WannaCry: quello che devi sapere sull'attacco globale ransomware

L'attacco  ransomware fortemente pubblicizzato di WannaCry scattato la scorsa settimana è il più grande del suo genere mai registrato. L'attacco su larga scala ha inizialmente infettato un numero significativo di dispositivi del servizio sanitario nazionale del Regno Unito prima di diffondersi rapidamente in altre organizzazioni in 150 paesi in tutto il mondo. La cosa spaventosa è che le organizzazioni che sono state colpite sono completamente casuali, senza nessun segnale di chi sarebbe stato il  prossimo. È giusto dire che molti team  IT sono entrati nel  panico mentre correvano ad aggiornare il proprio software ed eseguire il backup dei loro dati. Quindi, cosa è successo esattamente, cosa rende questo mega attacco ransomware così brutale e cosa puoi fare per stare al sicuro? Continuate a leggere per scoprirlo.

Cosa è successo?

L'attacco è iniziato il 12 maggio quando sono stati colpite circa 40 organizzazioni del servizio sanitario, tra cui ospedali e studi medici, in tutto il Regno Unito. Mentre, a quel che si dice,  i documenti dei pazienti non sono stati compromessi, i medici non erano in grado di accedervi, causando una grave interrizioni  del sistema sanitario, incluse operazioni annullate. Durante le 48 ore successive il malware si è diffuso ad alcune altre organizzazioni in tutto il mondo. Queste includono la rete ferroviaria tedesca Deutsche Bahn, l'operatore di telecomunicazioni spagnolo, Telefonica, la casa automobilistica francese Renault, il gigante logistico americano FedEx e il ministro degli interni russo. La diffusione dell'attacco ransomware  WannaCry è stata quindi limitata da un ricercatore britannico conosciuto con il nickname "MalwareTech". L’ultimo conteggio dei computer infetti è circa 200.000, ma il numero può continuare a salire, poiché le varianti del malware vengono riconfezionate e lanciate. Come abbiamo visto dalla nostra recente scoperta del ritorno di SLocker, le nuove varianti di ransomware possono essere facilmente ridisegnate e distribuite o confezionate con altri pezzi di malware per eseguire ulteriori attacchi. Nel caso di SLocker, le nuove varianti scoperte da MI:RIAM utilizzano un'ampia varietà di travestimenti, tra cui icone alterate, nomi di pacchetti, risorse e file eseguibili per evitare il rilevamento basato sulla firma.

Chi è responsabile dell'attacco WannaCry?

Non c'è alcuna indicazione di chi ci sia dietro l'attacco. Gli hacker hanno chiesto il loro pagamento in Bitcoin, il che è più difficile da rintracciare. A differenza della maggior parte dei ransomware, l'architettura di WannaCry è modulare; una funzionalità nota per essere utilizzata in progetti di malware complessi come i trojans bancari. Con questa conoscenza possiamo sospettare che gli autori dietro WannaCry siano essere più probabilmente un gruppo di persone piuttosto che un solo sviluppatore.

Come funziona WannaCry

Il virus sfrutta una vulnerabilità in Microsoft Windows chiamata "Eternal Blue", che pare sia stato individuata  da (e rubata all’) intelligence degli Stati Uniti prima di essere stata rivelato da una gruppo hacker denominato Shadowbrokers il 14 aprile. Una volta all'interno del sistema, viene installato un rootkit, che consente loro di scaricare il software per crittografare i dati. Una richiesta di $ 600 in Bitcoin viene visualizzata insieme al wallet. Alla vittima viene data una scadenza per effettuare il pagamento. Se non lo fa, la richiesta di riscatto aumenta.