Mitigare gli effetti di WannaCry (WCry, WannaCriptOr)

La campagna ransomware WannaCry, che sta affliggendo oltre 100 paesi in tutto il mondo, sta provocando danni molto elevati, sia sotto il profilo strettamente economico, che in termini di informazioni che non sarà più possibile recuperare.

In questo documento sono riportate una serie di azioni che possono essere assunte per mitigare l’impatto della campagna, soprattutto cercando di evitare l’estensione della compromissione a sistemi che non sono già compromessi. È abbastanza evidente che laddove i dati siano stati già cifrati l’unica strategia possibile è il ripristino da una copia di backup non toccata dal malware. Nell’ultima sezione sono contenute alcune considerazioni su quanto fare per il ripristino in questi casi.

Protezione dalla compromissione
L’unica vera protezione dalla compromissione è l’eliminazione della vulnerabilità attraverso l’istallazione della patch sviluppata e pubblicata da Microsoft con il Microsoft Security Bulletin MS17-010-Critical:

• https://technet.microsoft.com/en-us/library/security/ms17-010.aspx

Nel Blog della società sono reperibili ulteriori informazioni utili:

• https://blogs.technet.microsoft.com/msrc/2017/05/12/customer-guidance-for-wannacrypt-attacks/

Protezione contro l’azione del malware si può ottenere attraverso l’antivirus, che deve essere aggiornato ad una versione successiva rispetto a quella pubblicata da ciascun produttore dopo il 12 maggio.

È fondamentale tenere presente che se l’antivirus ha il vantaggio di poter “ripulire” una macchina compromessa, cosa che la sola istallazione della patch non può fare, d’altra parte la vulnerabilità non eliminata potrebbe essere sfruttata da una nuova versione del malware che sfugge al controllo dell’antivirus. Perciò è tassativa l’istallazione della patch.

Ulteriori misure atte a ridurre la probabilità di compromissione, e quindi l’estensione di questa, sono:

1. Blocco del protocollo SMB sulla frontiera;
2. Disattivazione del protocollo SMB ove non specificamente richiesto;
3. Blocco sulla frontiera del traffico diretto verso indirizzi ed URL indicati nelle raccolte disponibili sui siti specializzati, quali, ad esempio AlienVault e US-CERT

Riavvio delle macchine spente
Le macchine che erano spente al momento della diffusione, per altro molto rapida, del malware e non sono state accese sono sicuramente indenni; vale perciò la pena di usare qualche accorgimento per evitare che la compromissione presente in altri sistemi possa estendersi anche ad esse.

Contemporaneamente l’accensione di una macchina compromessa può provocare la compromissione di tutti i sistemi presenti sulla stessa rete. Ne segue che è opportuno procedere all’accensione dei sistemi con particolare cautela.

La procedura che segue consente di ridurre sensibilmente i rischi legati alla riaccensione di un sistema spento senza richiedere particolari conoscenze tecniche, per cui può essere eseguita, almeno nel caso di reti wired, anche da utenti non particolarmente esperti:

1. Prima di accendere la macchina scollegarla dalla rete locale, disconnettendo il cavo di rete (nel caso di connessioni Wi-Fi occorre disabilitarne l’interfaccia prima che avvenga il caricamento del sistema operativo, tale operazione può non essere alla portata dell’utente).
2. Accendere la macchina scollegata e verificare che l’avvio (bootstrap) avvenga regolarmente. Se si verificano eventi anomali, quali ad esempio ritardi molto prolungati, comparsa di messaggi insoliti, etc., non procedere oltre nel riavvio e chiedere il supporto esperto.
3. Se l’avvio è avvenuto regolarmente, aprire una sessione ed effettuare sull’hard disk della macchina una ricerca per file il cui nome abbia l’estensione .wncry. La ricerca deve terminare senza individuare alcun file, se invece ne viene individuato qualcuno non procedere oltre nel riavvio e chiedere il supporto esperto.
4. Se è stato superato il passo precedente, prima di collegare il sistema alla rete chiudere tutte le applicazioni, in particolare quelle di posta elettronica, che dovessero essere state avviate automaticamente all’apertura della sessione.
5. Ricollegare il sistema alla rete locale e forzare l’aggiornamento dell’antivirus. Attendere che tale operazione sia completata prima di aprire qualsiasi applicazione, in particolare non accedere in nessun modo a sistemi di posta elettronica. Dopo il suo termine il sistema può essere utilizzato normalmente.

Particolare attenzione deve essere posta nella gestione dei messaggi di posta elettronica, che potrebbero essere utilizzati come vettore primario di infezione laddove sulla frontiera fosse bloccato il protocollo SMB, come consigliato al punto (1) dell’elenco contenuto nella sezione precedente. In generale debbono essere scrupolosamente osservate le seguenti regole:

• Non aprire mail inattese o comunque di provenienza incerta, evitando nel modo più assoluto di aprire allegati di cui non si conosce la natura e l’origine.
• Non cliccare per nessuna ragione su link contenuti all’interno di mail di cui non sia assolutamente certa la provenienza, verificando direttamente con il mittente (e.g. telefonicamente) l’effettivo invio da parte sua del messaggio.

La sicurezza non è mai assoluta
Le indicazioni contenute nel presente documento sono essenzialmente regole di buon senso che riducono il rischio di compromissione da parte di WannaCry, ma non possono annullarlo, anche perché gli attaccanti individuano continuamente nuove strategie per aggirare le misure di contrasto messe a protezione dei sistemi.

Per altro l’accento è stato posto sulla semplicità di attuazione, piuttosto che sulla completezza della copertura dei casi che possono verificarsi.

Fonte: Agenda per l'Italia Digitale 

CYBERTERRORISMO: L'ITALIA È AL SICURO? GLI SCENARI E LE ATTUALI CONTROMISURE

(di Francesco Bergamo)

30/12/15 

In questo periodo si parla molto di sicurezza internet per contrastare il terrorismo. Alcuni suggeriscono l'oscuramento totale del web in caso di attacco, altri di potenziare i controlli preventivi. Come fare dunque per fermare il terrorismo che corre sul web senza creare danni agli utenti e alle aziende italiane che lavorano online? Per arrivare a capo del complesso mondo web, Difesa Online chiede chiarimenti a Corrado Giustozzi, tra i massimi esperti italiani di sicurezza cyber, consulente della struttura governativa cui è affidata la sicurezza cibernetica della Pubblica Amministrazione italiana (il CERT-PA) ed apprezzato anche all'estero, tanto da essere membro ormai da tre mandati del Permanent Stakeholders' Group di ENISA, l'Agenzia dell'Unione Europea per la Sicurezza delle Reti e delle Informazioni.

Professor Giustozzi, che cosa significa terrorismo web?

Iniziamo col fare un po' di chiarezza sui termini e sugli ambiti. Il Web non è Internet ma solo una delle sue componenti, per la precisione quella che consente la “pubblicazione” di informazioni testuali o multimediali organizzate come un grande ipertesto (sui cosiddetti “siti”) e la “navigazione” degli utenti fra le relative pagine. Internet è qualcosa di diverso e di più del Web: è il sistema globale di reti e di protocolli che assicura l'interconnessione ed il trasporto delle informazioni, ed è quindi il “tessuto nervoso” che unisce utenti, siti, dispositivi ed altro ancora. Su Internet viaggia il Web ma anche cose che non sono Web quali ad esempio la posta elettronica, gli instant message (tipo Twitter), le chat (tipo Whatsapp), le telefonate (VoIP o altro), le interconnessioni per scambio di file o dati, quelle per il controllo remoto di apparati, eccetera. Parlare dunque di “terrorismo Web” è impreciso o quantomeno vago, e bisogna specificare meglio cosa si intende.

Parlando dunque più propriamente di “uso di Internet a fini terroristici” (come correttamente recita la definizione adottata ad esempio dall'UNODC, l'Ufficio delle Nazioni Unite per il controllo della droga e la prevenzione del crimine) possiamo evidenziare due modalità differenti di utilizzo: uno che vede Internet come mezzo, e l'altro che la vede come fine. Nel primo caso essa viene sfruttata in due modi diversi: sia come semplice strumento di comunicazione, ritenuto più sicuro e meno intercettabile di quelli tradizionali, che come mezzo di diffusione, utile per veicolare propaganda ideologica e fare proselitismo per la propria causa. Nel secondo caso essa viene invece considerata come possibile oggetto di attentati, ossia come obiettivo di attacchi cibernetici finalizzati a sabotare quei sistemi (infrastrutture critiche) dai quali dipendono servizi importanti o vitali per le comunità da colpire.

E' vero che playstation e skype, programmi che usano i terroristi per comunicare tra loro, non possono essere monitorati?

Questo è vero solo in parte. Innanzitutto occorre premettere che i canali di comunicazione più appetibili per i terroristi non sono tanto quelli non intercettabili bensì quelli non sospetti, che non è affatto la stessa cosa. L'uso di crittografia, ad esempio, rende un canale non intercettabile ma al contempo può attirare l'attenzione di chi ne monitorizza l'uso e spingerlo ad investigare più a fondo. Di solito quindi i terroristi, almeno per le comunicazioni strategiche, cercano di usare canali convenzionali, senza dare nell'occhio; e da questo punto di vista un eventuale utilizzo della chat utilizzata dai giocatori del network Playstation, benché tutta da confermare, sarebbe in effetti una scelta efficace.

Sul piano maggiormente tecnico, esistono senz'altro sistemi di messaggistica intrinsecamente più difficili da intercettare rispetto ad altri, in quanto protetti da forme di crittografia ovvero basati su protocolli distribuiti di tipo peer to peer nei quali non esistono “nodi” centrali da poter mettere sotto controllo. Skype apparteneva un tempo a questo secondo tipo, oltre ad utilizzare crittografia particolarmente robusta, ed era dunque virtualmente impossibile da intercettare; ma da quando la piattaforma è stata acquistata da Microsoft la sua architettura è stata trasformata da decentralizzata a centralizzata, rendendola così suscettibile di intercettazione con la collaborazione del gestore (ossia Microsoft).

Quanti danni può fare il terrorista che agisce tramite internet?

Si tratta di una stima molto difficile da fare. Certamente viviamo in un mondo sempre più popolato di automatismi, i quali gestiscono funzioni sempre più critiche e sono sempre più accessibili da Internet: tutto ciò, in generale, costituisce un grave tallone d'Achille per la Società in quanto è estremamente difficile garantire che tutti questi dispositivi o sistemi siano perfettamente sicuri ed inviolabili.

In uno scenario fatto di infrastrutture critiche interconnesse ad Internet la quantità di danni teoricamente provocabili da un attacco terroristico mirato e determinato è dunque potenzialmente enorme, in quanto sono numerosissime le possibilità che apparentemente si offrono: deviare un treno su un binario sbagliato, aprire una diga, spegnere i semafori di una città, mettere fuori uso i bancomat, confondere i sistemi di controllo del traffico aereo... Per fortuna non tutti questi attacchi sono possibili o addirittura plausibili, perché ovviamente le contromisure di protezione esistono. Ma la complessità delle reti gioca a nostro sfavore e quindi il rischio che qualche sistema critico non sia difeso adeguatamente, e possa pertanto essere attaccato con successo, non è purtroppo trascurabile.

Un altro discorso va fatto sugli attacchi interamente “logici”, ossia quelli finalizzati a colpire le informazioni di rilevanza critica per il funzionamento della Società. Un sabotaggio diretto ad alterare i contenuti delle transazioni interbancarie o degli scambi in Borsa potrebbe avere effetti ben più devastanti di quelli provocati da un attacco convenzionale, ed essere assai più elusivo e difficile da rilevare e correggere.

Un ultimo tipo di considerazioni riguarda gli attacchi “preparatori” o di supporto ad attività terroristiche convenzionali. Ad esempio è concepibile che nell'imminenza di un'azione i terroristi possano pensare di prepararsi il terreno disarticolando i sistemi di comunicazione generali dell'obiettivo o quelli delle forze di sicurezza, o magari diffondendo falsi allarmi in modo da confondere l'analisi della situazione e rallentare le attività di reazione.

L'Italia è al sicuro?

Difficile dire chi è al sicuro e chi no in questo gioco. Certamente l'Italia, così come tutti i Paesi occidentali industrializzati, è consapevole del problema e si sta attrezzando per aumentare il livello di prevenzione, detezione e repressione delle minacce. Il nostro Paese ad esempio si è dotato già nel 2013 di una formale strategia per la protezione dello spazio cibernetico nazionale, e partecipa sin dall'inizio alle specifiche esercitazioni periodiche, svolte in ambito sia militare (NATO) che civile, finalizzate proprio a verificare la capacità di risposta alle crisi mediante simulazione di attacchi cibernetici condotte alle infrastrutture critiche. Ricordo inoltre che proprio pochi giorni fa il Governo ha annunciato lo stanziamento straordinario di fondi per 150 milioni di Euro destinati al comparto intelligence e finalizzati a rafforzare i sistemi di analisi e prevenzione delle minacce. Tanto è stato fatto, e probabilmente tanto ancora resta da fare; l'importante è non abbassare la guardia e pensare di essere al sicuro: le minacce cambiano ed evolvono ogni giorno, e chi si difende non può mai stare fermo.

Come viene monitorato il web dalla sicurezza?

Esistono molti modi per farlo, e sono diverse le istituzioni delegate a farlo. Naturalmente non è possibile sorvegliare e controllare tutto, sia per motivi tecnologici che legali; e quindi si scelgono solitamente delle “scorciatoie” che consentono di ottenere comunque risultati egualmente significativi a fronte di uno sforzo tecnologico relativamente ridotto.

Una tecnica sempre più usata in quanto considerata promettente a livello strategico si basa sull'analisi delle cosiddette “fonti aperte”, termine con cui si identificano insiemi mirati di informazioni liberamente accessibili quali siti Web pubblici, forum di discussione aperti, blog e così via. Impiegando sia sistemi automatici di analisi dei testi che analisti umani per filtrare e correlare le informazioni raccolte, si riesce ad ottenere una buona conoscenza di ciò che si dice e si fa in determinate comunità di utenti o in ambiti selezionati, geografici o meno.

A livello più tattico si analizzano continuamente le anomalie di traffico e gli incidenti di sicurezza, segnalati ai CERT istituzionali dalle apposite strutture di gestione dei servizi di rete presenti nelle grandi aziende e nelle pubbliche amministrazioni, per ottenere un quadro complessivo e tempestivo delle vulnerabilità e delle minacce in atto, nonché della loro localizzazione e diffusione. Ciò consente una più efficace azione di allerta e reazione ad eventuali attacchi in corso, oltre che di generale prevenzione.

Quanto personale servirebbe per avere un livello di sicurezza adeguato?

Sicuramente molto più di quello attualmente impiegato nel nostro Paese in ambito sia civile che militare.

Il Presidente del Consiglio Renzi sarebbe per il blocco totale di internet in caso di attacco. Lei cosa ne pensa?

Non mi sembra una grande idea, per vari ordini di motivi.

Innanzitutto è tecnicamente difficoltoso, se non proprio impossibile, “spegnere” Internet anche solo per brevi periodi e su scala limitata. Ricordiamoci che Internet nasce proprio per essere una rete resiliente, pervasiva, in grado di funzionare anche se alcuni suoi nodi vengono spenti. Soprattutto in un Paese come il nostro, dove le comunicazioni non sono accentrate sotto il diretto controllo di un unico provider di regime, per bloccare Internet occorre la collaborazione attiva di innumerevoli operatori grandi e piccoli, pubblici e privati, di rete fissa e di rete mobile... è davvero complicato, non basta semplicemente tirare giù un interruttore da qualche parte.

In secondo luogo non è detto che bloccando Internet si renda più difficile l'azione dei terroristi. Nel caso di un attacco cinetico, ossia rivolto in termini fisici contro obiettivi materiali o umani, ci sono poche probabilità che i componenti del commando in azione sul campo usino Internet per comunicare e coordinarsi tra loro: è molto più plausibile che usino normali cellulari se non ricetrasmettitori PMR a bassa potenza (walkie-talkie), e quindi bloccare Internet non servirebbe semplicemente a nulla. Nel caso invece di attacco cibernetico, rivolto dunque verso sistemi o servizi in Rete, allora un eventuale blocco di Internet farebbe addirittura il gioco del nemico: infatti, dato che lo scopo degli attaccanti è impedire l'erogazione al pubblico di determinati servizi critici, un eventuale blocco di Internet otterrebbe esattamente lo stesso scopo e dunque non sarebbe altro che un clamoroso autogol!

In ogni caso il blocco di Internet avrebbe invece il gravissimo effetto collaterale di impedire la diffusione di notizie al pubblico e il coordinamento dei soccorsi, e dunque peggiorerebbe significativamente la gestione della crisi.

Perché, se i servizi ne sottolineano l'importanza da molto tempo (v. intervista), Renzi lo decide solo ora?

Probabilmente all'epoca le valutazioni politiche erano diverse e forse anche i tempi non erano maturi. Oggi, con l'accresciuta credibilità della minaccia internazionale e il proliferare di situazioni a rischio (legate anche al Giubileo in corso), l'esigenza di dare una risposta adeguata è divenuta non più procrastinabile.

L'arretratezza e la lentezza della rete informatica nazionale, rispetto alle altre nazioni europee, può essere un vantaggio od uno svantaggio nella guerra contro il cyber terrorismo?

Per quanto possa sembrare ironico, in determinate situazioni essere meno tecnologicamente avanzati può effettivamente costituire un vantaggio in termini di resilienza. È chiaro infatti che, tanto per fare un esempio banale, se il sistema di controllo di una diga è accessibile solo in locale e non tramite Internet, quello che è uno svantaggio in termini di efficienza gestionale si ripaga in termini di sicurezza perché quella diga non potrà mai essere azionata indebitamente da remoto a seguito di un'intrusione cibernetica.

Ciò non vuol dire che dobbiamo essere fieri o vantarci di una certa arretratezza tecnologica che forse ancora affligge alcune infrastrutture del nostro Paese, né considerarci automaticamente più al sicuro solo per questo motivo. Lo sviluppo tecnologico che implica un forte tasso di automazione industriale è inevitabile e va perseguito, su questo non ci sono dubbi. Alcuni Paesi si sono lanciati molto prima di noi su questa strada, e forse un po' troppo velocemente ed in modo poco prudente, ed oggi si ritrovano con infrastrutture automatizzate molto efficienti ma piuttosto vulnerabili, in quanto nel loro sviluppo non è stato tenuto in debita considerazione l'inserimento di misure di sicurezza specificatamente progettate per la protezione contro attacchi e sabotaggi deliberati. In altre parole, si è visto che alcune infrastrutture critiche sono safe ma non secure, ossia sono protette contro errori e malfunzionamenti ma non contro azioni malevole dirette intenzionalmente a danneggiarle o alterarne il funzionamento. Oggi per fortuna su questo tema c'è molta più consapevolezza rispetto ad alcuni anni fa, e quindi i nuovi sviluppi hanno fatto tesoro degli errori del passato.

Fonte: Difesa Online - Francesco Bergamo

Le tenaglie di Efesto: stato della sicurezza informatica in Italia

Ultimo in Europa per investimenti e applicazione dell'ICT Security, il nostro Paese è drammaticamente indietro su tutto il fronte "digitale". Mancano gli organismi istituzionali e, soprattutto, manca la cultura della sicurezza. Questo si traduce in mezzo punto di PIL perso ogni anno.  Efesto, figlio di Zeus e di Hera, il fabbro che costruiva le splendide armi degli dei dell'Olimpo, dio greco del fuoco, della tecnologia, dell'ingegneria, della scultura e della metallurgia... I suoi simboli sono il martello da fabbro, l'incudine e le tenaglie.Questo articolo vuole essere un richiamo alla realtà, un grido di dolore, una non politicamente corretta provocazione (intesa in senso costruttivo) sullo stato della Sicurezza informatica in Italia.Il problema è che il nostro Paese sta accumulando un ritardo patologico, drammatico ed estremamente dannoso per quanto riguarda l'uso efficace e sicuro delle nuove tecnologie digitali. Siamo a livelli di guardia. Le tenaglie di Efesto, dio greco della tecnologia notoriamente vendicativo e dal cattivo carattere, si stanno stringendo su di noi, ogni giorno che passa, e minacciano di sfracellarci. L'Italia è praticamente ultima in classifica in ambito europeo sia per investimenti sia per applicazione dell'ICT Security, pur essendo un Paese per certi aspetti tecnologicamente molto avanzato. Per esempio, abbiamo una discreta diffusione della banda larga fino a 2Mbit (nonostante alcune zone siano servite pessimamente) superiore per esempio a quella di Francia o UK (chi l'avrebbe mai detto). Ma nonostante questo, il valore aggiunto dato all'economia italiana dalla penetrazione di Internet a banda larga è il più basso d'Europa (forse perché mediamente mastichiamo poco e male le lingue straniere). Abbiamo anche il più alto numero di smartphone pro-capite (oggi sono nelle tasche del 50% di chi possiede un cellulare, ma arriveremo al 90% in due-tre anni, cioè a 50 milioni di apparecchi). Questo, ci dicono le ricerche di mercato, perché sono uno status symbol. Perché così possiamo stare collegati a Facebook anche quando siamo fuori casa, da scuola o dall'ufficio.

Il problema è culturale

Il problema quindi non è che siamo particolarmente arretrati. È che usiamo "malissimo" le tecnologie digitali. L'Italia non sta al passo "culturalmente" e quindi perde terreno su tutti i fronti. Oltre a far fuggire all'estero migliaia dei suoi figli migliori (dopo averli allevati e formati a caro prezzo), il nostro Paese complessivamente investe in ICT una percentuale del PIL che è la metà di quella della Germania e in R&D cifre pericolosamente basse, oltre che decrescenti. La Sicurezza Informatica in particolare è tuttora considerata una sorta di ancella povera , scorbutica e iettatrice dell'ICT, invece che un tema strategico, di interesse nazionale, dotato di una propria dignità e imprescindibile come la sicurezza stradale o sul lavoro. Così l'Italia investe in formazione sul tema specifico dell'ICT Security (consapevolezza generale e formazione tecnica) cifre prossime allo zero.  Il risultato è che solo il 2% degli utenti italiani di smartphone si pone il problema di proteggerli con qualche sistema antimalware, il che significa che abbiamo oggi 20-25 milioni di smartphone non protetti in circolazione nel nostro Paese, una minaccia potenzialmente molto grave di cui nessuno vuole parlare. L'80% di questi device non è nemmeno protetto da password.  D'altra parte i nostri migliori giovani "hacker", quelli buoni intendo, tutti rigorosamente autodidatti per mancanza di scuole adatte, vivono ancora con la mamma, oppure lavorano all'estero e "per" l'estero. Quei pochi che resistono passano da un contratto a progetto all'altro, trattati come carne da cannone, finché non trovano un'occasione fuori dall'Italia, dove gli offrono cinque volte tanto quello che gli elemosiniamo qui. E non ritornano.

Spread e ICT Security

È ragionevole pensare quindi che una quota significativa del famigerato "spread" tra Buoni del Tesoro italiani e tedeschi derivi in realtà da questa crescente discrepanza tra i livelli medi di cultura informatica e di ICT Security degli altri Paesi e quello dell'Italia. Facciamo qualche esempio.  L' Italia non si è ancora dotata di un CERT unico (Computer Emergency Response Team). Abbiamo diversi team che si occupano con competenza di incident response, ma non siamo ancora riusciti a costituirne uno a livello nazionale, il che significa che siamo ciechi di fronte alle minacce informatiche di natura sistemica che oggi gravano su qualsiasi nazione avanzata. Andiamo alle conferenze internazionali e ci chiedono: "dov'è il rappresentante del vostro CERT"? Noi a denti stretti rispondiamo "non ce l'abbiamo". Un altro esempio: quando si parla di minore produttività dell'Italia rispetto ad altri paesi, si deve anche ricordare che da noi il ripristino dopo un incidente informatico importante richiede, in media, il doppio del tempo e il triplo dei costi rispetto ai paesi realmente avanzati. Il fatto è che da noi i concetti-chiave di risk assessment, disaster recovery e crisis management in ambito ICT sono ancora considerati problematici, oscuri, e quando si affrontano se ne parla a bassa voce, facendo le corna sotto il tavolo per scaramanzia. Inoltre quasi nessuno testa mai veramente le proprie infrastrutture, i propri backup, le proprie procedure di emergenza prima che avvenga un incidente. Si fanno interventi cosmetici in ossequio alle normative, si producono carte, confidando nella buona sorte. Ammettiamolo. Purtroppo lo "Stellone" nulla può in un mondo globalizzato, nel quale le minacce cyber arrivano in tempo reale da ogni angolo del pianeta, 24 ore su 24, feste comandate incluse.  Ci stanno rubando anche le mutande, e non solo metaforicamente: il bersaglio principale sono le nostre PMI ad alto valore aggiunto, che stanno subendo un'emorragia di proprietà intellettuale, senza nemmeno accorgersene,  sottratta da parte di cyber-vampiri di ogni nazionalità. Così il nostro know-how, il nostro design, i nostri brevetti finiscono nelle mani dei competitor, con danni incalcolabili (e che nessuno calcola). Le aziende chiudono anche per questo, al giorno d'oggi.

Disarmati digitali

Altro fatto singolare: l'Italia, ottava economia del mondo (era la quinta 20 anni fa) non ha una dottrina ufficiale in merito alla Cyber Warfare. Ci stiamo lavorando da anni, è vero, ma di fatto siamo l'unico Paese avanzato a non averla ancora pubblicata. Di conseguenza siamo drammaticamente indietro in un contesto che si evolve alla velocità della luce. A una recente riunione dei Ministeri della Difesa dei paesi del Sud-Est Europa, alla quale sono stato invitato per tenere un seminario sulle connessioni tra cyber crime e proliferazione incontrollata delle armi digitali, abbiamo percepito un livello di competenza, di attenzione e di fattive realizzazioni in questo campo che da noi sono sconosciuti. Per fare un esempio, se oggi la Croazia (Paese amico, fortunatamente) decidesse di attaccare l'Italia nel cyberspazio, ci farebbe a pezzi. Per non parlare di una grande potenza. Facciamo altri esempi. Nelle scuole, la sicurezza informatica semplicemente non esiste (tranne lodevoli eccezioni, faticosamente realizzate da volontari). I nostri giovani, i famigerati "nativi digitali", non sanno nulla di ICT Security, pur essendo tutti rigorosamente dotati di smartphone di ordinanza, sempre connessi sui Social Network e quindi esposti a ogni genere di minaccia. Gli adulti, in quanto a scarsa consapevolezza, non sono da meno. Negli approvvigionamenti, né la PA né le aziende private tengono conto degli aspetti di Information Security, sia per quanto riguarda i contratti sia per quanto riguarda il contenuto di quello che acquistano. Di conseguenza finiscono per comprare prodotti e servizi intrinsecamente insicuri, oppure per implementarli e configurarli in modo insicuro, senza alcuna garanzia né tutela in caso di incidenti.

Forse per questo in due giorni qualsiasi del gennaio 2013 sono stati "defacciati" da script kids di ogni parte del mondo (turchi, filippini, pakistani, brasiliani…) i siti di 70 comuni italiani. Oppure, come emerge da una recente ricerca, è per questo motivo che il 44% dei pc italiani se attaccati da un malware vengono infettati, contro il 20% di quelli danesi. A parità di sistema operativo e di minacce informatiche, che sono uguali per tutti, che cosa causa il raddoppio del tasso di compromissione dei PC italiani rispetto alle loro controparti del nord Europa? Da un lato la mancanza di policy di sicurezza (o il loro sistematico aggiramento) e di sistemi tecnologici per la loro imposizione e, dall'altro, la mancanza di cultura degli utenti. Così, mentre i reati informatici aumentano in modo esponenziale, le nostre forze dell'ordine cercano di fare il possibile, sopportando stoicamente una carenza cronica di uomini e mezzi che non è degna di un Paese tecnologicamente avanzato.

Come abbiamo scritto già sul primo Rapporto Clusit sulla Sicurezza ICT in Italia, tutto questo ha un costo importante e del tutto sottovalutato. Nel frattempo, nonostante il varo della tanto sospirata Agenda Digitale Italiana, che sulla carta include una serie di importanti "Linee di Azione sulla Cyber Security", negli ultimi 12 mesi dal punto di vista della sicurezza informatica applicata in Italia non è cambiato nulla. Il che significa che abbiamo perso molto terreno, dato che nel 2012 il numero degli attacchi informatici nel mondo è più che raddoppiato ogni semestre. Anche l'annunciato comitato per la sicurezza informatica sembra essere rimasto nelle intenzioni.

Mezzo punto di Pil perso

Per quanto nel nostro Paese non esistano statistiche ufficiali in merito ai danni diretti e indiretti derivanti da incidenti informatici, per analogia con economie simili per le quali i dati sono disponibili (per esempio quella inglese) dobbiamo presumere che i danni complessivi in Italia siano ammontati nel 2012 a 2-3 decine di miliardi di euro (escluso il valore della proprietà intellettuale che ci viene silenziosamente sottratta). Una cifra enorme, nel silenzio più assordante della politica, dei media mainstream e di tutti gli stakeholders, pubblici e privati, che dovrebbero occuparsene. Se riducessimo queste perdite a livelli fisiologici e conseguissimo i vantaggi che un utilizzo più maturo, sicuro ed efficace delle tecnologie ci potrebbe dare (stimati da Confidustria in 50 miliardi all'anno), potremmo avvicinarci a recuperare mezzo punto di PIL. Considerata la fase storica di grave crisi economica che stiamo vivendo, la nostra scarsa attenzione per la sicurezza informatica si mostra per quello che è, una "distrazione" incomprensibile, masochista e sempre più costosa.  Una distrazione che ci espone oltre tutto a rischi straordinari, perché determina una particolare fragilità delle nostre infrastrutture critiche e di tutti i sistemi informatici (utilizzati da banche, telco, trasporti, media, logistica, sanità, etc) che ormai sono diventati l'ossatura della nostra economia e della nostra società civile.

Emergenza security

Questa crescente arretratezza dell'Italia in tema di ICT Security va ridotta al più presto, non possiamo permetterci nemmeno un altro anno di inerzia come quello appena trascorso. Per questo nel Rapporto Clusit 2013, che è stato presentato ufficialmente a marzo nell'ambito del Security Summit di Milano, abbiamo lanciato nuovamente il nostro grido di allarme, dati alla mano, nella speranza di essere ascoltati e che qualcosa inizi a muoversi. La pressione delle tenaglie di Efesto sull'Italia rischia di schiacciarci come i proverbiali vasi di coccio tra i vasi di ferro: non solo questo è insostenibile già nel breve-medio termine, ma è, realisticamente, del tutto inaccettabile. Abbiamo le competenze, le capacità e perfino le risorse economiche, volendo, per sanare questa situazione. Ma dobbiamo agire adesso,a prescindere dalle vicende politiche e dal periodo di ristrettezze finanziarie. L'alternativa è consegnare il nostro Paese (le sue imprese, le sue istituzioni e i suoi cittadini) nelle mani di cyber criminali, spie e potenze ostili, lasciando che diventi un Far West digitale, condizione dalla quale sarebbe poi difficilissimo uscire e che avrebbe un impatto tremendo sull'economia interna, sugli investimenti stranieri e sulla qualità della vita dei nostri cittadini. Al ritmo attuale di allargamento della forbice in materia di Information Security tra il nostro e gli altri paesi avanzati, e del contestuale incremento delle minacce informatiche, si rischia di relegare l'Italia tra i paesi del terzo mondo, sancendo la sua totale irrilevanza nel Cyberspazio. E questo, spero siamo tutti d'accordo, non deve succedere. Non ce lo possiamo permettere.

Fonte: Tom’s Hardware – Autore: Alessandro Zapparoli Manzoni
(Andrea Zapparoli Manzoni, Presidente de iDialoghi, Direttore Generale di Security Brokers, membro del Consiglio Direttivo di Clusit e di Assintel, membro dell'Osservatorio per la Sicurezza Nazionale)

Ogni volta che leggi una notizia che tratta dell’arresto di un cyber-criminale, puoi stare certo che la maggior parte del lavoro di investigazione si può attribuire ai ricercatori anti-malware sparpagliati in giro per il mondo.

Sia che si tratti dello smantellamento di una botnet spam, dell’esplosione di una gang Koobface o dell’arresto dei cyber-criminali responsabilli del trojan  bancario Zeus, le forze dell’ordine di tutto il mondo chiedono aiuto ai migliori ricercatori in materia di sicurezza IT (in particolare agli esperti specializzati in malware). La loro collaborazione è preziosa per la buona riuscita delle indagini e per tintracciare le prove che possono eventualmente portare ad un arresto.

Jeff Williams sa quanto è difficile riconoscere un attacco informatico e realizzare un indagine. Dopo aver lavorato come program manager presso il Microsoft Protection Center (MMPC) e essere passato alla Dell SecureWorks, Williams ha partecipato allo smantellamento di varie reti botnet, incluso la virulenta Waledac e le operazioni Zeus e Kelihos.

In un’intervista, Williamas ha spiegato che le indagini iniziano quasi sempre in un laboratorio anti-malware. “A volte sono le forze dell’ordine ad aprire le indagini. Altre volte l’indagine nasce nei laboratori, nel momento in cui stiamo lavorando su di un nuovo malware. Anche quando si tratta di un’indagine, le forze dell’ordine ci contattano per avere informazioni approfondite sul malware. In Microsoft, la priorità era proteggere i clienti; il nostro lavoro era capire le proporzioni del problema, l’impatto sugli utenti di Windows e offrire una maggiore protezione”, spiega Williams.

E’ un lavoro multi-sfaccettato. “I ragazzi del laboratorio fanno il lavoro sporco. Verificano che il malware esista, raccolgono i campioni (questa è la parte più consistente del lavoro) e poi procedono con il processo di ingegneria inversa” afferma Williams. Questo lavoro include algoritmi complessi di ingegneria inversa capaci di rompere il protocollo di comunicazione che il malware utilizza per comunicare con l’hacker. “Vogliamo sapere come si controllano i binari attraverso l’infrastruttura di controllo e comando creata dall’hacker; dove sono i nodi e che comandi usano. Tutto questo lavoro è condotto in un laboratorio anti-malware. E’ un lavoro molto importante.” Solo dopo che il laboratorio ha raggiunto una comprensione completa della struttura interna del malware e delle contromisure tecniche da adottare (sia attraverso un aggiornamento delle definizioni virus, che con il miglioramento delle tecnologie di difesa), le forze dell’ordine aprono l’azione legale. “Qualche volta, dobbiamo presentarci in tribunale e lavorare a stretto contatto con le forze dell’ordine”, spiega Williams.

Costin Raiu, responsabile del team Global Research & Analysis presso Kaspersky Lab, è d’accordo sul fatto che le indagini sul cybercrimine possono essere molto ‘complicate’. Il team di Raiu ha lavorato fianco a fianco con Microsoft, CrowdStrike, OpenDNS e altre entità rappresentative dell’industria della sicurezza IT per gestire lo smantellamento di un’operazione di  botnet. Secondo il ricercatore si tratta di un lavoro molto complesso “un lavoro multi-sfaccettato e intenso”. “Direi che la competenza dei ricercatori è fondamentale e può fare la differenza nelle indagini; può condurre a un arresto o a un criminale in fuga”, afferma Raiu. Oltre all’ingegneria inversa e allo scambio di informazioni con le forze dell’ordine, i ricercatori di sicurezza lavorano spesso a stretto contatto con il CERT (Computer Emergency Response Team) nel momento del sequestro o dello smantellamento dei server hackerati o dell’analisi del server alla ricerca di prove e informazioni utili per il processo. “Il crimine cibernetico è un campo incredibile e complicato, multi-sfaccettato. Ecco perché ai ricercatori viene spesso chiesto di offrire il loro aiuto in qualità di esperti durante i processi” spiega Raiu. I laboratori malware esperti in cyber-sicurezza ricorrono spesso all’utilizzo di Open Source INTelligence o OSINT. Questa parte dell’indagine è esaustiva e molto spesso comporta il rastrellamento della rete alla ricerca di qualsiasi indizio che possa portare al criminale o all’operazione malware. “Nel corso di una indagine, sono molti gli indizi che possono portarci sulle tracce dell’identità di un cyber-criminale. Alcuni campioni di codici possono includere un nickname o un certo stile di programmazione. Questo genere di informazioni possono essere usate  come punto di partenza nel processo che porta all’arresto di un criminale” spiega Williams di Dell SecureWorks.

I ricercatori usano un nickname o un indizio estrapolato da un pezzo di codice o un indirizzo e-mail da un nome di dominio registrato per setacciare le community on-line, come Facebook, Twitter, YouTube, Wikis, blog o qualsiasi altro tipo di contenuto generato dall’utente in cui il criminale possa aver utilizzaro quel nickname o indirizzo e-mail. Nel caso di Koobface, il team di sicurezza di Facebook ha condotto una operazione di open source intelligence in collaborazione con la community dei ricercatori di sicurezza IT; insieme hanno reso pubblici i nomi, le foto e le identità delle persone che ritengono responsabili dell’attacco diffusosi in questo network. Questa informazione ha raggiunto i mezzi di comunicazione come parte di una operazione di denuncia. “La maggior parte del lavoro è tecnico e riguarda la protezione dei clienti, ma le informazioni vengono poi condivise con le forze dell’ordine e sono molto rilevanti per le indagini. Quando si giunge a un arresto o si va in tribunale, la maggior parte del lavoro (potete starne certi)  è stato svolto nei laboratori di ricerca” aggiunge Williams. “L’attribuzione del reato e dell’arresto non è sempre parte delle operazioni iniaziali. Tuttavia quando un laboratorio malware scopre qualcosa di importante, i risultati della ricerca vengono passati alle forze dell’ordine e ciò può condurre ad un arresto o a una azione legale” aggiunge Williams. Williams ripete più volte che il lavoro della community di ricerca deve essere di qualità perché le informazioni devono essere eventualmente presentate in tribunale.

I ricercatori che si occupano di cyber-sicurezza si lamentano spesso della lentezza dei tempi legali, sopratutto quando si tratta di attacchi virulenti come il trojan bancario o le reti botnet che portano a frodi banacarie. La lentezza del sistema giudiziario ha spinto Facebook a  pubblicare i dettagli dell’indagine Koobface prima della fine del processo. Willliams sottolinea però che le cose stanno migliorando.

“E’ assolutamente necessario migliore il sistema penale. I criminali sanno che leggi non sono severe e cosa devono fare per evitare di essere beccati. Comunque sia, io credo che le forze dell’ordine ogni giorno imparano a gestire meglio questi casi. Siamo testimoni di casi dove sono state applicate leggi che non hanno nulla a che vedere con il cyber-crimine”, aggiunge l’esperto riferendosi al caso Zotob, processo in cui alcuni criminali informatici sono stati perseguiti per riciclaggio di denaro, evasione fiscale e frode finanziaria in base alle leggi vigenti in queste materie.

“Si tratta di una evoluzione naturale; le tecniche di difesa e di demolizione della rete del crimine informatico non possono che migliorare. Se la rete del cyber-crimine non verrà smantellata, i delinquenti continueranno a rubare soldi e questi soldi verrano reinvestiti in altri attacchi. Tuttavia, io credo che siamo giunti a un punto in cui le competenze tecnologiche e la cooperazione con le forze dell’ordine possono fare la diffenza nella battaglia contro il cyber-crimine”, conclude Williams.

Fonte: Karspersky Lab