Sottovalutare il tempo: la lezione di WannaCry e Petya.B

Osservando l'andamento delle attività dei cybercriminali alla luce delle due più recenti ondate di infezione ransomware su larga scala è impossibile negare un incremento nella sofisticazione del malware e un continuo perfezionamento dei meccanismi di intrusione.

Altrettanto innegabile è il fatto che, ad oggi, moderni tool e infrastrutture "Crime-as-a-Service" consentono ai cyber-criminali di agire rapidamente su scala globale, con il supporto derivante dalla diffusione di pericolosi exploit "di Stato" (EternalBlue e EternalRomance), facilmente integrabili nel codice dei malware.

Un primo bilancio delle "vittime" sembra indicare con altrettanta chiarezza quanto gli attaccanti siano in vantaggio rispetto alle aziende attive nell'ambito della sicurezza IT che rispondono a tali minacce a suon di "signature" e "patching". Strumenti che si sono rivelati, in entrambe le occasioni, assolutamente insufficienti, vuoi per incuria, vuoi perché la sicurezza - oggi più che mai - deve essere predittiva e non reattiva.

WannaCry si è dimostrato particolarmente efficace poiché in grado di propagarsi tramite internet, installandosi "lateralmente" su altri host presenti nella rete senza alcun intervento dell'utente, bensì a posteriori di una scansione approfondita sulla porta TCP/UDP 445. Una minaccia seria ai danni di chi non ha aggiornato i propri sistemi per i più vari motivi.

Poco tempo dopo PetrWrap, Petya.B o NotPetya, che dir si voglia, si è avvalso della stessa vulnerabilità, cagionando danni ad enti governativi e a numerose aziende su scala globale, bloccando sistemi rilevanti per la produttività delle organizzazioni e chiedendo un riscatto, il cui pagamento in molti casi non è corrisposto alla decrittazione dei file.

Le finalità di questo genere di attacchi possono essere differenti, dall'estorsione di denaro, al sabotaggio su più livelli, fino al furto di dati o allo spionaggio industriale, in alcuni casi infatti i cryptoransomware copiano i file prima di cifrarli e chiedono un riscatto per non divulgarli.

A fronte dello scarso riscontro economico ottenuto da entrambe le campagne rispetto all'attenzione mediatica riservata al fenomeno, del tipo di organizzazioni coinvolte e in assenza di codici che indichino una condivisione dei file con server esterni, si potrebbe supporre che queste due campagne siano attività di sabotaggio.

Ci troviamo di fronte a minacce in rapida successione che colpiscono organizzazioni di pubblica utilità e di grandi dimensioni. Le aziende private che ne subiscono le conseguenze sembrano essere danni collaterali, quasi un modo per sviare l'attenzione dal vero obiettivo e rientrare almeno parzialmente dei costi di produzione dell'attacco, sempre che le vittime paghino il riscatto.

Ti invitiamo a leggere la pagina successiva di questo articolo:
Lezione 1: Occorre più tempo per la mitigazione delle minacce