Difendersi dagli attacchi Ransomware

Photo by benjamin lehman on Unsplash

Qualche tempo fa mi ha chiamato un amico. Aveva un lavoro per me: un'azienda di cui conosceva il CEO era stata hackerata. Era uno studio di contabilità. I fogli di calcolo di tutti i loro clienti erano cifrati. Un ransomware aveva colpito di nuovo.

Era un giovedì quando un impiegato, "Alex", ha aperto un'email di phishing mentre faceva il backup del sistema con l'unico disco dell'ufficio. La cosa era particolarmente grave perché era letteralmente l'unico disco di backup che avevano. Il ransomware si è diffuso su tutta la rete, cifrando tutti i computer, che non avevano né antivirus né firewall e non venivano aggiornati da più di un anno. In un colpo solo, li ha presi tutti.

Il mio amico voleva che ci andassi, decifrassi i file senza segnalarlo alle autorità, mi facessi pagare qualcosa in contanti e restassi tranquillo. La parte più assurda della storia era che l'amica che mi aveva chiamato era sconvolta perché le foto di suo figlio erano sui computer cifrati e non aveva un backup. Amo il mio lavoro e so come vanno fatte le cose, quindi ho rifiutato l'incarico. Ma ho imparato una lezione importante: dotati di una linea di difesa e preparati a tutto questo.

La linea di difesa

Una volta che configuri il tuo ambiente e inizi a usarlo, ogni passo può portare a un ransomware. Può sembrare allarmante, ma gli attacchi ransomware sono in costante evoluzione e non hanno intenzione di fermarsi. Le statistiche dicono che negli ultimi anni gli attacchi ransomware sono aumentati del 300%, con più di 4.000 attacchi al giorno in media. Se ci pensi, è un numero enorme! E l'unico modo per evitare di diventare un bersaglio è farsi trovare preparati!

Un buon punto di partenza è aggiornare letteralmente tutto sul tuo sistema. Gli aggiornamenti possono essere molto fastidiosi, soprattutto quando richiedono più di 10 minuti. È in quei momenti che ti rallentano la connessione o rompono le dipendenze del sistema e devi capire come far tornare tutto a funzionare.

Qualche tempo fa sono stato assunto come consulente per verificare la sicurezza di un'azienda e documentarla. Non dovevo eseguire un attacco. Mi hanno portato nel loro ufficio, mi hanno mostrato tutto quello che avevano e mi hanno lasciato fare le mie cose con il mio laptop. La prima cosa che mi ha urlato "rete non sicura" è stata un vecchio computer ancora collegato alla rete con Windows XP.

Per l'azienda, quel computer valeva ancora la pena perché avevano una licenza per un software commerciale progettato apposta per loro che girava solo su Windows XP. Ma quel software non era aggiornato ed era completamente morto perché la software house che avrebbe dovuto mantenerlo aveva chiuso. E anche se il software non era sicuro, il costo di un nuovo software non valeva la pena per quell'azienda.

Non ho analizzato quel software in dettaglio, ma quello che ho notato è che aveva una specie di "hook" sulla rete per dei CSV che passavano avanti e indietro attraverso di esso. Non ti sembra molto sicuro, vero?

Una volta che il tuo setup è aggiornato e pronto all'uso, dovresti avere un antivirus e/o un firewall per l'utilizzo quotidiano. Come minimo, dovresti fare scansioni periodiche del sistema per verificare se sei a posto. Puoi procurarti un "kit completo", le cosiddette soluzioni tutto in uno, come Kaspersky Security. Queste soluzioni sono sempre un buon punto di partenza se non vuoi pensare troppo a nulla.

Installi la tua soluzione e poi usi semplicemente il tuo sistema. Ti forniranno letteralmente tutto, dal firewall al monitoraggio continuo, e di solito offrono qualche funzione interessante come il sandboxing del browser per i pagamenti sicuri.

Se sei un utente più avanzato puoi scegliere software diversi per cose diverse e combinarli. Se sei su una distro Linux puoi usare altre combinazioni di software come Maldet per il rilevamento dei malware, rkhunter per la protezione dai rootkit e fail2ban per rilevare comportamenti sospetti in arrivo. Per esempio, puoi impostare un CronJob che esegua una scansione al posto tuo ogni giorno, così:

Source

Quando combini più software, ricorda che la configurazione è tutto. Se usi più di un software, puoi avere problemi dovuti a conflitti.

Poi, quando tutta la tua architettura è configurata, ti serve un framework di test per eseguire analisi e verificare se sei pronto per internet. Per esempio, molti ransomware arrivano tramite email di phishing. Di recente ho ricevuto un'email in cui il mittente sembrava essere un'azienda che era stata mia cliente. L'oggetto era "Test" e aveva un allegato cifrato la cui password era stata inviata in chiaro nel corpo del messaggio.

Conoscevo l'azienda, quindi era possibile che fosse un'email reale da parte loro. Ma da professionista IT, dovevo prima verificare la provenienza dell'email. Ho iniziato a leggerla e mi sono scattati un sacco di campanelli d'allarme. Ma la curiosità non si ferma mai. Così ho preso una sandbox, ho estratto lo zip, e c'era un file doc. Un file doc in un'email urla "email non sicura"!

Come riferimento, ecco la scansione del file da VirusTotal:

VirusTotal Scan

E così sono stato contento di non aver aperto l'email. Alcune aziende potrebbero usare questo tipo di email come test. Ma non tutte le aziende sono in grado di preparare email con allegati fasulli per mettere alla prova qualcuno.

Se pensi di essere pronto a gestire un attacco, puoi usare uno strumento come Cymulate per metterti alla prova contro un attacco ransomware. Cymulate può essere installato come daemon nei computer target della tua azienda, e puoi simulare attacchi dalla tua dashboard sui dispositivi target per verificarne la sicurezza.

La sua funzione migliore è che puoi automatizzare i tuoi attacchi ed eseguire test su più livelli dell'intera architettura, prendendo di mira firewall o singoli computer. In questo modo puoi verificare quanto è vulnerabile il tuo sistema.

Il punto è che il tuo sistema è forte solo quanto il suo punto più debole. Se il tuo firewall è vulnerabile, può essere sfruttato per aprire una backdoor sulla tua rete. Poi l'attaccante può semplicemente provare diversi vettori di attacco finché non raggiunge il bersaglio finale.

Con Cymulate puoi testare tutta la tua architettura molto facilmente, pianificando un attacco dopo l'altro. Inoltre, i risultati dei test vengono forniti in un report dettagliato che ti dice come i tuoi dispositivi hanno risposto agli attacchi. E una volta che sai dove sei vulnerabile, puoi sistemare tutto e rifarlo finché non sei sicuro di ciò che gira sulla tua rete.

Sii sempre furbo 💀

Il ransomware può arrivare da qualsiasi parte: email di amici, siti web dall'aspetto rassicurante, o anche copiando file dalla chiavetta USB di un amico. Come detto prima, ricorda di aggiornare il tuo sistema, monitorare attivamente la tua piattaforma, testare i possibili vettori di attacco e avere un backup dei tuoi dati. E ricorda: se ragioni in modo furbo e sei un po' più scettico su ciò che ti succede intorno, puoi schivare parecchie pallottole!