#DicoLaMiaSu: Ransomware WannaCry: alcune consdierazioni.

WannaCry

Oviamente fuori dal coro!!


Continuo a leggere in giro, a proposito del famigerato WannaCry, di attacchi… forse chi fa notizie dovrebbe darsi una ripassata al vocabolario; a me il vocabolario da questa definizione di attacco:


attacco s. m. (der. di attaccare) (pl. -chi). — (…) 3. Assalto con forze militari, azione offensiva svolta decisamente, con impeto e grande impiego di forze allo scopo di sopraffare e disorganizzare il nemico: preparare un a.; (…)


La chiave sta nel di sopraffare un nemico. Ora, salvo che chi abbia avviato questa campagna di infezione, non ce l’abbia con il mondo intero, allora la definizione di attacco non torna. Avrebbe avuto senso se avesse colpito un solo specifico paese, oppure un solo e specifico settore, ma così non è stato. L’infezione ha colpito di tutto e di tutti, quindi di parlare, o meglio di straparlare, di attacco direi che non sia proprio il caso.

L’unico motivo che, io, vedo in questa campagna di infezione è quello solito di chi avvia questo genere di cose: i soldi. Sebbene a giudicare dai conti fatti, dai soliti analisti, pare non gliene siano arrivati poi così tanti, almeno rispetto al numero di macchine infettate.

Poi, il fatto che questa specifica infezione, avesse due peculiarità mi fa po’ pensare:

  • un dominio che faccia da killer switch (interruttore di spegnimento);
  • che abbia usato una falla chiusa, sebbene da poco, da Microsoft con una patch addirittura estesa a sistemi non più supportati come Windows XP.

Per il primo punto, in soldoni per chi non sia del mestiere, praticamente il virus, una volta avviato, verifica la presenza di un dominio specifico attivo, per capirci qualcosa come killerswitch.com, se esiste allora si ferma e non combina danni, se non lo trova allora prosegue la sua azione iniziando a criptare tutti i file previsti.

Per il secondo punto, l’untore, ha ben pensato di usare una vulnerabilità corretta da poco, parliamo di circa metà marzo, giocando sul fatto che molte aziende ed ancora più privati, non sono avvezzi ad applicare gli aggiornamenti di sicurezza in Windows.

Questa brutta abitudine, facilmente aggirabile con, almeno, l’attivazione automatica dell’installazione degli aggiornamenti di sicurezza, è il motivo per cui questo virus si sia propagato così velocemente e così a fondo: se l’aggiornamento, proposto da Microsoft, fosse stato applicato, il virus non avrebbe potuto infettare tutti i computer in questione.

C’è da considerare, poi, come si è avviata l’infezione: chi è stato e come? Nel solito modo: un impiegato distratto, oppure troppo zelante, ha deciso di cliccare su un link, apparentemente valido, all’interno di una mail, altrettanto apparentemente valida, e voilà il danno è stato fatto.

Non è una novità: la stragrande maggioranza degli attacchi ransomware iniziano così: un utente distratto clicca qualcosa che non avrebbe dovuto.

E questo è un bel problema da risolvere. Come? L’unico modo è la formazione del personale, mi riferisco alle infezioni aziendali, comprese le strutture delle PA e settori come la sanità, vedi numero infezioni, in questo caso nel Regno Unito in solo questo comparto.

So che costa tempo, e di conseguenza denaro, ma se non si addestra l’impiegato di turno a realizzare quando una mail, o un link sono a rischio, il problema si ripeterà all’infinito.

Certo delle volte uno si domanda perché diavolo un impegnato dovrebbe aprire una mail in arrivo dal Giappone quando i clienti sono tutti solo della propria regione? Oppure il solito impiegato che non si allarma quando arriva una mail, apparentemente da una banca abituale, con un testo scritto in maniera così pedestre, che nemmeno un bimbo della quinta elementare la comporrebbe in quel modo, indice che chi ha compilato la mail si è appoggiato a sistemi di traduzione automatica, di solito.

Insomma, a volte basterebbe davvero poco per limitare i danni, eppure anche quel poco non viene fatto perché l’impiegato non è stato formato,nemmeno sulle conseguenze di un simile attacco; mi riferisco a fermi macchina per la disinfezione; quando possibile il tempo per il recupero dei dati dai backup, quando invece non possibile, perché non esiste in azienda una politica di backup, il lavoro perso da ricostruire.

Insomma, resto dell’idea che la formazione del personale in prima linea, ossia l’impiegato che apre le mail tutti i giorni alla sua postazione di lavoro, sia una spesa ben giustificata. Se un titolare di azienda la vede diversamente allora sarà causa del suo male e non potrà nemmeno prendersela con l’impiegato che ha dato il via all’infezione per essere stato troppo zelante.

Esiste poi un altro problema collegato a queste situazioni: la mancanza di copie di recupero, backup, pressoché nella maggioranza delle PMI.

Il backup per la Proprietà, sino alla prima volta che ci incappa, è solo una perdita di tempo e di conseguenza di denaro. Ora, al di la che sono obbligatori per le aziende, perché si deve arrivare al punto di perdere il lavoro di svariati giorni, prima di arrivare a capire che un backup ci salverebbe quanto meno il lavoro già fatto?

E questo non vale solo per le aziende, ma anche i privati hanno le proprie cose da non perdere: le proprie benedette collezioni di foto, i documenti prodotti per le più svariate necessità, i video importantissimi delle vacanze di 5 anni fa.

Molti pensano che avere i dati in sincronia con servizi come Dropbox, GoogleDrive, OneDrive o Mega sia una protezione sufficiente. Invece sono proprio questi servizi che possono crearvi dei grossi grattacapi.

Faccio un esempio:

  1. state scrivendo una relazione tecnica, un romanzo, un diario personale. Chiaramente creato nella maggiornaza dei casi con Word.
  2. Vi beccate il virus che infetta i vostri dati. Essendo in sincronia con uno di questi servizi il virus viene replicato anche al servizio remoto immediatamente.
  3. Formattate il computer, lo pulite per bene, reinstallate le vostre tonnellate di programmi.
  4. Ricollegate il vostro servizio di sincronia… vi ricordate che il virus aveva infettato anche quelli? Ecco appena ricollegate il vostro servizio di sincronia siete belli che infettati di nuovo !!

Vi rendete conto che se l’utente non capisce questo meccanismo, rischia di reinstallare il pc un certo numero di volte, di fila, prima di capire che stia succedendo ?

Un backup è diverso da un servizio di sincronia diretto; e va gestito in modo diverso e corretto, altrimenti e come se non lo faceste !!

Che ne pensate di questa analisi? Secondo me ha una sua logica ed per questo che non smetterò mai di ripetere queste due cose:

  1. Formazione, formazione e formazione (questo per le aziende)
  2. imparare la differenze tra servizio di sincronia (dropbox) e di backup (san google in questo può essere molto di aiuto).

Meditate gente, meditate!!

Rispondi