WannaCry e Petya.B sono i più recenti e famosi attacchi su larga scala che hanno dimostrato come sia facile, per gli attaccanti, sfruttare vulnerabilità ed exploit. Osservando l’andamento delle attività degli hacker è certamente possibile osservare un costante impegno verso una sofisticazione delle minacce, un continuo perfezionamento dei meccanismi di intrusione. È un dato di fatto, gli attaccanti sono in vantaggio rispetto ad aziende ed esperti di security, anche se si può fare ancora molto per mitigare e circoscrivere questo genere di attività criminali.
I moderni tool e infrastrutture “Crime-as-a-Service” consentono ai cyber-criminali di agire rapidamente su scala globale, con il supporto derivante dalla diffusione di pericolosi exploit “di Stato” (EternalBlue e EternalRomance), facilmente integrabili nel codice dei malware. In particolare, WannaCry si è dimostrato particolarmente efficace poiché in grado di propagarsi tramite internet, installandosi “lateralmente” su altri host presenti nella rete senza alcun intervento dell’utente, bensì a posteriori di una scansione approfondita sulla porta TCP/UDP 445. Una minaccia seria ai danni di chi non ha aggiornato i propri sistemi per i più vari motivi. Il più recente ma altrettanto famigerato attacco Petya sfrutta exploit legati alle vulnerabilità in modo simile a quanto già visto nel caso di WannaCry. PetrWrap, Petya.B e NotPetya sono nomi differenti che identificano la stessa matrice ransomware. In questo caso però, il codice malevolo non si limita a cifra i dati personali con una data estensione ma è in grado di bloccare l’intero PC e di richiedere un riscatto. Parallelamente, un virus incorporato si occupa di scansionare la rete locale, attaccando gli endpoint presenti.
Le finalità di questo genere di attacchi possono essere differenti, dall’estorsione di denaro, al sabotaggio su più livelli, fino al furto di dati o allo spionaggio industriale, in alcuni casi infatti i cryptoransomware copiano i file prima di cifrarli e chiedono un riscatto per non divulgarli. A fronte dello scarso riscontro economico ottenuto da entrambe le campagne rispetto all’attenzione mediatica riservata al fenomeno, del tipo di organizzazioni coinvolte e in assenza di codici che indichino una condivisione dei file con server esterni, si potrebbe supporre che queste due campagne siano attività di sabotaggio. Ci troviamo di fronte a minacce in rapida successione che colpiscono organizzazioni di pubblica utilità e di grandi dimensioni. Le aziende private che ne subiscono le conseguenze sembrano essere danni collaterali, quasi un modo per sviare l’attenzione dal vero obiettivo e rientrare almeno parzialmente dei costi di produzione dell’attacco, sempre che le vittime paghino il riscatto.
Cosa possiamo imparare da WannaCry e Petya? Per quanto oggettivamente essenziale, il processo di patching dei sistemi operativi e delle applicazioni in uso risulta lacunoso. Tale attività deve essere automatizzata e certificata. Nelle situazioni in cui non sia possibile aggiornare i sistemi (settore utility, industria/SCADA, healthcare, banking) per limiti hardware/software e di compliance, è fondamentale abilitare la segmentazione della rete e cambiare totalmente approccio alla sicurezza, dotandosi di strumenti per l’identificazione e la mitigazione di minacce note e non note che non necessitino di aggiornamenti, perché riconoscono comportamenti anomali e li bloccano sul nascere.
L’antivirus convenzionale basato su firme è morto? Probabilmente sì, ma oggi risulta ancora un componente attivo e valido a supporto di infrastrutture più versatili, basate sul machine learning e su algoritmi di security di tipo proattivo. Numerosi produttori hanno integrato o stanno per integrare meccanismi intelligenti capaci di individuare comportamenti sospetti delle applicazioni, al fine di bloccare attività anomale. Questo è un passo nella giusta direzione, tuttavia solo parzialmente, perché per quanto avanzate, queste soluzioni non rinunciano all’uso di firme, che richiedono frequenti aggiornamenti, in alcuni casi non conducibili. Ecco perché ha senso blindare i sistemi operativi con soluzioni che evitano l’esecuzione di qualsiasi malware, frapponendosi tra il kernel e il layer applicativo e bloccando chiamate a sistema ingiustificate grazie ad algoritmi avanzati di analisi comportamentale. Ne è un esempio Stormshield Endpoint Security, che non rimuove il malware (compito degli antivirus) ma ne blocca in tempo reale l’esecuzione, facendo guadagnare tempo utile agli amministratori per effettuare il patching e la messa in sicurezza dei sistemi.
Avere più “tempo” è un grande vantaggio che nessuno oggi può più sottovalutare. Un vantaggio riconosciuto sia da noti istituti bancari che con Stormshield Endpoint Security hanno potuto assicurarsi la compliance PCI DSS anche su macchine obsolete, sia da numerosi istituti ospedalieri e gruppi industriali dotati di sistemi SCADA.
L’analisi comportamentale va estesa al perimetro Il limite fondamentale delle soluzioni di Endpoint Security è che queste proteggono la singola macchina, non lavorano sul traffico di rete, e quindi entrano in azione solo in presenza di “infezione” sul singolo host. Avvalersi in tempo reale dell’analisi comportamentale dell’intero flusso di dati, dal singolo file alle attività delle applicazioni di rete, scevri dell’approccio passivo signature-based dei firewall tradizionali, assicura protezione proattiva dell’intera infrastruttura contro infezioni “laterali” come quelle favorite dall’uso dell’exploit EternalBlue garantendo che il malware non “esca” dalla rete per propagarsi altrove. Una tecnologia tutta europea dotata delle più alte certificazioni di sicurezza europea e della qualifica ANSII per ambienti industriali energetici, su cui Stormshield basa l’intera offerta di firewall IPS sin dal lontano 1998 e che oggi protegge aziende e governi in tutto il mondo.
