Storia di un attacco informatico – Ransomware –

In questi giorni, oltre ai casi di Man in the mail, cioè la truffa dell’IBAN, ho trattato anche tre
casi di Ransomware, due contagiati via email e uno da attacco diretto.
Anche queste minacce sono in rapida espansione grazie ad una non corretta gestione dei
sistemi informatici. Purtroppo ciò che hanno in comune tutti è la mancata percezione del
problema e una scarsa formazione trasversale a partire dagli utenti fino ad arrivare ai
consulenti/IT.
Nei casi trattati sono stati crittografati, non solo i dati, ma anche i sistemi che fungevano da
backup.
Questo purtroppo accade per via di strategie errate e configurazioni fatte veramente male.
Come se non fosse bastato erano presenti apparati non aggiornati con le ultime release e
patch di aggiornamento alla sicurezza, un po’ come dire avere Windows e non aggiornarlo
mai. Sarebbe un grave errore. Anche i dispositivi di rete, come stampanti, nas, firewall e UTM
devono essere aggiornati regolarmente.
Il caso di qui parlerò oggi è un attacco diretto ad un server. Quest’ultimo era raggiungibile da
internet senza le opportune sicurezze. L’unica “finta” sicurezza erano le credenziali, nome
utente e password.
PREMESSA
Per meglio comprendere un po’ come funziona tale sistema e come sia possibile che un server
venga violato nonostante tutto sia protetto da nome utente e password, dobbiamo dire che
normalmente, anche se noi non lo vediamo, in internet ci sono sistemi che acquisiscono
informazioni H24 365 giorni l’anno. Le info da trovare sono nei siti internet dove vengono
individuate le tecnologie usate per capirne le vulnerabilità, o altri servizi come ad esempio la
telefonia VoIP, servizi di posta, database, server FTP, NAS o sistemi cloud, o la presenza di
servizi violabili come “RDP” Remote Desktop, usati da molti utenti per collegarsi da casa al
server aziendale.
Scenario
Quando un cliente chiede al proprio consulente, “ mi dai la possibilità di collegarmi da casa al
server dell’ ufficio? Ma non mi far spendere troppo ok? “
La soluzione adottata……..errata
Quello che molti consulenti fanno è la creazione di una regola nel router ad. Esempio di
TELECOM, FASTWEB ecc, che permette tutto il traffico proveniente da internet verso una
specifica porta TCP (tra poco vediamo che cos’è) verso la stessa porta del server aziendale così
permettono l’accesso istantaneo alle risorse dell’azienda da parte del cliente da qualsiasi
parte del mondo. Vista così è una bella opportunità!!!!!
Ma come lo può fare lui lo possono fare tutti, cioè tutti possono arrivare alla fase di login di
quel server, soprattutto coloro che H24 per 365 giorni l’anno sfruttano i loro computer e le
reti di internet per scansionare i dispositivi collegati ad internet alla ricerca di queste
situazioni – Vulenarabilità-. Poi vediamo come si entra senza nome utente e password.
Il cliente però non sa e a volte neanche il consulente, che questa pratica è molto rischiosa però
entrambi pensano… “ tanto chi vuoi che vada a prendere i dati del mio cliente/server, poi gli
ho cambiato il numero di porta TCP da 3389 l’ho messo a 8899 poi gli metto un bella
password. Cosa vuoi che succeda? “.
Purtroppo questi sono ragionamenti che sento spesso.
Facciamo un po’ di chiarezza i numeri 3389 e 8899 fate finta che siano il numero civico di
dove abitate e che la vostra aDSL, che ha un’idirizzo IP Pubblico es. 88.77.43.xx sia la via.
Per raggiungere il server bisognerà dire al programma di contattare 88.77.43.xx alla porta
8899.

NOTA
Altra cosa da sapere che per via di questa “usanza” molti impianti di video sorveglianza vengono
violati e usati per capire se le case sono vuote oppure no. In altri casi si possono sfruttare quelle
telecamere e gli stessi DVR per attaccare l’azienda o le abitazioni.

Descrizione dell’attacco

Il consulente e il cliente, spesso non sanno che la totalità dei software hanno delle
“vulnerabilità” le quali vengono cercate e trovate da esperti programmatori e vendute nel
deep web al miglior offerente.

Chi le acquista le sfrutterà per sferrare attacchi ed entrare nei sistemi informatici, qualunque
essi siano, che non siano adeguatamente protetti, aggiornati e costantemente monitorati.
L’adozione di tecniche avanzate di attacco con l’ausilio dello sfruttamento di tali vulnerabilità,
permettono di bypassare le credenziali di accesso.

Una volta entrati, iniziano a lanciare i loro software che andranno a crittografare tutto il
contenuto del server. All’interno di un server di norma troviamo programmi di contabilità,
dati aziendali, database, backup. Inoltre una volta introdotti nel server potranno identificare
anche gli altri dispositivi presenti nella rete, quali NAS, stampanti, sistemi di domotica etc.
Tutto ciò che potranno compromettere lo comprometteranno.

L’hacker ha tutto il tempo che vuole per studiarsi il server e i dati ivi contenuti.
E’ una persona che fa questo di mestiere e che conosce i veri meccanismi dell’informatica.
Dalle analisi si è risalito che l’accesso è stato fatto di venerdì sera verso le 18 e tutti i dati sono
stati, in modo meticoloso, crittografati entro la domenica notte.

Hanno crittografato il NAS dove erano presenti le copie e l’hard disk che era stato lasciato
attaccato al server in modo incauto. Inoltre il database della contabilità, i dati aziendali
presenti nelle cartelle condivise e i dati presenti su un altro pc in rete.

L’attaccante ha richiesto il pagamento di 4000 dollari come riscatto per avere il software con
le relative password al fine di de-crittografare.
PENSIAMO PER UN’ISTANTE SE QUEI DATI FOSSERO STATI RUBATI PER DISPETTO E
PUBBLICATI SUL WEB.

NOTA
Ci tengo a dire che oggi come oggi quando si parla di Virus si pensa al Ransomware.
Questa associazione non è del tutto corretta. Bisogna sapere che in parallelo ci sono software
malevoli che hanno lo specifico compito di introdursi e acquisire informazioni dal computer e
perciò dell’utente, come ad esempio indirizzi email, account social, mail password,
acquisizione di ciò che si scrive, interi file. Purtroppo esistono centinaia di migliaia di varianti
di questi software malevoli, ognuno con il proprio compito. Molti di loro possono essere
dormienti e attivati solo durante un attacco massivo.

Il Ransomware è un problema molto grave in quanto blocca le attività aziendali, ma spesso,
personalmente ritengo, che gli altri siano di gran lunga più pericolosi.

Cosa fare per prevenire

1. Fate attenzione alle email, anche a quelle con mittenti conosciuti. Sappiate che è semplice
impersonare qualcun altro. – Ma come è possibile che un estraneo sappia che ho rapporti di
lavoro con l’azienda mario.rossi@gnail.com? Niente di più semplice:
• Ricerca sui social
• Qualche vecchio virus che vi ha rubato i contatti collezionati
• Qualche virus presente sul computer di mario.rossi@gnail.com
• Vi hanno violato il sito internet e hanno acquisito tutti gli indirizzi lì memorizzati
In realtà possono essere tante le motivazioni, queste sono solo degli esempi.
2. Cercate di adottare sistemi di sicurezza perimetrali efficaci e certificati. Chi ve li monta deve
essere qualificato e certificato. Tali strumenti se ben implementati vi garantiranno una
sicurezza pari al 95% . La continua comunicazione tra il sistema di difesa perimetrale e
l’agent istallato sulla macchina, farà in modo che qualsiasi minaccia venga mitigata nel miglior
modo.
3. Quando una lavorazione di sicurezza viene realizzata con estrema semplicità, diffidate.
4. Non adottate gli Antivirus, ma bensì suite di sicurezza denominate Internet Security o Total
Security commerciali, Kaspersky, Mcafee, Trend Micro, BitDefender ecc. Tali sistemi
implementano molte più analisi ma soprattutto implementano un’attività di analisi
comportamentale è fanno riferimento a banche dati centrali dove anche loro acquisiscono in
tempo reale informazioni sulle nuove minacce (intelligenza collettiva). Questi sistemi devono
essere poi ben configurati. A volte la sola istallazione non basta.
5. Attenzione all’apertura di allegati sospetti.
6. Usate sistemi cloud come virus total per identificare eventuali minacce negli allegati.
7. Richiedete ai vostri consulenti programmazioni specifiche del sistema operativo al fine di
limitare le attività intraprese da un’eventuale minaccia nel caso riuscisse ad accedere al
vostro sistema. (Lavorare con utente standard e non administrators)
8. Fate attenzione all’apertura degli allegati con le MACRO, sempre più spesso vengono usati
come veicolo di attacco.
9. Se usate un server microsoft, fatevi attivare le “shadow copy”. Questo permette di avere di
una cartella o di un file più versioni. Un Ransomware proveniente dalla rete da un computer
attaccato, che crittografa quella specifica cartella, si avrà la possibilità di recuperarla.
10. Molti NAS, come Gigasys o QNAP hanno funzionalità avanzate per la protezione da questi
attacchi.
11. Per collegarvi ai vostri server aziendali usate le VPN crittografate (NO PPTP)
12. In presenza di sistemi avanzati di protezione perimetrali e di IP STATICI potete pensare di
realizzare una regola ad hoc per l’accesso da quel dato IP verso quella specifica porta relativa
al server.
13. Aggiornare costantemente Windows e tutti i software presenti sul vostro computer
NEL CASO DI JAVA, dove è sempre un problema aggiornarlo in quanto poi abbiamo paura che
non ci funzioni più qualcosa, come portali istituzionali, agenzia delle entrate ecc, possiamo
configurarlo al fine che non venga sfruttato da eventuali siti internet compromessi.
Avendo un buon sistema di sicurezza perimetrale o nel caso di computer singoli, di un buon
sistema internet security è possibile configurare lo strumento di sicurezza al fine di limitare
l’esecuzione di alcuni eseguibili da determinate cartelle.
Conclusioni
Questi qui elencati sono solo alcuni accorgimenti, ma se già si adottassero tutti, potreste
dormire sogni tranquilli .
L’importante è comprendere che non sono le tecnologie adottate o i sistemi inseriti che fanno
la sicurezza ma bensì le buone configurazioni applicate alle tecnologie e ai sistemi, i test e
l’adozione di strategie sempre nuove per contrastare le nuove minacce.