Nuovo attacco informatico anche per alcune aziende svizzere

Nelle scorse settimane le imprese svizzere sono state bersaglio di un nuovo tipo d’attacco, con cui aggressori sconosciuti hanno infiltrato con successo reti aziendali e cifrato ampiamente i loro dati per mezzo di ransomware.

Aggiornamento ransomware: nuova procedura

La Centrale d’annuncio e d’analisi per la sicurezza dell’informazione della Confederazione (MELANI) ha diramato una nota stampa nella quale impone prudenza: il ransomware, un tipo di malware che si infiltra nelle reti aziendali e cifra i dati contenuti infettando il sistema con un virus informatico.

Di cosa si tratta?

Un ransomware è un tipo di virus informatico o malware che limita l’accesso del dispositivo che infetta, richiedendo un riscatto (ransom in inglese) da pagare per rimuovere la limitazione.

Dall’inizio di luglio sono stati annunciati più volte attacchi informatici, per i quali gli aggressori hanno utilizzato una nuova procedura. Alcune imprese svizzere sono state attaccate in modo mirato tramite e-mail nocive (secondo il fenomeno conosciuto come “spear phishing”).

Al momento sono stati resi noti i seguenti scenari d’attacco:

• Gli aggressori inviano e-mail nocive in modo mirato alle aziende al fine di infettarle con dei ransomware. In genere le e-mail contengono un link che riporta a una pagina infetta o a un allegato nocivo.
• Su specifici forum internet è possibile acquistare l’accesso a computer compromessi di ditte svizzere. Questi dispositivi sono generalmente infetti con i malware “Emotet”, “TrickBot” o, in singoli casi, con “Qbot”. Organizzazioni criminali “acquistano” i computer infetti, per infiltrare la rete della vittima.
• Gli aggressori scannerizzano internet alla ricerca di server VPN e Terminal server aperti e provano ad ottenere l’accesso tramite attacchi brute force.

In tutte le varianti proposte i criminali utilizzano ulteriori strumenti d’attacco, a esempio “Cobalt Strike” o “Metasploit”, per ottenere i necessari diritti d’accesso dell’azienda. Se hanno successo collocano sui sistemi prescelti un ransomware (ad esempio “Ryuk”, “LockerGoga”, “MegaCortex”, ecc.) che cifra tutti i dati.

 MELANI consiglia di

• Effettuare regolarmente una copia di sicurezza (backup) dei dati, ad esempio, sul disco rigido esterno. Utilizzare a questo scopo un programma che permetta di effettuare il backup regolarmente (schema nonno-padre-figlio [giornaliero, settimanale, mensile] / minimo due gerarchie). Gli aggressori possono eliminare o cifrare tutti i backup ai quali riescono ad accedere, pertanto è importante che la copia di sicurezza sia salvata offline, ovvero su un supporto esterno (ad esempio su un disco rigido esterno);
• Assicurarsi che i provider che offrono soluzioni cloud generino al meno due gerarchie, analogamente ai salvataggi di dati classici. L’accesso ai backup su cloud deve essere protetto dai ransomware, ad esempio tramite l’utilizzo di un secondo fattore di autenticazione per operazioni sensibili.
• Sia il sistema operativo sia tutte le applicazioni installate sul computer e sul server (ad es. Adobe Reader, Adobe Flash, Java, ecc.) devono essere costantemente aggiornati. Se disponibile, è meglio utilizzare la funzione di aggiornamento automatico;
• Controllare la qualità dei backup e esercitatene l’istallazione in modo che, nel caso di necessità, non venga perso tempo prezioso.
• Proteggere tutte le risorse accessibili da internet (ad es. terminal server, RAS, accessi VPN, ecc.) con l’autenticazione a due fattori (2FA). Mettete un Terminal server dietro un portale VPN.
• Bloccare la ricezione di allegati e-mail pericolosi nel Gateway della vostra mail. Informazioni più dettagliate possono essere trovate alla pagina seguente
• Controllare che i file log della vostra soluzione antivirus non presentino irregolarità.

MELANI sconsiglia il pagamento di un riscatto in quanto ciò rafforza le infrastrutture criminali, permettendo agli aggressori di ricattare altre vittime. Inoltre non c’è nessuna garanzia di ricevere la chiave per decifrare i dati.

Altre informazioni

Seguendo questi collegamenti trovate ulteriori informazioni sui ransomware e sugli attacchi recenti:

• GovCERT Blog attuale: Ransomware (in inglese)
• Ulteriori informazioni su ransomware
• Promemoria sulla sicurezza delle informazioni per le PMI
• Giornata nazionale di sensibilizzazione contro i ransomware
• Il trojan Emotet attacca le reti aziendali