Bad Rabbit: nuova ondata ransomware in Europa

Pubblicato il 8 novembre 2017

Nelle scorse settimane un nuovo ransomware denominato Bad Rabbit ha colpito Russia, Ucraina, Turchia, Germania, Bulgaria, USA e Giappone. Russia e Ucraina hanno subito l’attacco maggiore, poiché l’infezione è partita da alcuni siti web di notizie russi hackerati. Le agenzie media russe Interfax e Fontanka, nonché le organizzazioni per il trasporto in Ucraina tra cui l’aeroporto di Odessa, la metropolitana di Kiev e il Ministro delle infrastrutture locale sono stati i primi a essere infettati.

Bad Rabbit si basa su codice NonPetya o exPetr, tuttavia risulta notevolmente riprogettato, nonostante il comportamento e gli effetti reali dell’infezione siano rimasti quasi inalterati. Nello stesso momento abbiamo notato che include alcune parti di altri ransomware, per esempi gli approcci utilizzati in HDDCryptor. Tuttavia, chi si cela dietro Bad Rabbit ha apportato dei fix e combinando tutto in una sola soluzione, un approccio più unico che raro. Hanno inoltre firmato il codice con un certificato fasullo di sicurezza Symantec. Un’altra caratteristica di questo software malevolo è la capacità di rilevare le password utente all’interno dei computer infetti e scaricare moduli malevoli aggiuntivi.

Il ransomware non ricorrere a nuovi trucchi, bensì al contrario si affida a un approccio malware molto datato, che consiste nell’indurre gli utenti a installare un aggiornamento Adobe Flash fasullo. Sorprendentemente, questo approccio funziona ancora, il che indica che la consapevolezza della sicurezza informatica è ancora poco sentita tra le aziende e i consumatori. È necessaria ancora molta formazione per rendere questi attacchi meno efficaci. Fino ad allora, in assenza di appropriate misure di sicurezza e protezione dei dati, il rischio di diventare vittima del ransomware rimane alto.

I fatti chiave di Bad Rabbit
• Utilizza pezzi di codice di NonPetya/ExPetr
• Viene distribuito come un aggiornamento Flash fasullo che richiede l’installazione manuale dell’utente
• Usa il driver di sistema per la crittografia
• Tenta di espandersi tramite una rete locale in modo primitivo
• Sostituisce il MBR e rende il PC inutilizzabile
• Crash su Windows 10
• Colpito principalmente utenti Windows aziendali

Schema di infezione e dettagli tecnici – Per lanciare l’attacco, i criminali informatici hanno hackerato alcuni siti Web di media popolari postando un link a un installer fasullo di Adobe Flash e chiedendo agli utenti di eseguire l’aggiornamento una volta visitata la pagina. Molti utenti sono cascati nel tranello, sebbene le compagnie di sicurezza continuino ad avvisare da anni di non installare aggiornamenti software provenienti da fonti non affidabili. Inoltre, si consiglia di controllare tutti gli aggiornamenti con un prodotto anti-malware prima dell’installazione per accertarsi che non siano stati hackerati o non contengano codici maligni. Alcuni aggiornamenti software Adobe fasulli erano schemi di infezione simile e molto popolare alcuni anni fa e, come vediamo, sfortunatamente continuano a essere efficaci.

Il dropper del ransomware viene distribuito da hxxp://1dnscontrol[.]com/flash_install.php. Successivamente, l’utente scarica il file install_flash_player.exe, che richiede diritti di amministratore nel sistema. È insolito che cerchi di ottenere questi privilegi utilizzando il prompt UAC standard. Se avviato, il dropper estrae un modulo di crittografia a livello file infpub.dat (che in realtà è un dll) e un modulo di crittografia a livello disco dispci.exe e il driver modalità kernel cscc.dat (che in realtà è il file legale dcrypt.sys).

Dopo che l’utente ha infettato volontariamente la macchina, Bad Rabbit cerca di espandersi utilizzando la rete locale e un tool mimikatz conosciuto che consente di estrarre le credenziali Windows dalla Local Security Authority in forma aperta, nonché l’elenco delle credenziali integrate che includono alcuni degli esempi di password peggiori. Gli assalitori sanno che “12345” o “password” si trovano in cima agli elenchi di password da anni e che queste password continuano a essere efficaci.

Come abbiamo già suggerito, Bad Rabbit usa due tipi di crittografia: a livello file e disco. Non imita chkdsk.exe come faceva NonPetya per nascondere la crittografia, e non sfrutta neppure alcuna vulnerabilità nel file server Microsoft srv.sys. Innanzitutto, Bad Rabbit lancia la crittografia a livello file (infpub.dat tramite rundll32) qualora trovi abbastanza file da criptare. Dopodiché, crea i processi nello Scheduler per lanciare dispci.exe che cripta i drive e successivamente forza un riavvio di sistema. Dopo il primo riavvio, dispci.exe scrive un loader esteso alla fine del disco, che otterrà il controllo completo tramite l’MBR malevolo successivamente. In conclusione, l’intero disco sarà criptato con un driver legittimo, l’MBR sarà riscritto e il PC si avvierà nuovamente per visualizzare un messaggio di riscatto chiedendo 0,05 bitcoin (pari ad approssimativamente $275).

Un punto interessante è che in Windows 10 il modulo driver utilizzato per la crittografia causa spesso un BSOD (Blue Screen Of Death) a seguito dei problemi di compatibilità. Un altro aspetto è che quando crittografa il file, l’estensione rimane la stessa, il che può ingannare l’euristica utilizzata da alcuni antivirus, che reagisce ai cambiamenti delle estensioni file. Bad Rabbit può lavorare offline e ciò significa potenzialmente che il campione può infettare altre macchine se archiviato e distribuito su un drive flash.

L’obiettivo principale di Bad Rabbit è costituito da compagnie e aziende e al livello attuale possiamo constatare che i livelli di infezione stanno già calando. Il server malevolo non è più attivo e la maggior parte dei siti infetti che ospitavano lo script del Flash pericoloso attualmente sono inattivi oppure disinfettati. Questo non significa, tuttavia, che in quanto azienda o utente privato ci si possa rilassare, in quanto un nuovo attacco può verificarsi in qualsiasi momento.

I prodotti Acronis, che hanno assicurato l’Acronis Active Protection, come Acronis True Image e Acronis Backup 12.5, rilevano e bloccano la minaccia con facilità, ripristinando qualsiasi danno ai dati in pochissimi secondi:

Acronis Active Protection protegge il Master Boot Record (MBR).
Acronis Active Protection rileva e blocca i ransomware Bad Rabbit.

Consigliamo di rispettare le seguenti semplici regole per la sicurezza:
Installare e abilitare soluzioni affidabili di backup e anti-malware. Il metodo migliore per proteggersi dai ransomware è ricorrere al backup di Acronis con Acronis Active Protection. Proteggere dalle moderne minacce ransomware in modo significativamente migliore rispetto agli antivirus tradizionali.
Installare solamente aggiornamenti software provenienti da siti Web ufficiali oppure quando lo richieda il software in Windows. Molti fornitori software esterni, come Adobe, aggiornano i propri programmi automaticamente, in modo che l’utente non visualizza di alcuna richiesta per gli aggiornamenti, specialmente quando si sta leggendo il proprio sito di news preferito. Nel migliore dei casi è possibile rimuovere completamente Flash se non lo si utilizza.



Contenuti correlati

  • Le minacce nel cyberspazio: gli attacchi più diffusi e casi concreti

    Il 2016 è stato l’anno peggiore di sempre per la sicurezza informatica. A dirlo è il Rapporto Clusit 2017 dell’Associazione Italiana per la Sicurezza Informatica, redatto da oltre un centinaio di professionisti in collaborazione con un gran...

  • L’industria italiana della sicurezza: innovazione e integrazione tecnologica guidano la crescita

    L’industria italiana fornitrice di tecnologie per la sicurezza e automazione edifici rappresentata in Anie Sicurezza – espressione a fine 2016 di un fatturato totale aggregato pari 2,3 miliardi di euro – costituisce un comparto di eccellenza all’interno del...

  • Parte oggi Codemotion Milan 2017: Trend Micro presente!

    Trend Micro è presente a Codemotion Milan 2017, la più grande conferenza tecnica d’Europa rivolta a tutti i software developer, giunta alla quinta edizione. Si tratta della manifestazione dedicata al codice e alle idee innovative tecnologiche e...

  • A Milano il Petrolchimico 4.0 e la Cyber security

    Il 30 novembre a Milano è di scena mcT Tecnologie per il Petrolchimico, l’evento verticale di riferimento per i professionisti impegnati nel settore del petrolchimico e dell’industria di orocesso. Anche questa nona edizione sarà caratterizzata da un ricco...

  • Acronis: piattaforma per service provider per la gestione dati su cloud ibrido

    Acronis ha reso disponibile Acronis Data Cloud, una piattaforma unificata dedicata a tutti i servizi correnti e futuri basati sul cloud, introdotta nel mercato da Acronis per i provider di servizi. Con l’integrazione di Acronis Data Cloud,...

  • Indagine Cefriel sulla sicurezza informatica

    Dopo un attacco di phishing fino al 60% dei destinatari clicca su link ingannevoli e circa tre quarti (75%) di questi cede anche le proprie credenziali senza verificare l’attendibilità del mittente, specie nei primi venti minuti dal...

  • ICS Forum: la cyber security nell’industria

    La sicurezza delle informazioni e delle operazioni nel mondo della produzione sarà il tema centrale di Industrial Cyber Security Forum (ICS Forum), un evento organizzato da Messe Frankfurt Italia e dedicato a diffondere nel mondo delle imprese...

  • Un approccio modulare alle funzioni di sicurezza

    Diversi accorgimenti hardware e software hanno reso ancora più efficaci i moduli di sicurezza configurabili proposti da Schneider Electric. I dispositivi della serie Preventa XPS MCM permettono di implementare le funzioni di sicurezza per macchinari in movimento...

  • Le minacce nel cyberspazio… – video

    Informazioni personali e Big Data sono il vero oro del nuovo millennio. Per questi motivi, gli attacchi si concentrano sempre più dove si concentra il denaro, con conseguenze a livello economico rilevanti. Ne parla l’avvocato Cristiano Cominotto.

  • Cyber-security, profili generali – video

    Cosa si può fare dal punto di vista legale nel caso in cui l’azienda venga ‘attaccata’ da un cyber-criminale? Come si attiva la Giustizia di fronte a un cyber-attacco? Quali sono le armi legali a disposizione della vittima?...

Scopri le novità scelte per te x