Visualizzazione post con etichetta malware. Mostra tutti i post
Visualizzazione post con etichetta malware. Mostra tutti i post

venerdì 19 maggio 2017

🏴‍☠️Ransomware - WannaCry - come proteggersi e recuperare i dati.

❓Cos'è un RANSOMWARE?

Un Ransomware è un codice software dannoso o malware che infetta i dispositivi elettronici (Computer, Tablet e Smartphone) utilizzando le stesse tecniche di diffusione dei virus biologici. 
Il suo scopo è quello di limitare l'accesso, o persino impedire l'uso del dispositivo solitamente crittografando tutti i documenti le foto e i files contenuti. Successivamente il ransomware mostra all'utente una richiesta di riscatto promettendogli di dare nuovamente accesso ai suoi dati, e costringendolo a pagare una somma di denaro attraverso strumenti di pagamento online o crittovalute virtuali (come i Bitcoin) non tracciabili e vincolando il pagamento entro pochissime ore dall'infezione.

Le modalità di diffusione sono principalmente le seguenti:
  • Visitare siti Web fasulli, insicuri o sospetti.
  • Aprire messaggi di posta elettronica e allegati provenienti da persone sconosciute.
  • Cliccare su link dannosi o non validi contenuti nei messaggi di posta elettronica, o nei post dei social network come Facebook, Twitter, ecc. o nelle chat di messaggistica immediata, come Skype, WhatsApp, Messenger, ecc.
Spesso puoi riconoscere un messaggio di posta elettronica o una pagina Web fasulli perché contengono errori di battitura o hanno un aspetto insolito. Ad esempio hanno strane ortografie di nomi di società (ad esempio "PeyPal" anziché "PayPal") oppure spazi, simboli e segni di punteggiatura insoliti (come "Servizio clientiiTunes" anziché "Servizi clienti iTunes").

👮Come proteggere il PC?

  • Mantieni sempre aggiornato il tuo dispositivo con le versioni più recenti del tuo Sistema Operativo (Windows, Linux, Mac OS).
  • Su Windows 10, ad esempio, puoi attivare Windows Defender Antivirus per garantire la protezione da virus e malware, oppure installare un Antivirus di terze parti (gratuito o a pagamento).
  • Su Windows attiva Cronologia file se non è già stata attivata dal produttore del Computer.
  • Esegui regolarmente il backup dei contenuti del Computer su dispositivi esterni e possibilmente tienili scollegati dal Computer.
  • Sfrutta lo spazio di archiviazione per mantenere due copie dei dati del PC. 

☣️Cos'è WannaCry ?

E' un tipo di Ransomware che, a partire dal 12 maggio 2017, sta attaccando tutto il mondo, e si stima che finora abbia infettato 200.000 sistemi in 150 nazioni. Purtroppo continuano ad emergere notizie di un nuovo tipo di attacco malware che EUROPOL ha definito  “di un livello senza precedenti" e a cui ha dedicato una pagina web apposita.
Questo malware è conosciuto anche con altri nomi: WannaCrypt, WanaCrypt0r, WRrypt, WCRY, Wana Decrypt0r 2.0 ed è un ransomware che si diffonde sfruttando gli exploit denominati EternalBlue e DoublePulsar.
WannaCry cifra i files del computer e mostra una schermata con la frase "Ooops your files have been encrypted!" chiedendo il riscatto in Bitcoin.

“Ooops your files have been encrypted!”

WannaCry sfrutta una nota vulnerabilità presente su tutti i sistemi Windows nel protocollo SMBv1 (Microsoft Server Message Block 1.0 server) che è utilizzato per la condivisione dei file in una rete.
Nella fase dell’infezione il Worm fa una scansione della rete sulla porta TCP 445 (SMB) alla ricerca di sistemi Windows vulnerabili e se ne trova li infetta con la backdoor DoublePulsar per ottenere l’accesso al computer, dopodiché il malware fa una copia di se stesso e la esegue.

 Ecco una pagina riassuntiva:
WannaCry|WannaDecrypt0r NSA-Cyberweapon-Powered Ransomware Worm 

Sono vulnerabili tutti i sistemi che non sono ancora stati aggiornati con la patch di sicurezza MS17-010 (o successive), rilasciata a partire dal 14 Marzo 2017 in avanti. Sono particolarmente esposte soprattutto quelle piattaforme che non ricevono più un supporto automatico degli aggiornamenti di sicurezza, tra cui ad esempio Windows XP, Windows 8, e Windows Server 2003. In questi ultimi tre casi devi scaricare la patch specifica per il Sistema Operativo e aggiornare manualmente il computer.

⚔️Prevenire l'infezione aggiornando il PC

Ecco un link alle istruzioni ufficiali su come difendersi da Wannacry fornite dalla Polizia di Stato italiana.

 Di seguito un riepilogo delle patch da verificare o installare in base al sistema Windows del PC:

Con Windows 7 e Windows Server 2008 R2
Il sistema è protetto se è già installata almeno una delle  seguenti patch:
KB4019264, aggiornamento cumulativo di maggio, 2017-05
KB4015552, anteprima aggiornamento cumulativo di aprile 2017
KB4015549, aggiornamento cumulativo di aprile 2017
KB4012215, aggiornamento cumulativo di marzo 2017
KB4012212, aggiornamento cumulativo di marzo 2017 (solo patch di sicurezza)

Altrimenti installa immediatamente almeno il pacchetto KB4012212, nelle versioni a 32 e 64 bit .

Con Windows 8.1 e Windows Server 2012 R2
Il sistema è protetto se è già installata almeno una delle seguenti patch:
KB4019215, aggiornamento cumulativo di maggio, 2017-05
KB4015553, anteprima aggiornamento cumulativo di aprile 2017
KB4015550, aggiornamento cumulativo di aprile 2017
KB4012216, aggiornamento cumulativo di marzo 2017
KB4012213, aggiornamento cumulativo di marzo 2017 (solo patch di sicurezza)

Altrimenti installa immediatamente almeno il pacchetto KB4012213, nelle versioni a 32 e 64 bit.

Con Windows Vista
Il sistema è protetto se è già installata la patch KB4012598, altrimenti provvedi ad installare la versione per Vista scaricandola da qui. 

Con Windows 10
Premi la combinazione di tasti Windows+R poi scrivi il comando winver e premi Invio.
Se la versione di Windows è la 1703 (Creators Update), il sistema è già sicuro.

Se compare "Versione 1607" (Anniversary Update), il sistema è sicuro la Build è successiva alla versione 14393.953.
Se la Build è precedente oppure è una vecchia "Versione 1511" o "Versione 1507", devi aggiornare il sistema all'ultima versione di Windows 10.

Con Windows XP, Windows Server 2003 e Windows 8
I sistemi Windows XP, Windows Server 2003 e Windows 8 non sono più supportati da parte di Microsoft. Tuttavia, considerata la gravità del problema di sicurezza che ha portato alla rapida diffusione del ransomware WannaCry, Microsoft ha eccezionalmente rilasciato la patch di sicurezza MS17-010 (scaricabile da qui) anche per questi sistemi Windows ormai abbandonati.


😡Sono stato infettato ora che faccio?

Purtroppo al momento la decrittazione di file crittografati da WannaCry non è attualmente possibile in modo certo e in tutte le situazioni.
Puoi recuperare i files solo ripristinandoli in questo modo:
  • Ripristinando i file dalle copie di backup
  • In alcuni casi i file possono essere recuperati senza backup:
    • Da copie shadow (se è stato in precedenza abilitato)
    • Utilizzando uno strumento di recupero dei file cancellati (Undelete).
Non pagare il riscatto in quanto il pagamento non garantisce sempre la risoluzione del problema. Inoltre così facendo supporti l'attività dei criminali informatici e il finanziamento delle loro attività illegali.

🔬Tentare la decifrazione dei files

Su sistemi Windows XP infettati, che non sono ancora stati riavviati, è possibile tentare di decifrare i files cifrati (encrypted) da WannaCry utilizzando il software di decifrazione WannaKey, creato dal ricercatore di sicurezza Adrian Guinet di  Quarkslab. In sostanza il software cerca di recuperare la chiave di decifrazione dal pc infetto prima che essa venga cancellata riavviando il computer. Tuttavia questo software di decifrazione NON funziona su sistemi più recenti (Windows 10). Ecco un Link con i passi da attuare per procedere alla decrittazione.

Sulla base del lavoro precedente è stato creato un altro strumento, appartenente alla categoria dei ransomware decrypter, ovvero WanaKiwi e sembra funzionare, oltre che su Sistemi Windows XP, anche su Windows 7, Windows 2003 server, Windows Vista, Windows 2008 e 2008 R2 server. 
Anche questo software di decifrazione riesce a individuare gli indirizzi di memoria dove vengono temporaneamente salvate le chiavi crittografiche usate per cifrare i dati dell'utente. Poiché esse vengono cancellate con lo spegnimento del PC è molto importante non riavviare il sistema per evitare di perdere per sempre questi dati e utilizzare immediatamente WanaKiwi. Purtroppo questo approccio non funziona con Windows 10 e Windows 8.1.
Ecco un Link con i passi da attuare per procedere alla decrittazione.

 Infine ecco un'analisi di fattibilità della decifrazione dei file cifrati con WannaCry

😷Come rimuovere l'infezione?

Ecco il link ad una pagina di Bleepingcomputer che illustra quali strumenti utilizzare per rimuovere il ransomware WannaCry: "How to remove the WannaCry & Wana Decryptor Ransomware".

📚Guide, Manuali e Libri

Esistono numerosi libri in italiano e in inglese sull'argomento Virus, Ransomware e Wannacry, ma se hai sottoscritto Amazon Kindle Unlimited puoi leggere gratuitamente:
 
Pubblicato da
Etichette: , , , , , , , , , ,

giovedì 4 aprile 2013

E-virus (parte IV): Prevenire infezioni da Virus e malware. 🆘 Ecco come difendersi!

DEFINIZIONI DI "MINACCE INFORMATICHE" (MALWARE)
Qual è la differenza tra un virus e un worm?
In informatica un virus è un piccolo software che si propaga da un file all'altro, sul tuo sistema o se ne ha la possibilità anche da computer a computer. Solitamente è programmato per eliminare o danneggiare dati. Un virus può essere presente all’interno di un personal computer (PC) sotto forma di molteplici copie di codice malevolo fuse insieme a files pre-esistenti e legittimi.
Un worm è una sottospecie di virus che si replica ma non infetta altri files. Si installa su un PC e tenta di diffondersi su altri PC. Quindi un worm è presente all’interno di un PC sotto forma di un unico file distinto.
Che cos'è un TROJAN (HORSE) e da dove deriva questo termine?
Il termine "Trojan" si riferisce al cavallo di legno usato dagli antichi greci per entrare di nascosto nella città di Troia ed espugnarla. Un  "Trojan" è un programma che, spacciandosi per software utile, contiene all’interno istruzioni che eseguono azioni dannose. Un Trojan, contrariamente a virus e worm, non si replica in modo autonomo.
I più comuni Trojan sono:
a) Trojan-Backdoor che permettono ad altri utenti di accedere in modo fraudolento al tuo PC e spesso includono un keylogger (ovvero un software che intercetta tutti i tasti digitati dal tuo computer , comprese le password)
b) Trojan-Spy, i Trojan che si occupano principalmente di rubare password,
c) Trojan-Proxy che convertono il vostro computer in una macchina distributrice di spam.

Puoi consultare un buon Thesaurus sulle minacce (Threats) di tipo informatico, sul sito web di Sophos: Threatsaurus; inoltre puoi scaricare la guida "Threatsaurus.PDF"

Un virus può danneggiare il computer?
Per danneggiare l'hardware attraverso il software sono possibili solo due strade:

 1) l'hardware è stato progettato per autodistruggersi quando riceve specifici comandi software. Ad esempio in ambito militare, il DARPA americano ha in cantiere il progetto VANISHING PROGRAMMABLE RESOURCES (VAPR) che prevede l'utilizzo di attrezzature dotate di congegni che ne permettono la distruzione da remoto. In ambito più consumer, SecureDrive, commercializza Dischi allo Stato Solido (Solid State Disk - SSD) che possono autodistruggersi quando ricevono uno specifico messaggio SMS. In linea teorica se il codice del Virus riuscisse a inviare il comando di autodistruzione potrebbe chiaramente arrecare un danno permanente. Tuttavia, al di fuori di un utilizzo militare (o professionale con altissimi standard di sicurezza), è difficile che un computer o parti elettroniche di esso possiedano nativamente la caratteristica di auto-distruzione, per cui è impensabile che un virus possa danneggiare fisicamente il computer con comandi diretti.

 2) L'hardware si guasta irreparabilmente quando si verificano particolari condizioni fisiche (surriscaldamento, usura da sovra-utilizzo). Se il codice del virus riesce a far surriscaldare il microprocessore o la GPU della scheda grafica (ad esempio disattivando la ventola di raffreddamento) può in teoria danneggiare queste componenti hardware. Tuttavia i computer sono progettati per l'auto-spegnimento qualora si superino determinate temperature di allarme. Anche l'utilizzo spropositato del disco fisso può alla lunga usurarlo irreparabilmente, ma anche in questo caso l'utente solitamente si accorge del problema prima che si arrivi al danno permanente in quanto il computer diventa lentissimo e pressoché inutilizzabile.
Ne risulta che nessun tipo di virus può seriamente danneggiare le parti elettroniche del computer; al limite può cancellare il contenuto delle memorie di massa del computer richiedendo il ripristino del Sistema Operativo e dei dati contenuti nei dischi.


PREVENZIONE DA MALWARE (per Security Administrator o semplici Utenti avveduti).


Quali sono le fonti di infezione da malware?

Ormai sono numerosissime le fonti da cui può provenire MALWARE (MALicious softWARE) e CRIMEWARE. La semplice navigazione su internet può essere causa di infezione di virus, trojan e spyware, infatti alcuni siti Web contengono delle pagine costruite ad arte per installare malware nel tuo PC, appena le visiti, senza nemmeno che tu te ne accorga.

Le fonti di infezione da malware principali sono:

  • navigazione in Internet,
  • ricezione di e-mail e relativi allegati,
  • utilizzo di software di messaggistica istantanea (chat)
  • utilizzo di software Voice Over IP (VoIP),
  • scaricamento di software tramite canali Peer to Peer (P2P),
  • scambio di memorie di massa: chiavette USB, dischi esterni, CD, DVD o floppy disk (per chi li usa ancora!),
  • apertura di file condivisi in rete locale
  • installazione di software piratato, generatori di codici seriali e software per il cracking
  • utilizzo di hot-spot WI-FI pubblici o gratuiti

Naturalmente questo non significa che sicuramente prenderai un virus se commetti una o più azioni tra quelle indicate in elenco, ma più semplicemente che di solito un virus informatico si diffonde attraverso questi canali e quindi devi proteggerli con opportuni comportamenti.

Quali comportamenti evitano al tuo PC di prendere un virus o esporsi a malware?

Sebbene non esistano certezze in questo campo, è meglio se adotti queste linee guida:


    1) Installa un software antivirus e un antimalware e mantieni quotidianamente aggiornate le sue firme antivirus. Attiva la scansione delle unità removibili così quando inserisci una chiavetta USB viene immediatamente controllata.

    2) Evita di aprire messaggi di posta elettronica provenienti da mittenti sconosciuti, e tanto meno i relativi allegati. Solitamente il virus è l’allegato del messaggio e si diffonde appena lo apri. Anche le email provenienti da persone che conosci potrebbero contenere collegamenti (link) a malware o allegati dannosi quindi verifica prima se il link ti sembra attendibile e piuttosto visita i siti web digitando l'indirizzo direttamente nel browser. Per verificare in modo sicuro la presenza di malware in un collegamento o in un sito web puoi utilizzare i seguenti servizi gratuiti: Scansiona URL di VirusTotal, URLQUERY, Bitdefender TrafficLight.

    3) Utilizza browser che bloccano l’apertura delle finestre popup, ovvero quelle piccole finestre del browser che vengono mostrate sopra al sito Web aperto. In questo modo oltre a ridurre la pubblicità visualizzata eviti il rischio di  aprire finestre che contengono codice non sicuro o malevolo.

    4) Mantieni costantemente aggiornato il Sistema Operativo (S.O.) e le principali applicazioni software che utilizzi. Solitamente gli aggiornamenti risolvono bug o migliorano le prestazioni, ma una parte di essi sono specifici aggiornamenti di sicurezza che possono aiutare a proteggere il PC. Su sistemi operativi Microsoft esiste la funzione Windows Update che può ricevere ed installare automaticamente tutti gli aggiornamenti. Se vuoi essere sempre aggiornato sulle ultime vulnerabilità individuate dai produttori di S.O. puoi consultare i siti Microsoft Security Response Center o Apple Product Security. Oltre al S.O. tieni aggiornati il browser con le relative estensioni o plugin, il Java Runtime Environment (JRE),  il software di posta elettronica e quello che utilizzi per gestire file PDF, DOC, XLS, PPT. Grazie all'aggiornamento regolare del PC, gli aggressori non potranno sfruttare le vulnerabilità del software per introdursi nel tuo sistema.

    5) Utilizza un firewall software o hardware ovvero un sistema che in caso di attività sospette ti notifica se un virus o un worm tenta dall’esterno di connettersi al tuo PC o viceversa se un virus è già presente nel tuo PC e tenta di collegarsi all’esterno per aggiornarsi ed evolvere! Anche un software di rilevamento delle intrusioni (Intrusion Detection System o IDS) può esserti utile per bloccare le minacce informatiche.
    Sui più recenti Sistemi Operativi Microsoft attiva il Controllo dell'account utente. In questo modo se un virus effettua una modifica indesiderata che richiede un'autorizzazione a livello di amministratore, il Controllo dell'account utente ti mostra una notifica e tu puoi impedirne l’approvazione.

    6) Cancella la cache di Internet e la cronologia della navigazione. I principali browser archiviano informazioni sui siti Web che hai visitato e, alcune di queste sono dati sensibili come nome e indirizzo dell'utente. Un virus potrebbe appropiarsi di tali informazioni e renderle pubbliche o utilizzarle per scopi fraudolenti.

    7) Diffida dei siti sconosciuti e se hai dubbi, lascia il sito e cerca altrove il software che ti viene chiesto di installare. Scarica solo da fonti attendibili e da siti importanti o molto conosciuti.

    8) Non condividere o scaricare file mediante P2P: la maggior parte dei siti che utilizza questo sistema è illegale. Spesso il malware è mascherato da film, musica o software popolare. Inoltre molti software P2P (eMule, KaZaA, DC++, etc.) possiedono la funzione “browse host” che, se è involontariamente attiva, permette ad altre persone di connettersi direttamente al tuo PC e visualizzare in remoto l'elenco di tutti i tuoi file messi in condivisione. Quest’ultima evenienza permette di aprire un varco verso: dati di accesso, ID utente, password, documenti di gestione finanziaria personale, lettere, registri delle chat, cookie, e-mail e cartelle mediche accidentalmente salvati nelle cartelle accessibili del tuo PC. I virus nei file P2P potrebbero sottrarre tutte queste informazioni e trasmetterele ai criminali informatici.

    9) Non utilizzare software contraffatto: può contenere spyware che si installa sul tuo PC e comunica all’esterno e a tua insaputa informazioni personali come numeri di carta di credito e di conto bancario, password e indirizzi. Solitamente il software contraffatto, non può ricevere legittimamente gli aggiornamenti di sicurezza, quindi risulterai vulnerabile agli attacchi.

    10) Non utilizzare gli hotspot Wi-Fi gratuiti o pubblici per effettuare operazioni che richiedono l’utilizzo di dati personali. In genere il sistema di invio dei dati attraverso questi hotspot utilizza una crittografia scadente come la WEP (Wired Equivalent Privacy) o assente del tutto, per cui le tue credenziali viaggiano liberamente nell’aria in chiaro e possono essere intercettate per utilizzi fraudolenti.
    Anche la comunicazione attraverso software e hardware VoIP può essere fonte di malware quindi aggiorna costantemente il software e scegli un dispositivo VoIP che utilizzi gli standard correnti di sicurezza wireless, come WPA (Wi-Fi Protected Access), WPA2 e IEEE 802.11i. Attiva le funzionalità di autenticazione e crittografia disponibili con il sistema VoIP. Se possibile usa un firewall progettato appositamente per il traffico VoIP e addirittura una connessione Internet dedicata per la tua linea VoIP.




    Quali Antivirus o Antimalware scegliere?
    Per antivirus si intende un software che sia in grado di verificare la presenza e bloccare in tempo reale un virus presente nel tuo PC.
    Esistono molte software house che producono anti-virus, alcune di esse rilasciano versioni gratuite in genere con funzioni limitate e per uso personale / casalingo.
    Per orientarsi sulla scelta del prodotto antivirus migliore puoi controllare come si è comportato nei test comparativi realizzati da queste organizzazioni:


          


      ESPERIENZA PERSONALE:
      In relazione al punto 2 aggiungo di aver potuto vedere molti testi di email contenenti collegamenti a malware. Ecco di seguito un elenco di messaggi "tipici" solitamente presenti nin questo tipo di email:



      "Il tuo profilo e aggiornato, e possibile visualizzare i dettagli su
      http://xx.xx.xx.xx/InfoService.zip"

      "Questo messaggio e stato inviato da un sistema automatico. La tua richiesta viene elaborata sul forum. Scarica una descrizione dettagliata all'indirizzo:
      http://xx.xx.xx.xx/InfoService.zip"

      "Abbiamo trovato una discrepanza tra l'imposta e il reale profitto. Si prega di controllare i dettagli in
      http://xx.xx.xx.xx/Documento.zip"

      "Documentazione per l'orientamento resa informazioni
      http://xx.xx.xx.xx/Service.zip"

      "Hai chiesto sul profilo sul nostro forum 20.01.3014. Scarica la risposta a:
      http://xx.xx.xx.xx/Pay.zip"

      "Vi informiamo che a partire dall'inizio del mese prossimo, entreranno in vigore nuove regole. I dettagli possono essere scaricati
      http://xx.xx.xx.xx/Pay.zip"

      "Gentile cliente. La tua richiesta ti inviera un nuovo accordo.
      http://xx.xx.xx.xx/Pay.zip"

      "Interessi al tasso del mese prossimo sara cambiato. Le informazioni contenute nel seguente documento
      http://xx.xx.xx.xx/Service.zip"

      "Il tuo profilo e aggiornato, e possibile visualizzare i dettagli su
      http://xx.xx.xx.xx/Documento.zip"

      ©RIPRODUZIONE RISERVATA
      Pubblicato da
      Etichette: , , , , , , , , , ,
      Iscriviti a: Post (Atom)