Kaspersky Lab: commento all’attacco WannaCry
In relazione al massiccio attacco ransomware, scatenato venerdì 12 maggio, che ha colpito organizzazioni di tutto il mondo, i ricercatori di Kaspersky Lab hanno analizzato i dati e possono confermare che “i sottosistemi di protezione dell'azienda hanno rilevato almeno 45.000 tentativi di infezione in 74 Paesi, la maggior parte in Russia”.
“Il ransomware – sottolineano – infetta le vittime sfruttando una vulnerabilità di Microsoft Windows descritta e risolta nel Microsoft Security Bulletin MS17-010. L’exploit utilizzato, “Eternal Blue“, è stato rivelato nel deposito Shadowbrokers il 14 aprile.
Una volta all'interno del sistema, i criminali installano un rootkit, che consente loro di scaricare il software per crittografare i dati. Il malware crittografa i file. Una richiesta di 600 dollari in Bitcoin viene visualizzata insieme al portafoglio – e la domanda di riscatto aumenta nel tempo.
Gli esperti di Kaspersky Lab stanno cercando di determinare se è possibile decrittografare i dati bloccati nell'attacco allo scopo di sviluppare quanto prima uno strumento di decriptaggio.
Le soluzioni di protezione di Kaspersky Lab rilevano i malware utilizzati in questo attacco dai seguenti nomi di rilevamento:
– Trojan-Ransom.Win32.Scatter.uf
– Trojan-Ransom.Win32.Scatter.tr
– Trojan-Ransom.Win32.Fury.fr
– Trojan-Ransom.Win32.Gen.djd
– Trojan-Ransom.Win32.Wanna.b
– Trojan-Ransom.Win32.Wanna.c
– Trojan-Ransom.Win32.Wanna.d
– Trojan-Ransom.Win32.Wanna.f
– Trojan-Ransom.Win32.Zapchast.i
– Trojan.Win64.EquationDrug.gen
– Trojan.Win32.Generic (il componente System Watcher deve essere abilitato)
Raccomandiamo, quindi, di prendere le seguenti misure per ridurre il rischio di infezione:
– Installare la patch ufficiale di Microsoft che chiude la vulnerabilità usata per l’attacco
– Assicurarsi che le soluzioni di protezione siano attivate su tutti i nodi della rete
– Se si utilizza la soluzione Kaspersky Lab, accertarsi che includa il System Watcher, un componente di rilevamento proattivo del comportamento e che sia acceso
– Eseguire il più presto possibile la Scansione Area Critica nella soluzione di Kaspersky Lab per rilevare le possibili infezioni (altrimenti verrà rilevato automaticamente, se non spento, entro 24 ore).
– Riavviare il Sistema se si rileva MEM: Trojan.Win64.EquationDrug.gen
– Utlizzare i servizi Customer-Specific Threat Intelligence Reporting” – concludono da Kaspersky.
la Redazione
