Bad Rabbit: nuova ondata ransomware in Europa
Nelle scorse settimane un nuovo ransomware denominato Bad Rabbit ha colpito Russia, Ucraina, Turchia, Germania, Bulgaria, USA e Giappone. Russia e Ucraina hanno subito l’attacco maggiore, poiché l’infezione è partita da alcuni siti web di notizie russi hackerati. Le agenzie media russe Interfax e Fontanka, nonché le organizzazioni per il trasporto in Ucraina tra cui l’aeroporto di Odessa, la metropolitana di Kiev e il Ministro delle infrastrutture locale sono stati i primi a essere infettati.
Bad Rabbit si basa su codice NonPetya o exPetr, tuttavia risulta notevolmente riprogettato, nonostante il comportamento e gli effetti reali dell’infezione siano rimasti quasi inalterati. Nello stesso momento abbiamo notato che include alcune parti di altri ransomware, per esempi gli approcci utilizzati in HDDCryptor. Tuttavia, chi si cela dietro Bad Rabbit ha apportato dei fix e combinando tutto in una sola soluzione, un approccio più unico che raro. Hanno inoltre firmato il codice con un certificato fasullo di sicurezza Symantec. Un’altra caratteristica di questo software malevolo è la capacità di rilevare le password utente all’interno dei computer infetti e scaricare moduli malevoli aggiuntivi.
Il ransomware non ricorrere a nuovi trucchi, bensì al contrario si affida a un approccio malware molto datato, che consiste nell’indurre gli utenti a installare un aggiornamento Adobe Flash fasullo. Sorprendentemente, questo approccio funziona ancora, il che indica che la consapevolezza della sicurezza informatica è ancora poco sentita tra le aziende e i consumatori. È necessaria ancora molta formazione per rendere questi attacchi meno efficaci. Fino ad allora, in assenza di appropriate misure di sicurezza e protezione dei dati, il rischio di diventare vittima del ransomware rimane alto.
I fatti chiave di Bad Rabbit
• Utilizza pezzi di codice di NonPetya/ExPetr
• Viene distribuito come un aggiornamento Flash fasullo che richiede l’installazione manuale dell’utente
• Usa il driver di sistema per la crittografia
• Tenta di espandersi tramite una rete locale in modo primitivo
• Sostituisce il MBR e rende il PC inutilizzabile
• Crash su Windows 10
• Colpito principalmente utenti Windows aziendali
Schema di infezione e dettagli tecnici – Per lanciare l’attacco, i criminali informatici hanno hackerato alcuni siti Web di media popolari postando un link a un installer fasullo di Adobe Flash e chiedendo agli utenti di eseguire l’aggiornamento una volta visitata la pagina. Molti utenti sono cascati nel tranello, sebbene le compagnie di sicurezza continuino ad avvisare da anni di non installare aggiornamenti software provenienti da fonti non affidabili. Inoltre, si consiglia di controllare tutti gli aggiornamenti con un prodotto anti-malware prima dell’installazione per accertarsi che non siano stati hackerati o non contengano codici maligni. Alcuni aggiornamenti software Adobe fasulli erano schemi di infezione simile e molto popolare alcuni anni fa e, come vediamo, sfortunatamente continuano a essere efficaci.
Il dropper del ransomware viene distribuito da hxxp://1dnscontrol[.]com/flash_install.php. Successivamente, l’utente scarica il file install_flash_player.exe, che richiede diritti di amministratore nel sistema. È insolito che cerchi di ottenere questi privilegi utilizzando il prompt UAC standard. Se avviato, il dropper estrae un modulo di crittografia a livello file infpub.dat (che in realtà è un dll) e un modulo di crittografia a livello disco dispci.exe e il driver modalità kernel cscc.dat (che in realtà è il file legale dcrypt.sys).
Dopo che l’utente ha infettato volontariamente la macchina, Bad Rabbit cerca di espandersi utilizzando la rete locale e un tool mimikatz conosciuto che consente di estrarre le credenziali Windows dalla Local Security Authority in forma aperta, nonché l’elenco delle credenziali integrate che includono alcuni degli esempi di password peggiori. Gli assalitori sanno che “12345” o “password” si trovano in cima agli elenchi di password da anni e che queste password continuano a essere efficaci.
Come abbiamo già suggerito, Bad Rabbit usa due tipi di crittografia: a livello file e disco. Non imita chkdsk.exe come faceva NonPetya per nascondere la crittografia, e non sfrutta neppure alcuna vulnerabilità nel file server Microsoft srv.sys. Innanzitutto, Bad Rabbit lancia la crittografia a livello file (infpub.dat tramite rundll32) qualora trovi abbastanza file da criptare. Dopodiché, crea i processi nello Scheduler per lanciare dispci.exe che cripta i drive e successivamente forza un riavvio di sistema. Dopo il primo riavvio, dispci.exe scrive un loader esteso alla fine del disco, che otterrà il controllo completo tramite l’MBR malevolo successivamente. In conclusione, l’intero disco sarà criptato con un driver legittimo, l’MBR sarà riscritto e il PC si avvierà nuovamente per visualizzare un messaggio di riscatto chiedendo 0,05 bitcoin (pari ad approssimativamente $275).
Un punto interessante è che in Windows 10 il modulo driver utilizzato per la crittografia causa spesso un BSOD (Blue Screen Of Death) a seguito dei problemi di compatibilità. Un altro aspetto è che quando crittografa il file, l’estensione rimane la stessa, il che può ingannare l’euristica utilizzata da alcuni antivirus, che reagisce ai cambiamenti delle estensioni file. Bad Rabbit può lavorare offline e ciò significa potenzialmente che il campione può infettare altre macchine se archiviato e distribuito su un drive flash.
L’obiettivo principale di Bad Rabbit è costituito da compagnie e aziende e al livello attuale possiamo constatare che i livelli di infezione stanno già calando. Il server malevolo non è più attivo e la maggior parte dei siti infetti che ospitavano lo script del Flash pericoloso attualmente sono inattivi oppure disinfettati. Questo non significa, tuttavia, che in quanto azienda o utente privato ci si possa rilassare, in quanto un nuovo attacco può verificarsi in qualsiasi momento.
I prodotti Acronis, che hanno assicurato l’Acronis Active Protection, come Acronis True Image e Acronis Backup 12.5, rilevano e bloccano la minaccia con facilità, ripristinando qualsiasi danno ai dati in pochissimi secondi:
Acronis Active Protection protegge il Master Boot Record (MBR).
Acronis Active Protection rileva e blocca i ransomware Bad Rabbit.
Consigliamo di rispettare le seguenti semplici regole per la sicurezza:
• Installare e abilitare soluzioni affidabili di backup e anti-malware. Il metodo migliore per proteggersi dai ransomware è ricorrere al backup di Acronis con Acronis Active Protection. Proteggere dalle moderne minacce ransomware in modo significativamente migliore rispetto agli antivirus tradizionali.
• Installare solamente aggiornamenti software provenienti da siti Web ufficiali oppure quando lo richieda il software in Windows. Molti fornitori software esterni, come Adobe, aggiornano i propri programmi automaticamente, in modo che l’utente non visualizza di alcuna richiesta per gli aggiornamenti, specialmente quando si sta leggendo il proprio sito di news preferito. Nel migliore dei casi è possibile rimuovere completamente Flash se non lo si utilizza.
Contenuti correlati
-
AI e sicurezza: come prevenire gli infortuni sul lavoro
Di Marco Bavazzano, Amministratore Delegato di Axitea Ciclicamente, e con dispiacere, ci troviamo a leggere o ascoltare di storie di infortuni sul lavoro che hanno purtroppo spesso un epilogo tragico, con conseguenti bilanci, commenti e iniziative sulle...
-
Palo Alto Networks: il 41% delle aziende italiane subisce attacchi agli ambienti OT
Un nuovo report di Palo Alto Networks, realizzato in collaborazione con ABI Research, rivela che 2 imprese italiane su 5 (41%) subiscono mensilmente attacchi informatici ai loro ambienti di tecnologia operativa (OT). Ciononostante, solo un quarto considera...
-
Direttiva NIS2 e organizzazioni italiane: le risposte di Sangfor Technologies
Per preparare meglio gli Stati dell’UE contro le minacce informatiche, la Direttiva NIS2 ha incluso requisiti organizzativi più severi, estesi in 4 aree: la gestione del rischio, la responsabilità aziendale, gli obblighi di rendicontazione e la continuità...
-
Sicurezza: normative e legislazioni, come farvi fronte
La sicurezza è un concetto: bisogna imparare a conoscerlo e a diffondere la cultura della sicurezza. Normative e legislazioni servono e sono doverose in ogni attività produttiva, ma vanno comprese nel loro senso più profondo. Per aumentare...
-
Acqua ed energia al sicuro
Un’azienda svedese di servizi pubblici per l’energia e l’acqua ha deciso di migliorare sia la sicurezza sia l’affidabilità attraverso l’integrazione IT/OT e per farlo ha scelto Fortinet Falu Energi & Vatten (Energia & Acqua) è un’azienda municipalizzata...
-
ABB, conformità con i gas refrigeranti A2L e A3
Nel mondo della produzione di unità HVACR, la sicurezza è sempre al primo posto, soprattutto quando si tratta di refrigeranti di categoria A2L e A3, dove i rischi sono elevati e di varia natura. Per garantire la...
-
Anteprima SPS Italia 2024: intervista a Cinzia Bonomini e Marco Pelizzaro di Pilz Italia
Siamo qui con Cinzia Bonomini e Marco Pelizzaro di Pilz Italia, in vista della sua partecipazione a SPS Italia 2024 di Parma, il prossimo 28-30 maggio, per capire qualcosa in più della sua filosofia e cosa porterà in...
-
Carico, scarico e movimentazione di pannelli in totale sicurezza
Per aggiornare un sistema automatico di movimentazione dei pannelli, nell’ambito della linea di produzione di componenti per l’industria dell’arredo di Mobilpref, l’azienda Robota, specializzata nella lavorazione del legno, ha utilizzato la tecnologia di sicurezza di Schmersal. Leggi...
-
Safety e Security: anticorpi degli impianti
Gli attacchi informatici sono in continua crescita dato che organizzazioni criminali si introducono nelle reti per rivendere le informazioni illegalmente ottenute o causare disservizi a ben specifici bersagli da danneggiare… Leggi l’articolo
-
Cyber Security, a Security Summit 2024 lo stato dell’arte, le nuove tecnologie, le normative in 56 sessioni
Lo stato dell’arte della cyber security, tra attacchi, vittime e nuove minacce nel 2023: sulla base dei dati del Rapporto Clusit 2024 gli esperti dell’Associazione Italiana per la Sicurezza Informatica, con rappresentanti di istituzioni, centri di ricerca,...