nuova generazione.
• Semplicità di configurazione: gestione centralizzata via cloud per reti fisse e dispositivi in mobilità.
• Integrazione nativa con Active Directory: sincrono con l’infrastruttura Microsoft per ambienti aziendali e scolastici.
• Protezione per endpoint e reti Wi-Fi: copertura globale sia per la rete locale (LAN) sia per gli utenti remoti (Roaming Client).

Puoi attivare la protezione FlashStart® Cloud su qualsiasi tipo di Router e Firewall per proteggere i dispositivi desktop e mobile e i dispositivi IoT sulle reti locali.