Campagna massiva Ransomware / Wannacry

Nella giornata di ieri 12 Maggio 2017, a livello mondiale è stata identificata una campagna massiva di Ransomware/Wannacry.

Il malware risulta essere stato distribuito principalmente in Europa e in Asia.

Dai primi dati rilevati i paesi colpiti risultavano essere 74, anche se in seguito alcuni vendor Antivirus hanno identificato la minaccia in almeno 99 paesi.

Wannacry fa parte della macro-famiglia di malware Ransomware e cioè minacce informatiche con lo scopo di criptare i dati degli utenti/organizzazioni vittima e richiedere, in seguito, un riscatto in BTC (bitcoin), per avere nuovamente i dati in chiaro.

Il malware è in grado di criptare le seguenti tipologie di file:

• Commonly used office file extensions (.ppt, .doc, .docx, .xlsx, .sxi).
• Less common and nation-specific office formats (.sxw, .odt, .hwp).
• Archives, media files (.zip, .rar, .tar, .bz2, .mp4, .mkv)
• Emails and email databases (.eml, .msg, .ost, .pst, .edb).
• Database files (.sql, .accdb, .mdb, .dbf, .odb, .myd).
• Developers’ sourcecode and project files (.php, .java, .cpp, .pas, .asm).
• Encryption keys and certificates (.key, .pfx, .pem, .p12, .csr, .gpg, .aes).
• Graphic designers, artists and photographers files (.vsd, .odg, .raw, .nef, .svg, .psd).
• Virtual machine files (.vmx, .vmdk, .vdi).

Wannacry è stato sviluppato per infettare gli utenti che utilizzano le seguenti lingue:

Bulgarian, Chinese (simplified), Chinese (traditional), Croatian, Czech, Danish, Dutch, English, Filipino, Finnish, French, German, Greek, Indonesian, Italian, Japanese, Korean, Latvian, Norwegian, Polish, Portuguese, Romanian, Russian, Slovak, Spanish, Swedish, Turkish, Vietnamese

Al momento non si è ancora certi di quale sia il vettore di attacco utilizzato dagli attaccanti per distribuire il malware, anche se si ipotizza possa avvenire tramite e-mail.

L’entità della minaccia risulta critica in quanto il malware sfrutta una vulnerabilità del protocollo SMB v1 per propagarsi nella rete interna, tramite exploit reso pubblico da “ShadowBroker” nell’occasione del leak dei toolkit NSA: il nome dell’exploit è “EternalBlue”

La vulnerabilità risulta essere stata “patchata” nel mese di Marzo 2017 da Microsoft sui sistemi Microsoft Windows grazie al bollettino di sicurezza MS17-010.

https://technet.microsoft.com/en-us/library/security/ms17-010.aspx

E’ possibile difendere la propria infrastruttura interna adottando i seguenti accorgimenti:

• (Consigliato)

Installare le patch rilasciate nel bollettino di sicurezza Microsoft di Marzo MS17-010, https://technet.microsoft.com/en-us/library/security/ms17-010.aspx

• (Alternativa)

Disabilitare il protocollo SMB v1: la versione 1 del protocollo SMB risulta vecchia e non più utilizzata, se non in ambienti in cui è necessario un alta “retro-compatibilità” con S.O. Microsoft non più supportati (Windows 2000, Windows XP).

I principali Vendor Antivirus, tra i quali:

• Symantec
• Kaspersky
• McAfee
• Sophos
• Trend Micro

dalla giornata di ieri sono in grado di rilevare, identifcare e bloccare la minaccia, il suggerimento è quindi quello di verificare sui server e sui Client che le signature antivirus siano aggiornate.

L’Antivirus di nuova generazione SentinelOne, grazie al suo motore di analisi dinamica delle minacce, protegge già gli Endpoint senza necessità di aggiornare le signature.

https://sentinelone.com/blogs/wanacrypt0r-wreaks-havoc-worldwide/

Di seguito gli IoC identificativi del Ransomware / Wannacry:

In qualità di Network & Security Company, Sorint.SEC eroga servizi di sicurezza informatica volti a garantire una protezione avanzata delle più diverse e complesse infrastrutture.

Nello specifico, eroga servizi di Managed Next Generation EndPoint Protection con lo scopo di aumentare la protezione delle organizzazioni contro le minacce avanzate indirizzate agli EndPoint presenti all’interno dell’infrastruttura.

Maggiori informazioni circa i servizi di protezione e sicurezza gestita, offerti da Sorint.SEC, sono disponibili ai seguenti link:

https://sec.sorint.it/it/managedendpointprotection

https://sec.sorint.it/it/soc