Covid-19 e WannaCry: analogie e riflessioni

Massimiliano Brolli : 9 Giugno 2020 08:00

Articolo di: Massimiliano Brolli
Data pubblicazione: 09/06/2020

Era il 6 marzo 2020 quando l’italia si accorse che era arrivato il momento di prendere provvedimenti per fare fronte al contagio da COVID-19 e che era necessaria la collaborazione di tutti, anche del singolo, per uscirne fuori… vivi.

Era il 12 maggio 2017 (poco più di 3 anni fa) quando il mondo si svegliò sotto un massiccio attacco cyber messo in atto dal malware WannaCry, che bloccò 250.000 computer, in 150 paesi differenti e con loro ospedali, grandi organizzazioni, Asset strategici, Pubbliche Amministrazioni e molto altro ancora.

CVE Enrichment Mentre la finestra tra divulgazione pubblica di una vulnerabilità e sfruttamento si riduce sempre di più, Red Hot Cyber ha lanciato un servizio pensato per supportare professionisti IT, analisti della sicurezza, aziende e pentester: un sistema di monitoraggio gratuito che mostra le vulnerabilità critiche pubblicate negli ultimi 3 giorni dal database NVD degli Stati Uniti e l'accesso ai loro exploit su GitHub. Cosa trovi nel servizio: ✅ Visualizzazione immediata delle CVE con filtri per gravità e vendor. ✅ Pagine dedicate per ogni CVE con arricchimento dati (NIST, EPSS, percentile di rischio, stato di sfruttamento CISA KEV). ✅ Link ad articoli di approfondimento ed exploit correlati su GitHub, per ottenere un quadro completo della minaccia. ✅ Funzione di ricerca: inserisci un codice CVE e accedi subito a insight completi e contestualizzati. Ricerca per singola CVE Ricerca le ultime CVE emesse Articolo sul CVE enrichment Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Questi due eventi così diversi ma così simili, cosa hanno in comune?

Quali sono le analogie tra queste due profonde crisi?

In questo periodo ho cercato di appuntarmeli, per poterli condividere, magari possono essere uno spunto di riflessione.

• Si è parlato di una fuoriuscita del virus da un laboratorio cinese: L‘exploit Eternalblue venne trafugato dai server della National Security Agency da un gruppo di hacker chiamato “The Shadow Broker” che pubblicò una serie di informazioni altamente classificate della NSA in “Lost in Translation”, una pubblicazione di dati dove venne anche reso pubblico Exploit Zeroday Eternalblue;
• All’inizio tutti hanno sottovalutarono il virus, pensando che era distante, che non avrebbe mai oltrepassato i confini. Dopo il rilascio della patch da parte di Microsoft, emessa subito dopo il furto dell’exploit Eternalblue dai server dell’NSA (sul quale si basava WannaCry), molti non installarono la fix, pensando che non si trattasse di una cosa urgente;
• Ha colpito fortemente i più deboli, gli immunodepressi e le persone anziane. WannaCry colpì chi non aveva una corretta postura cyber. Chi non aveva un programma di CyberSecurity efficace (detection, reaction, patch management, process adoption) che si ritrovò in balia dell’infezione da Ransomware e quindi decidere se pagare il riscatto o provare a ripristinare le proprie infrastrutture, in molti casi con risultati disastrosi;
• Il virus ha colpito tutti, oltrepassato i confini geografici. l‘exploit di Eternalblue venne definito “wormable”, questo vuol dire che si sarebbe potuto trasmettere facilmente da un computer infetto ad un computer NON infetto. L’esperienza maturata su Eternalblue, venne utilizzata per BlueKeep (altro exploit critico su RDP di Microsoft) sul quale la NSA e altre agenzie emisero avvisi di massima allerta in quanto la vulnerabilità venne classificata come “altamente wormable”.

• A tutti è stato fatto un tampone, anche a chi non aveva una assistenza sanitaria (vedi USA) in quanto vettore di contagio. Come per Eternalblue e BlueKeep, essendo internet pieno di sistemi operativi Microsoft non licenziati ed in End Of Life (EoL), questi risultavano un vettori di attacco per l’infezione anche per gli altri. Vennero infatti prodotte fix di aggiornamento anche per i sistemi obsoleti da parte di Microsoft, cosa mai fatta prima, per limitare il contagio e per bloccare i focolai di infezione;
• Per mitigare il contagio, a tutti venne richiesto di rimanere a casa, di lavarsi le mani e di rimanere a debita distanza. Per mitigare il contagio, iniziarono massicce campagne di Awareness mirate successive all’infezione, richiedendo la collaborazione dell’utente, per evitare di cliccare su e-mail di phishing, per saper individuare prontamente una minaccia, per ripristinare una corretta condotta da parte degli utenti;
• Per limitare il contagio, sono state isolate le persone infette mentre per le più gravi sono state messe in terapia intensiva. Per limitare le perdite nelle aziende colpite, vennero isolate le reti che contenevano i sistemi infetti, cercando di spostare i servizi sulle architetture non prese in ostaggio dal virus. I sistemi non ripristinabili, vennero formattati per poi installare sistemi operativi più aggiornati ripristinando i dati di backup;
• il Covid-19 potrebbe virare. Dopo WannaCry, ci furono altri Malware che utilizzarono lo stesso exploit di Eternalblue, come il russo NotPetya e poi BadRabbit. Anche se l’agente del contagio era lo stesso (l’exploit) diversi malware presero vita nei periodi successivi;

In effetti di queste “assonanze” se ne possono trovare tantissime tra questi due eventi catastrofici, ma per il COVID-19 ancora non abbiamo il Marcus Hutchins di turno.

Si perché fu Marcus Hutchins chiamato MalwareTech a trovare all’interno dei file binari del malware WannaCry una sorta di “interruttore” (chiamato anche Kill Switch o SinkHole) che consentiva di spegnere l’attacco cyber. MalwareTech scoprì che Wannacry richiamava costantemente un dominio. Se il dominio non esisteva (non registrato) l’infezione andava avanti, ma se invece il dominio rispondeva, il ransomware si bloccava. Quindi MalwareTech non fece altro che registrare questo dominio con un investimento pari a 10,69 dollari dell’epoca rallentando e poi bloccando l’infezione.

Ma anche un’altra cosa occorre dire, forse la più importante.

L’era delle Backdoor e dei Repository di armi (virus, cyberweapons, ecc…) deve finire, questo può mettere a repentaglio il mondo intero.

Tenere segreta una infezione in un laboratorio di armi chimiche o un potentissimo exploit può portare a conseguenze catastrofiche, come ad una nuova pandemia oppure catapultarci in una nuova “Guerra fredda”.

Perché il rischio Zero non esiste, ma esiste sempre il buon senso.

Massimiliano Brolli
Responsabile del RED Team e della Cyber Threat Intelligence di una grande azienda di Telecomunicazioni e dei laboratori di sicurezza informatica in ambito 4G/5G. Ha rivestito incarichi manageriali che vanno dal ICT Risk Management all’ingegneria del software alla docenza in master universitari.

Lista degli articoli
Visita il sito web dell'autore