Come difendersi dall'attacco hacker 'wannacry'

Un attacco hacker sta mettendo in ginocchio organizzazioni pubbliche e aziende in tutto il mondo. La diffusione del ransomware #wannacry, scrive la Bbc, è enorme.

Cosa è un ransomware e come funziona

Si tratta di un codice che si installa nel computer nel momento in cui viene scaricato un file infetto e che protegge con una crittografia tutto il contenuto: foto, video, documenti. 'Proteggere' non è in realtà il verbo giusto perché lo scopo è quello di mettere sotto scacco il proprietario del pc - e dei file - per chiedergli un riscatto. Ransom in inglese significa proprio questo: riscatto. La schermata che compare all'improvviso nel pc annuncia che tutti i file sono inaccessibili e chiede il pagamento di un riscatto in bitcoin. Se non si cede entro un certo periodo di tempo, l'importo del riscatto raddoppia. Se si esita ancora, i file diventano irrecuperabili.

Già 45mila infezioni

Screenshot sono stati condivisi online da utenti colpiti nel Regno Unito, Stati Uniti, Cina, Russia, Spagna, Italia, Vietnam, Taiwan.
Un esperto di sicurezza informatica sostiene in tweet di aver rilevato 45.000 infezioni di Wannacry e delle sue varianti.
Tra i servizi colpiti quello sanitario del Regno Unito (NHS). La spagnola Telefonica ha dichiarato di essere a conoscenza di un "incidente di cybersecurity" ma che i clienti e i servizi non hanno subito conseguenze. Infettate la società elettrica Iberdrola e il fornitore di servizi Gas Natural e il colosso delel spedizioni FedEx.

Cinque cose da sapere per capire Wannacry

Colpisce i pc con sistemi operativi così vecchi da non essere più aggiornati dalle case di produzione (XP) o che gli utenti non hanno aggiornato
Si innesta via mail o aprendo file su siti infetti
Sono stati presi di mira gli ospedali perché hanno dati importanti sulla salute dei pazienti e perchè - nel caso delle cliniche private - hanno i soldi per pagare
E' l'evoluzione di un ransomware già usato e nato dalla fuga di documenti riservati dell'intelligence americana
Pagare il riscatto non significa necessariamente tornare in possesso dei propri file

Qual è la situazione in Italia

La Polizia postale sta monitorando gli effetti dell'attacco, ma al momento, per il nostro Paese, "non si segnalano situazioni di criticita'": l'Italia e' stata colpita sì, ma non massicciamente. Tra le vittime sin qui figurano solo "un paio di università, ma nessun servizio essenziale". Per difendersi, "si consiglia l'installazione della patch MS 17-010, rilasciata da Microsoft il 17 marzo, e quella del 9 maggio".

In Italia, @dodicin ha condiviso su Twitter immagini che mostrano un laboratorio dell'università Bicocca con i pc bloccati da Wannacry.

A ransomware spreading in the lab at the university pic.twitter.com/8dROVXXkQv
— １２Ｂ (@dodicin) 12 maggio 2017

I borsellini di Bitcoin apparentemente associati al ransomware hanno già iniziato a riempirsi di denaro.

La 'chiave' rubata all'intelligence americana

Secondo il professor Alan Woodward, esperto di sicurezza all'università di Surrey, sembra che gli hacker abbiano sfruttato "EternalBlue" - il nome dato a un 'varco' nella sicurezza di Microsoft - che è stato scoperto dall'Agenzia per la Sicurezza Nazionale (NSA) americana e tenuto segreto finché un gruppo di hacker che si fa chiamare 'Shadow Brokers' ha rubato un blocco di file della NSA e vi ha trovato proprio le tracce di 'EternalBlue'. Ha cercato di meterli all'asta, ma, dopo che nessuno ha fatto un'offerta soddisfacente, ha scaricato gratuitamente tutto online. Così Microsoft ha scoperto la propria debolezza e vi ha messo riparo.

If @NSAGov had privately disclosed the flaw used to attack hospitals when they *found* it, not when they lost it, this may not have happened https://t.co/lhApAqB5j3
— Edward Snowden (@Snowden) 12 maggio 2017

Edward Snowden, la talpa che rivelò il progetto di monitoraggio e spionaggio dei cittadini americani dell'Nsa, ha denunciato in un tweet che le cose sarebbero ben diverse se l'Agenzia avesse rivelato quello che aveva scoperto riguardo la vulnerabilità di Microsoft, invece di tenerlo per sé e approfittarne,

Come si è diffuso

Secondo la società di sicurezza Check Point, la versione del ransomware che è apparso oggi è una nuova variante di uno già esistente. Molti esperti che monitorano la situazione hanno collegato le infezioni alle vulnerabilità rilasciate da un gruppo conosciuto come The Shadow Brokers, che recentemente ha affermato di aver scaricato strumenti di hacking rubati dalla NSA. Una 'toppa' per sanare la vulnerabilità è stata rilasciata da Microsoft nel mese di marzo, ma molti sistemi potrebbero non aver installato l'aggiornamento.

Un po' di roba per smanettoni

Da quello che possiamo vedere, ha detto Woodward, Wannacry è un pezzo di ransomware chiamato 'wanna decryptor'. Ha anche altri nomi ed è emerso nel febbraio 2017. Da allora, è stato modificato e vi è la prova che si sta diffondendo utilizzando un difetto nel protocollo di rete Microsoft chiamato SMB.

Data la virulenza, è probabile che alcune organizzazioni non abbiano applicato la patch rilasciata da Microsoft o che utilizzano sistemi operativi obsoleti (come XP) che non sono più supportati da Microsoft e quindi non esiste alcuna patch.

Wanna Decryptor è in realtà solo una reincarnazione di wcry (visto per la prima volta nel febbraio 2017) ma è stato migliorato per diffondersi più facilmente. La preoccupazione è che anche una volta che questo attacco avrà esaurito la sua spinta, arriverà un altro ransomware ulteriormente migliorato.

La questione non è avere una tecnologia 'figa' per proteggersi. Si tratta di seguire i principi base: utilizzare un software che abbia assistenza e mantenerlo aggiornato.

Per approfondire:

Perché è impossibile fermare Bitcoin