Ray Pompon, Principal Threat Research Evangelist di F5 Networks, evidenzia lo sviluppo di WannaCry, da exploit della NSA a malware su vasta scala. Più di 12 anni fa, il pioniere dei malware Peter Tippett ha coniato l’espressione “virus disaster”, indicando il momento in cui oltre 25 macchine vengono infettate su una singola rete come il “punto di svolta” verso l’arresto completo di una rete. Il nuovo ransomware WannaCry, che blocca tutti i file su un computer infetto fino a quando il proprietario non paga un riscatto, sembra aver scaraventato intere infrastrutture critiche nel mondo del virus disaster.
Gli ospedali appartenenti al National Health Service (NHS), il sistema nazionale sanitario britannico, sono stati i primi a essere colpiti, ma il danno si è diffuso in modo rapido ed esteso. La salute dei pazienti è stata messa in pericolo dato che i sistemi degli ospedali si sono totalmente bloccati e, forse per la prima volta, rischieremo di parlare di “morto per malware”! In ogni caso, è ormai certo che in quanto a portata, questo evento sarà ricordato come un “game-changer” per il mondo della sicurezza e della compliance.
Il malware utilizza MS17-010,4 a.k.a. “EternalBlue” (un exploit della NSA che è stato trafugato dal gruppo hacker Shadow Brokers) per fare punching sulla rete, colpendo i computer ove non sia stata applicata la patch a una falla di sicurezza già identificata da Microsoft nel mese di marzo e che riguarda la condivisione di file di protocollo SMB (Server Message Block), spesso aperta all’interno delle reti organizzative rendendo così più rapida la diffusione dell’attacco.
Come abbiamo già visto in passato con il ransomware Cerberus e Apache Struts, i criminali informatici non perdono tempo e, quando vengono scoperte delle vulnerabilità, semplicemente ripropongono la vecchia minaccia “riconfezionata” in una nuova veste e con un nuovo modo di entrare.
Il messaggio è evidente: bisogna sempre applicare le patch in modo rapido, anche se la maggior parte delle organizzazioni lo sa già! Questo è il punto dove concentrarsi, dedicando il proprio tempo al livello secondario della difesa: bloccare il traffico sia in entrata da Internet sia quello che si muove lateralmente attraverso le reti, bloccare o applicare restrizioni per le porte TCP 22, 23, 3389, 139 e 145 nonché UDP 137 e 138 e assicurarsi che i backup siano vincolanti e completi, in modo da poter effettuare il ripristino nel caso si abbia già subito l’attacco.
Nei prossimi giorni si parlerà ancora molto delle conseguenze di WannaCry; speriamo che tutti quelli che sono stati colpiti riescano ad affrontare la tempesta e uscirne più forti di prima!
