Articolo Pubblicazioni

WannaCry e NotPetya (2017): EternalBlue, ransomware e attacchi distruttivi

di · Pubblicato il 27 dicembre 2017

Abstract

Nel 2017 due attacchi hanno mostrato su scala mondiale che cosa succede quando un malware capace di propagarsi da solo incontra reti piatte e sistemi non aggiornati. WannaCry, a maggio, ha cifrato i dati di centinaia di migliaia di computer in oltre 150 paesi. NotPetya, a giugno, si è presentato come ransomware ma ha distrutto i dati di grandi aziende internazionali. L’articolo ricostruisce i due casi e le lezioni pratiche per chi gestisce sistemi e risposta agli incidenti.

Vincenzo Calabrò | WannaCry e NotPetya (2017): EternalBlue, ransomware e attacchi distruttivi
 

EternalBlue

La storia inizia con una vulnerabilità del protocollo SMB versione 1 di Windows, usato per la condivisione di file in rete. Il 14 marzo 2017 Microsoft ha pubblicato il bollettino MS17-010, che la correggeva insieme ad altre. Il 14 aprile un gruppo chiamato Shadow Brokers ha diffuso una raccolta di strumenti di attacco attribuiti a un’agenzia di intelligence statunitense, tra cui un exploit per quella vulnerabilità chiamato EternalBlue. Da quel momento chiunque disponeva di un modo affidabile per eseguire codice su sistemi Windows non aggiornati raggiungibili sulla porta 445.

WannaCry

Il 12 maggio 2017 un ransomware chiamato WannaCry ha iniziato a diffondersi a grande velocità. Dopo aver cifrato i file di un computer chiedeva un riscatto in bitcoin, ma la sua caratteristica principale era la propagazione automatica. Usava EternalBlue per infettare altri computer nella rete locale e su Internet, senza alcuna azione degli utenti. In pochi giorni sono stati colpiti centinaia di migliaia di sistemi in oltre 150 paesi. Tra le vittime più note il servizio sanitario britannico, con ospedali costretti a rinviare interventi e deviare ambulanze, ferrovie, operatori di telecomunicazioni e case automobilistiche.
La diffusione si è fermata in gran parte la sera stessa, quando un ricercatore britannico ha registrato un nome di dominio presente nel codice. Il malware controllava quel dominio prima di agire e, trovandolo attivo, si fermava. Microsoft ha pubblicato in via eccezionale aggiornamenti anche per Windows XP e Windows Server 2003, non più supportati. A dicembre il governo statunitense ha attribuito pubblicamente l’attacco alla Corea del Nord.

NotPetya

Il 27 giugno 2017 un secondo malware ha colpito con violenza l’Ucraina e, da lì, aziende di tutto il mondo. Il vettore iniziale era l’aggiornamento di M.E.Doc, un software di contabilità e dichiarazioni fiscali molto diffuso in Ucraina, i cui server di aggiornamento erano stati compromessi. Le aziende internazionali con filiali ucraine che usavano quel programma sono state infettate attraverso la rete interna.
NotPetya combinava diverse tecniche di propagazione:
  • EternalBlue ed EternalRomance per i sistemi non aggiornati;
  • furto delle credenziali dalla memoria dei computer infetti, con uno strumento simile a Mimikatz;
  • uso delle credenziali rubate con strumenti amministrativi legittimi come PsExec e WMI, che funzionano anche su sistemi aggiornati.
Il terzo punto spiega perché NotPetya abbia colpito anche reti in cui MS17-010 era installato. Bastava un computer non aggiornato o un amministratore collegato a un sistema infetto per aprire la strada al resto della rete. Il malware cifrava la tabella dei file del disco e mostrava una richiesta di riscatto, ma il meccanismo non permetteva di recuperare i dati nemmeno pagando. Per questo la maggior parte degli analisti lo considera un attacco distruttivo travestito da ransomware.
Tra le vittime ci sono state la compagnia di navigazione Maersk, il gruppo farmaceutico Merck, la filiale di corriere espresso TNT, il gruppo alimentare Mondelez e numerose aziende ucraine, comprese banche, aeroporti e la centrale di Chernobyl, il cui monitoraggio delle radiazioni è passato in modalità manuale. Alcune aziende hanno comunicato danni per centinaia di milioni di dollari.

Le lezioni

I due casi hanno cause diverse ma lezioni comuni:
  1. gli aggiornamenti critici vanno installati entro pochi giorni, e i sistemi che non possono essere aggiornati vanno isolati;
  2. i protocolli obsoleti come SMBv1 vanno disattivati e la porta 445 non deve essere raggiungibile da Internet;
  3. le reti piatte permettono a un malware di raggiungere tutto, mentre la segmentazione ne limita l’espansione;
  4. le credenziali amministrative non devono essere usate su postazioni comuni, e le password degli amministratori locali devono essere diverse su ogni macchina;
  5. i backup devono essere separati dalla rete e verificati con prove di ripristino;
  6. anche il software fidato dei fornitori può diventare un vettore di attacco, e gli aggiornamenti vanno trattati come un rischio da gestire.

Il caso italiano

In Italia WannaCry ha avuto un impatto limitato rispetto ad altri paesi. Sono stati segnalati casi isolati in alcune università, aziende e strutture pubbliche, senza interruzioni di servizi sanitari paragonabili a quelle britanniche. Il CERT nazionale e il CERT-PA hanno diffuso indicazioni per l’aggiornamento e il blocco della porta 445. NotPetya ha colpito soprattutto filiali di gruppi internazionali con attività in Ucraina. Il rischio resta però elevato. Le scansioni pubbliche degli stessi mesi mostravano anche in Italia sistemi con SMB esposto su Internet, e molte organizzazioni, soprattutto nella pubblica amministrazione e nella sanità, usano ancora postazioni con sistemi operativi non più supportati.

Per la risposta agli incidenti

I due attacchi hanno messo alla prova i piani di risposta. Le aziende che avevano previsto la perdita contemporanea di gran parte dei sistemi, con procedure manuali, contatti alternativi e priorità di ripristino già definite, hanno ripreso l’attività più rapidamente. Molte altre hanno scoperto di dipendere da sistemi di posta, telefonia e directory che erano stati distrutti insieme al resto. La disponibilità di copie offline dei controller di dominio e delle configurazioni di rete si è rivelata decisiva. Anche la raccolta delle prove è stata difficile, perché i dischi cifrati o distrutti lasciavano poche tracce, e le informazioni più utili sono venute dai log centralizzati e dai sistemi rimasti intatti.
 
Vedi anche: l’articolo del 2014 Incident response: le fasi, l’articolo del 2022 Prevenire e contrastare i ransomware e l’articolo del 2026 Le prime 24 ore di un attacco ransomware.
 
Vincenzo Calabrò | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Funzionario informatico del Ministero dell'Interno; su incarico autorizzato si occupa di sicurezza informatica e di perizie informatiche forensi. Autore di articoli e saggi. Lecturer, Speaker, Trainer.
Profili: Google Scholar · ORCID · ResearchGate · Academia.edu · CyberSecurity360 · AgendaDigitale · ICT Security Magazine · LinkedIn