Mitigare gli effetti di WannaCry (WCry, WannaCriptOr)

La campagna ransomware WannaCry, che sta affliggendo oltre 100 paesi in tutto il mondo, sta provocando danni molto elevati, sia sotto il profilo strettamente economico, che in termini di informazioni che non sarà più possibile recuperare.

In questo documento sono riportate una serie di azioni che possono essere assunte per mitigare l’impatto della campagna, soprattutto cercando di evitare l’estensione della compromissione a sistemi che non sono già compromessi. È abbastanza evidente che laddove i dati siano stati già cifrati l’unica strategia possibile è il ripristino da una copia di backup non toccata dal malware. Nell’ultima sezione sono contenute alcune considerazioni su quanto fare per il ripristino in questi casi.

Protezione dalla compromissione
L’unica vera protezione dalla compromissione è l’eliminazione della vulnerabilità attraverso l’istallazione della patch sviluppata e pubblicata da Microsoft con il Microsoft Security Bulletin MS17-010-Critical:

• https://technet.microsoft.com/en-us/library/security/ms17-010.aspx

Nel Blog della società sono reperibili ulteriori informazioni utili:

• https://blogs.technet.microsoft.com/msrc/2017/05/12/customer-guidance-for-wannacrypt-attacks/

Protezione contro l’azione del malware si può ottenere attraverso l’antivirus, che deve essere aggiornato ad una versione successiva rispetto a quella pubblicata da ciascun produttore dopo il 12 maggio.

È fondamentale tenere presente che se l’antivirus ha il vantaggio di poter “ripulire” una macchina compromessa, cosa che la sola istallazione della patch non può fare, d’altra parte la vulnerabilità non eliminata potrebbe essere sfruttata da una nuova versione del malware che sfugge al controllo dell’antivirus. Perciò è tassativa l’istallazione della patch.

Ulteriori misure atte a ridurre la probabilità di compromissione, e quindi l’estensione di questa, sono:

1. Blocco del protocollo SMB sulla frontiera;
2. Disattivazione del protocollo SMB ove non specificamente richiesto;
3. Blocco sulla frontiera del traffico diretto verso indirizzi ed URL indicati nelle raccolte disponibili sui siti specializzati, quali, ad esempio AlienVault e US-CERT

Riavvio delle macchine spente
Le macchine che erano spente al momento della diffusione, per altro molto rapida, del malware e non sono state accese sono sicuramente indenni; vale perciò la pena di usare qualche accorgimento per evitare che la compromissione presente in altri sistemi possa estendersi anche ad esse.

Contemporaneamente l’accensione di una macchina compromessa può provocare la compromissione di tutti i sistemi presenti sulla stessa rete. Ne segue che è opportuno procedere all’accensione dei sistemi con particolare cautela.

La procedura che segue consente di ridurre sensibilmente i rischi legati alla riaccensione di un sistema spento senza richiedere particolari conoscenze tecniche, per cui può essere eseguita, almeno nel caso di reti wired, anche da utenti non particolarmente esperti:

1. Prima di accendere la macchina scollegarla dalla rete locale, disconnettendo il cavo di rete (nel caso di connessioni Wi-Fi occorre disabilitarne l’interfaccia prima che avvenga il caricamento del sistema operativo, tale operazione può non essere alla portata dell’utente).
2. Accendere la macchina scollegata e verificare che l’avvio (bootstrap) avvenga regolarmente. Se si verificano eventi anomali, quali ad esempio ritardi molto prolungati, comparsa di messaggi insoliti, etc., non procedere oltre nel riavvio e chiedere il supporto esperto.
3. Se l’avvio è avvenuto regolarmente, aprire una sessione ed effettuare sull’hard disk della macchina una ricerca per file il cui nome abbia l’estensione .wncry. La ricerca deve terminare senza individuare alcun file, se invece ne viene individuato qualcuno non procedere oltre nel riavvio e chiedere il supporto esperto.
4. Se è stato superato il passo precedente, prima di collegare il sistema alla rete chiudere tutte le applicazioni, in particolare quelle di posta elettronica, che dovessero essere state avviate automaticamente all’apertura della sessione.
5. Ricollegare il sistema alla rete locale e forzare l’aggiornamento dell’antivirus. Attendere che tale operazione sia completata prima di aprire qualsiasi applicazione, in particolare non accedere in nessun modo a sistemi di posta elettronica. Dopo il suo termine il sistema può essere utilizzato normalmente.

Particolare attenzione deve essere posta nella gestione dei messaggi di posta elettronica, che potrebbero essere utilizzati come vettore primario di infezione laddove sulla frontiera fosse bloccato il protocollo SMB, come consigliato al punto (1) dell’elenco contenuto nella sezione precedente. In generale debbono essere scrupolosamente osservate le seguenti regole:

• Non aprire mail inattese o comunque di provenienza incerta, evitando nel modo più assoluto di aprire allegati di cui non si conosce la natura e l’origine.
• Non cliccare per nessuna ragione su link contenuti all’interno di mail di cui non sia assolutamente certa la provenienza, verificando direttamente con il mittente (e.g. telefonicamente) l’effettivo invio da parte sua del messaggio.

La sicurezza non è mai assoluta
Le indicazioni contenute nel presente documento sono essenzialmente regole di buon senso che riducono il rischio di compromissione da parte di WannaCry, ma non possono annullarlo, anche perché gli attaccanti individuano continuamente nuove strategie per aggirare le misure di contrasto messe a protezione dei sistemi.

Per altro l’accento è stato posto sulla semplicità di attuazione, piuttosto che sulla completezza della copertura dei casi che possono verificarsi.

Fonte: Agenda per l'Italia Digitale 

Windows XP: Boot dalla Penna Usb

Windows XP si rifiuta di partire? Non disponiamo di un floppy per avviare Windows XP? …
Una strada da percorrere è tentare di avviare Windows XP tramite una penna usb, ecco come:

Colleghiamoci su www.bootdisk.com e scarichiamo

• il file immagine di Dos 6.22 (622-514.exe)
• xp quick boot diskette (xpquick.zip)

Recuperiamo l’ultima versione di WinImage dall’indirizzo www.winimage.com , installiamolo, avviamolo ed apriamo il file che abbiamo scaricato precedentemente da www.bootdisk.com (622-514.exe). Salviamo il file exe come file immagine (*.ima). Il procedimento non è finito: posizioniamoci sopra il file *.ima con il mouse e selezioniamo Extract, scegliendo come destinazione una directory a piacere sul nostro Desktop. Non rimane che l’ultimo passo! Preparatevi…

Scarichiamo l’utility “Format Utility for HP Drive Key or DiskOnKey USB Device” , clicchiamo su “Create Dos Startup Disk“, scegliamo la directory dove è stato estratto il contenuto del file immagine e formattiamo la penna USB.

Finale

Estraiamo con un programma come WinRar i files contenuti all’interno del file xpquick.zip e spostiamoli dentro la directory principale della penna usb.

Fonte: Italia Software

Kon-Boot per recuperara la password perduta

Kon-Boot è un programma gratuito che permette di accedere al vostro sistema operativo – Linux o Windows che sia – anche se vi siete dimenticati la password di login. Kon-Boot, scritto in assembler (TASM 4.0) è infatti in grado di modificando il kernel Linux e Windows durante la fase di avvio del sistema purchè la macchina in uso abbia un processori x86 a 32 bit. Per utilizzare Kon-Boot è necessario masterizzare un Cd avviabile utilizzando il file .iso che trovate in cartellina oppure creare la versione Live direttamente da chiavetta Usb tramite il programma UNetbootin che potete scaricare da qui. Per i sistemi Windows è sufficiente inserire il Cd creato – o la chiavetta Usb bootable – avendo verificato che il Bios faccia boot da queste periferiche. Dopo una prima fase di caricamento di Kon-boot il programma procederà al caricamento di Windows e alla fine vi troverete davanti al desktop senza bisogno di premere un tasto. Per i sistemi Linux, alla schermata di login è invece necessario digitare kon-usr per poi ripristinare le impostazioni di sistema digitando come username kon-fix. Se avete dimenticato la password per accedere al vostro Pc questo programma vi sarà di grande utilità!

Sistemi Windows testati:
Windows Server 2008 Standard SP2 (v.275)
Windows Vista Business SP0
Windows Vista Ultimate SP1
Windows Vista Ultimate SP0
Windows Server 2003 Enterprise
Windows XP
Windows XP SP1
Windows XP SP2
Windows XP SP3
Windows 7

Kernel Linux testati:
Gentoo 2.6.24
Ubuntu 2.6.24.3
Debian 2.6.18-6
Fedora 2.6.25.9

Il programma può essere scaricato da qui

Fonte: PC Professionale

XP sempre più vulnerabile, meglio passare a Windows 7

Una nuova vulnerabilità in Windows XP e 2000, a tutt'oggi senza patch, mette in luce le problematiche di sicurezza dei vecchi OS Microsoft. Secondo IDC, le Pmi dovrebbero passare a Seven.

Secunia ha portato alla luce una nuova vulnerabilità "moderatamente critica" insita in Windows XP e 2000. La falla è sotto osservazione da parte di Microsoft, ma l'attesa per una patch correttiva sembra rassegnarsi a tempi ancora relativamente lunghi. Le piccole e medie aziende che si appoggiano ancora ai vecchi OS Microsoft dovrebbero, in nome della sicurezza, pensare seriamente alla migrazione verso Windows 7. La falla scoperta da Secunia è in grado di generare un "boundary error" all'interno di una particolare classe contenuta nel file mfc42.dll; l'exploit così ottenuto sarebbe in grado di rendere i computer sotto attacco vulnerabili, permettendo l'esecuzione di codice arbitrario da remoto. La vulnerabilità è stata confermata in Windows 2000 Professional SP4 e Windows XP SP2/SP3, mentre per quanto riguarda le versioni incriminate della libreria, si tratta della 6.0.9586.0 per Windows 2000 e 6.2.4131.0 per quanto riguarda Windows XP. E' bene ricordare come Windows XP e 2000 siano sistemi operativi su cui Microsoft non offre più assistenza, nonostante sia ancora assicurato il rilascio delle patch correttive più importanti, che tuttavia avviene spesso con una certa "tranquilllità". Molte aziende, soprattutto di piccola dimensione, hanno però nel tempo tralasciato gli aggiornamenti nel nome del risparmio, trovandosi ora con un sistema operativo non solo poco performante, ma anche pericoloso. Secondo una ricerca IDC, le aziende che compiono il grande passo verso Windows 7, non solo ottengono un margine di sicurezza nettamente superiore, ma registrano notevoli risparmi sui costi del reparto IT e un rinnovato margine di produttività. La migrazione taglierebbe infatti i costi relativi al "desk support" del 65%, permettendo di risparmiare in media 129 dollari all'anno per ogni singolo utente. I costi relativi al supporto dei Pc e dei sistemi operativi verrebbe tagliato del 55%, con un risparmio di 108 dollari, mentre i costi di sviluppo sarebbero ridotti del 45%, con un risparmio di 40 dollari.
Secondo IDC Windows 7 sarebbe quindi molto meno impegnativo da gestire da parte del reparto IT e in grado di aumentare significativamente la produttività: «gli utenti finali perdono infatti molto meno tempo con malware e reboot e hanno meno tempi morti rispetto ad altri prodotti Microsoft».

Fonte: PMI - Autore: Tullio Matteo Fanti

Microsoft: due bollettini e otto vulnerabilità per il patch day di marzo

Si annuncia un patch day senza grosse novità quello relativo al mese di marzo che porterà, da martedì prossimo, aggiornamenti per Windows e Office sui computer dei clienti Microsoft. Le patch distribuite saranno solo due e riguarderanno otto vulnerabilità riscontrate, come già accennato prima, sui sistemi operativi Windows XP, Vista e Windows 7, e sulla suite per la produttività Office, per un problema che vede Excel tra i software afflitti da vulnerabilità. Gli aggiornamenti, pur essendo pochi, numericamente parlando, sono comunque di un certo rilievo, tanto che Microsoft li ha classificati come “importanti” a causa del pericolo che essi comportano e che vede a rischio la riservatezza e l’integrità dei dati degli utenti. Le patch saranno disponibili secondo il tradizionale canale di Windows Update nella giornata di martedì 9 marzo, mentre va ricordato che, come peraltro ampiamente previsto, tra le patch in arrivo non c’è la correzione per il problema rilevato su Internet Explorer la scorsa settimana. Un problema relativo agli utenti che usano il browser di Microsoft su Windows XP ma che non ha ancora causato exploit degni di nota, facendo quindi propendere il gruppo americano per la scelta di chiudere con calma la falla in questione, prendendo tutto il tempo necessario a studiare il problema e ad adottare le contromosse necessarie.

Fonte: Oneitsecurity - Autore: Giuseppe Cutrone

Vulnerabilità per Internet Explorer su Windows XP: attenzione a premere F1

Una vulnerabilità che coinvolge tutte le ultime versioni di Internet Explorer è stata scoperta nelle scorse ore. Il bug vede infatti a rischio tutti gli utenti di Windows XP SP3 che utilizzano una versione del browser tra la 6, la 7 e la 8. Nessun rischio, invece, per quanti utilizzano Internet Explorer su Windows Vista e Windows 7. Il bug, confermato anche da Microsoft, porta ad un exploit che si attiva quando l’utente viene indirizzato ad aprire un particolare sito Web dal quale, tramite la comparsa di una finestra pop-up, l’utente viene in seguito invitato a premere il tasto F1 in modo da consentire, involontariamente, l’esecuzione di codice dannoso sul sistema. Secondo quanto si apprende, l’exploit sarebbe noto da alcune settimane, ma non sarebbe stato ancora utilizzato in attacchi specifici, cosa che ha consentito a Microsoft di avere il tempo per poter studiare una patch correttiva. La falla coinvolge l’esecuzione di VBScript e i file Windows Help di Internet Explorer (le finestre che si aprono contenenti istruzioni sulle operazioni comuni relative all’uso del browser), con quest’ultimi che, secondo quanto ammesso da Microsoft stessa, sono tanto utili quanto potenzialmente pericolosi. Il punto essenzialmente è quello che questi file implicazioni automatiche che potrebbero essere sfruttati per eseguire operazioni pericolose da parte dei soliti cybercriminali. Sarà da capire se Microsoft aggiornerà Internet Explorer entro il mese di marzo, possibilmente il 9, giorno in cui cade il patch-day del gruppo di Redmond, o se, invece, vista la non particolare gravità della minaccia, l’aggiornamento slitterà al prossimo aprile.

Fonte: Oneitsecurity - Autore: Giuseppe Cutrone

Schermate blu Windows XP: per Symantec è colpa di un rootkit

Alcuni giorni fa era stato lanciato un allarme relativo all’ultima patch di Windows XP che dopo la sua installazione, secondo quanto si diceva, sembrava causare una serie di schermate blu che impedivano agli utenti di accedere al proprio sistema. Un allarme subito confermato dalla stessa Microsoft, che aveva notato un aumento di segnalazioni di utenti che lamentavano la presenza delle tipiche schermate blu segnalanti un grave problema del sistema, arrivando addirittura alla sospensione della diffusione dell’aggiornamento incriminato dai canali tradizionali come Windows Update in attesa di una soluzione. Oggi invece, ecco arrivare la smentita per voce di Symantec, che afferma come le schermate d’errore su Windows XP non sono tanto colpa della patch quanto di un rootkit in grado di infettare un modulo del kernel del sistema operativo. Nel dettaglio, il problema sembra stare nel comportamento del rootkit che colpirebbe tramite hard-coded alcuni indirizzi virtuali, ovvero gli stessi indirizzi che sono stati modificati dall’aggiornamento rilasciato giorni fa da Microsoft, cosa che comporta la chiamata, da parte del kernel infettato, di indirizzi non più validi, facendo di fatto andare in crisi il sistema e generando quelle schermate blu. Ad essere infettato è il driver atapi.sys, un driver critico che, una volta infetto, Symantec consiglia di sostituire con una copia di backup in modo da far avviare correttamente il sistema, sconsigliando quindi di disinstallare la patch in quanto non è la causa del problema, non direttamente almeno. La disinfezione del sistema risulta comunque difficile, anche perché altri file importanti potrebbero essere a loro volta infettati, al punto che non viene esclusa la possibilità di dover reinstallare da zero il sistema operativo in certi casi. Comunque, il chiarimento di Symantec scagiona così Microsoft e la sua patch, additata in un primo momento come il problema scatenante del non-funzionamento ma che, invece, sembra essere del tutto innocua a questo punto.

Fonte: Oneitsecurity - Autore: Giuseppe Cutrone

Microsoft modifica l’autorun anche in XP e Vista

Microsoft ha effettuato il backporting delle modifiche alle funzionalità di “AutoRun” e “AutoPlay” introdotte in Windows 7 alle versioni Windows XP e Windows Vista: lo scopo è combattere la diffusione sempre più crescente del malware attraverso i dispositivi USB.
Le novità erano state introdotte già nella versione Release Candidate di Windows 7 e riguardavano appunto il prevenire, in caso di device USB, l’avvio automatico mediante la funzione AutoPlay. La mossa era stata motivata dalla diffusione sempre più dilagante del worm Conficker che mediante questa funzionalità continuava a diffondersi in maniera capillare da PC a PC.
Da adesso l’esecuzione automatica sarà quindi unicamente utilizzata nei casi di dispositivi multimediali come CD e DVD. L’aggiornamento è stato reso disponibile per le versioni XP, Vista, Windows Server 2003 e 2008 già il 25 agosto e le informazioni a riguardo si possono trovare nell’articolo KB971029.
Una scelta se vogliamo “obbligata” quella di Microsoft e necessaria per arginare questo fenomeno che come messo in evidenza da Symantec negli ultimi due anni ha conosciuto una crescita spaventosa: già nella seconda metà del 2007 la diffusione di malware via dispositivi rimovibili era tra le tecniche più impiegate. Anche Dave Marcus, di McAfee Avert Labs, a gennaio metteva in guardia circa il problema che ormai coinvolge tutti i tipi di dispositivi, dalle semplici penne USB alle memorie flash delle fotocamere digitali.
Un problema da non prendere alla leggera considerando la diffusione di massa che questi oggetti hanno avuto e il loro uso quotidiano in ambito domestico ma anche lavorativo.

Fonte: Oneitsecurity.it - Autore: Massimo Rabbi