• IL NOSTRO NETWORK:
  • The Innovation Group
  • Technopolis
  • ictBusiness.it
logo
logo
  • News
  • Focus
  • Eccellenze.it
  • Strategie di Canale
  • Ti trovi in:
  • Home Page
  • News

DearCry, come funziona il ransomware che ha colpito anche l’Italia

L’Italia è tra i Paesi più presi di mira dal gruppo hacker che ha sfruttato le vulnerabilità di Microsoft Exchange Server per spiare e ricattare centinaia di migliaia di aziende. Ecco come difendersi da DearCry.

Pubblicato il 19 marzo 2021 da Valentina Bernocco

Le vulnerabilità di Microsoft Exchange Server hanno causato problemi decine di migliaia di aziende e organizzazioni, anche in Italia, consentendo al gruppo di hacker cinesi Hafnium di penetrare nel database e nelle caselle email delle loro vittime, o per spiare o per ricattarle tramite ransomware. In particolare una delle vulnerabilità, identificata come CVE-2021-26855, è stata sfruttata dagli autori dell’attacco per entrare attraverso la porta 443 negli account di posta elettronica delle organizzazioni bersaglio.

 

All’inizio di marzo, quando la campagna è stata scoperta, le violazioni informatiche erano già in corso da un paio di mesi. Alcune stime parlano di 125mila server colpiti, altre di 80mila, ma in ogni caso la falla del software di Microsoft, poi risolta da alcune patch, ha riempito le cronache delle ultime settimane e si qualifica come una delle operazioni (note) di cyberspionaggio più gravi degli ultimi anni. La stessa Microsoft ha ammesso di aver subìto violazioni e tra le vittime illustri ci sono anche l’Eba, l’Autorità bancaria europea, e Gruppo Tim (la sua divisione Tim Business), mentre dopo alcune illazioni riguardanti i disservizi della sua rete Wind Tre ha negato di essere stata attacca. 

 

Se non altro, in tutta la vicenda dei bug di Exchange Server una parziale buona notizia è che gli hacker non sono riusciti a violare gli account di posta elettronica di Office 365 ma solo quelli appoggiati su risorse on-premise. 

 

Che cos’è DearCry e come fermarlo
Alle notizie di questi giorni si è aggiunta quella dell’indagine avviata dalla Polizia Postale per verificare l’entità dei danni in Italia. È stata scoperta, inoltre, una nuova variante di ransomware che sfrutta le stesse vulnerabilità di Microsoft Exchange già utilizzate da Hafnium: DearCry, questo il nome, crea copie criptate dei file e cancella gli originali. Come spiegato da Sophos, la crittografia di DearCry è basata su un sistema di crittografia a chiave pubblica, che è incorporata nel binario del ransomware: quest’ultimo, dunque, non ha bisogno di contattare il server di comando e controllo dell’autore dell’attacco per crittografare i file. Di conseguenza i server Exchange impostati per consentire solo l’accesso a Internet per i servizi Exchange saranno comunque criptati.

 

“Dal punto di vista del comportamento di encryption, DearCry è quello che i nostri esperti di ransomware chiamano un ransomware ‘Copy’”, spiega Mark Loman, director, engineering technology office di Sophos. “Crea copie criptate dei file attaccati e cancella gli originali. Questo fa sì che i file criptati siano memorizzati su diversi settori logici, permettendo alle vittime di recuperare potenzialmente alcuni dati, a seconda di quando Windows riutilizzi i settori logici liberati”.

Tali caratteristiche distinguono DearCry da alcuni popolari ransomware di tipo “In-Place”, come Ryuk, REvil, BitPaymer, Maze e Clop, i quali memorizzano i file crittografati su settori logicamente uguali, rendendo impossibile il recupero tramite strumenti di undelete. Al contrario il famigerato Wannacry è stato un ransomware “Copy”, e l’assonanza del nome DearCry non è dunque un caso. 

Per evitare di essere colpiti da DearCry è dunque essenziale installare le patch di Exchange Server rilasciate da Microsoft. Sui server più datati, tuttavia, potrebbe non essere possibile installare questi aggiornamenti di sicurezza (Palo Alto Networks stima che siano circa 80mila i sistemi connessi a Internet che si ritrovano in queste condizioni). 

Nel caso in cui non fosse possibile installare le patch, dunque, Sophos suggerisce di disconnettere il server da Internet o di farlo monitorare attentamente da esperti di threat response. Inoltre non bisogna trascurare di eseguire una scansione delle macchine in uso, così da escludere l’eventuale presenza di infezioni passate inosservate. Infine, per scongiurare futuri incidenti di data loss, un’altra buona idea per le aziende potrebbe essere quella di creare dei backup offline dei propri sistemi. 

I consigli di Sophos ricalcano in parte quelli di altre società di cybersicurezza. “Il suggerimento per questo particolare attacco”, spiega Jonathan Tanner, senior security researcher di Barracuda, “è di installare le patch appena possibile ed effettuare una scansione per cercare indicatori della vulnerabilità che è stata sfruttata. Il passo successivo consiste in un approccio di reazione più dettagliato all’incidente”,“Per chi avesse scoperto di essere stato vittima di questo attacco, una buona preparazione ad affrontare le compromissioni è indispensabile per far fronte con successo all’intrusione. Chi dispone di una soluzione per l'individuazione delle violazioni e piani di reazione ha già compiuto parte del lavoro di protezione della rete”.

Tag: crittografia, vulnerabilità, ransomware, attacchi, Microsoft Exchange Server, DearCry

CRITTOGRAFIA

  • Google Workspace, crittografia lato client anche su Gmail e Calendar
  • Gmail e Drive con crittografia end-to-end, ma solo su Workspace
  • Protezione dati, perché scegliere drive Usb con crittografia hardware
  • Nuove integrazioni con Coehsity per migliorare la protezione dei dati
  • Scarso controllo e crittografia incompleta aumentano il rischio

NEWS

  • Videosorveglianza con AI per le Olimpiadi di Parigi del 2024
  • Altair unifica analisi dei dati e Ai nella piattaforma RapidMiner
  • Trasformazione digitale, in Europa buone attese ma progetti lenti
  • Nuove Gpu e alleanze nel cloud per spingere l’AI di Nvidia
  • Data center Aruba, l’impegno per la sostenibilità è certificato
Seguici:
IctBroadcast

Tweets by ictBusinessIT

Top news
  • Più lette
  • Ultime pubblicate
La sicurezza rafforzata dall’AI ispira gli sviluppi di Dynatrace
Sap conferma l’impegno sul canale, vi transita il 90% dei progetti
La febbre dell’intelligenza artificiale fa ripartire i ricavi di Nvidia
Trasformazione digitale in azienda, scontento un dipendente su tre
AI, Microsoft corregge le novità di Bing e porta il chatbot su Skype
Nel cloud di Infobip i dati possono restare in Europa
Sd-Wan e 5G tengono banco negli sviluppi di VMware
Automazione intelligente per le telco grazie a Juniper e Ibm
Transizione energetica, il gap tra buone intenzioni e fatti
Reti a supporto della blockchain e dei contenuti, Gtt scelta da Eluvio
Microsoft, novità di Azure per gli operatori di telecomunicazione
Accesso esteso all tecnologie di cloud ibrido Red Hat per i partner
Una nuova intranet fa “viaggiare” Autostrade per l’Italia
PA, utilities e servizi finanziari volano per Oracle in Italia
Trend Micro sceglie Salvatore Marcis per la guida del canale
Gli errori di configurazione del cloud sono quasi ubiqui
Microsoft lancia in Dynamics un “copilota” di intelligenza artificiale
Con Avm Fritz!Box 5690 Pro fibra ottica e DSL in un solo dispositivo
Peter Herweck Ceo di Schneider Electric, Caspar Herzberg guida Aveva
Amazon accelera sull'intelligenza artificiale per sfidare ChatGPT
Videosorveglianza con AI per le Olimpiadi di Parigi del 2024
Altair unifica analisi dei dati e Ai nella piattaforma RapidMiner
Trasformazione digitale, in Europa buone attese ma progetti lenti
Nuove Gpu e alleanze nel cloud per spingere l’AI di Nvidia
Data center Aruba, l’impegno per la sostenibilità è certificato
Google Cloud raddoppia in Italia con la “regione” di Torino
Acquisizione Broadcom-Vmware, semaforo giallo in Regno Unito
Made in Italy e low code, il Bpm di Cualeva
ChatGPT potenziale rischio, il cybercrimine può sfruttarlo
Phishing, attenzione alle nuove tattiche che superano i controlli
Chi siamo
Contatti
Privacy
Informativa Cookie
News
Focus
Eccellenze.it
Strategie di canale
The Innovation Group
Technopolis
indigo logo tig logo
© 2023 The Innovation Group, via Palermo 5, 20121 Milano | P.IVA 06750900968