Attacco ransomware globale in corso: aggiornamenti da Check Point

Un cyberattacco globale che utilizza un ransomware MBR, simile a quello dello scorso maggio realizzato tramite il virus WannaCry, è stato lanciato martedì 27 giugno. Check Point segnala che la maggior parte degli attacchi è avvenuta in Ucraina, coinvolgendo la banca centrale, uffici governativi e aziende private di quel paese. L’attacco si è comunque diffuso in molti paesi dell’Europa, America, Medio Oriente e Asia. Tra le organizzazioni prese di mira anche parecchie infrastrutture critiche, come la centrale nucleare di Chernobyl. Il malware utilizzato è una variante di Petya, un tipo di malware, già identificato a marzo 2016, che cripta l’intero hard disk, anziché ogni file singolarmente.

McAfee Labs: nel 2016 ransomware in crescita e attacchi a wearable

Intel® Security ha rilasciato il report "McAfee Labs: Previsioni sulle minacce del 2016", che indica quali saranno i principali sviluppi nel panorama delle minacce informatiche nel 2016 e ne prevede gli sviluppi fino al 2020, anticipando anche quale sarà la probabile risposta dei vendor di soluzioni per la sicurezza IT. Raccogliendo le opinioni e le riflessioni di ventuno esperti di Intel Security, il report esamina le implicazioni di tendenza a breve e lungo termine nel mondo della criminalità informatica e prevede quale sarà il comportamento delle organizzazioni che hanno necessità di stare al passo con le opportunità di business e la tecnologia, e dei criminali informatici che le prendono di mira.

Cyber attack Corea: Trend Micro Deep Discovery difende clienti da minacce

Trend Micro, leader globale nella sicurezza per il cloud, annuncia che i clienti che utilizzano la soluzione di protezione avanzata Deep Discovery sono stati in grado di identificare e reagire ai recenti cyber-attacchi su larga scala condotti in Corea, prima che danneggiassero le loro organizzazioni. Le scorse settimane, questi attacchi multipli hanno paralizzato molte delle principali banche e dei media del paese, impedendo ad una grande quantità di abitanti della Corea del Sud di prelevare denaro dagli sportelli bancomat e a chi lavora nei mezzi di comunicazione di poter accedere alle proprie risorse.

Pericolo virus da allegato aggiornamento Windows Live? Facciamo chiarezza

Da qualche ora si sta diffondendo sul Web e Facebook un messaggio alquanto allarmante, sia attraverso post che aggiornamenti di status. Nel messaggio, scritto in italiano sgangherato e completamente errato dal punto di vista informatico, si avvisano gli utenti che un allegato chiamato aggiornamento di Windows live spedito via e-mail, conterrebbe un virus che, se aperto, darebbe il via all'infezione con conseguenze disastrose per il loro computer. In particolare nel post si legge:

"ALLARME ROSSO PER IL TUO COMPUTER fare circolare questo avviso ai tuoi amici, familiari e contatti! Nei prossimi giorni, attenzione: Non aprire nessun messaggio con un archivio chiamato allegato (Aggiornamento di Windows live) Indipendentemente da chi ti manda. Si tratta di un virus che brucia l'intero disco fisso.

Questo virus proviene da una persona conosciuta che avete nella vostra mailing list , che è questo che si dovrebbe inviare questo messaggio a tutti i vostri contatti. Se si riceve un messaggio chiamato: Aggiornamento di Windows live, anche se è inviato da un amico, non aprire il computer e si ferma immediatamente.

Questo è il peggior virus annunciato dalla CNN. E 'stato classificato da Microsoft come il virus più distruttivo che sia mai esistito. Il virus è stato scoperto ieri pomeriggio da McAfee. e non vi è alcuna possibilità di riparazione per questo tipo di virus. distrugge semplicemente Settore Zero del disco rigido. Fai copia e incolla...."

Ecco la versione trovata su un forum:

E di seguito la versione "foto" su Facebook:

E quella come status sempre su Facebook:

Al momento della stesura del post non esiste alcun attacco via e-mail che ha come oggetto "Aggiornamento Windows Live" e allegato con virus. Tantomeno su Facebook, dato che non è possibile inviare via posta file in formato .ZIP o .EXE, sebbene il social network abbia recentemente stipulato un accordo con Dropbox che permetterà agli utenti di condividere file nei gruppi archiviati sul sito di storage online.

Il post bufala è ispirato ad uno che gira da molti anni, denominato il virus della torcia olimpica che brucia l'hard disk, aggiornato all'occorrenza presumiamo per due motivi: primo perchè ormai dovrebbero essere in molti a conoscenza della bufala ed in ogni caso è semplice trovarne traccia sul Web; secondo perchè sfrutta l'avviso originale che Microsoft ha spedito ai suoi utenti nelle scorse settimane e che ha come oggetto l'aggiornamento delle sue Policy.

Per non avere scadenza, nel post bufala si legge testualmente: "Il virus è stato scoperto ieri pomeriggio da McAfee". Ieri quando? Anche Wikipedia parla della bufala e delle varie ri-edizioni che si sono succedute. Il settore 0 dell'hard disk si chiama MBR (Master Boot Record) e contiene un insieme di dati importanti per l'avvio del sistema operativo installato sul PC.

Un malware, come nel caso di Shamoon, può modificarlo con conseguenze più o meno gravi, tra cui l'impossibilità di accedere ai filesystem, ma non lo distrugge fisicamente. In realtà, esiste un virus circolante proveniente da falso mittente Microsoft, con il vecchio logo dell'azienda, ma pochi ne hanno dato notizia o importanza all'avviso, al contrario dal corrente post bufala che non è supportato da alcuna nozione tecnica.

In ogni caso, il trojan in circolazione (per il quale è già stata rilasciata la firma virale) apre una backdoor nel sistema, ma non effettua alcuna azione sull'MBR, come invece accade con l'arcinoto virus delle forze dell'ordine e della SIAE, che blocca il PC. Noi di Protezione Account avevamo informato gli utenti per tempo dell'aggiornamento Microsoft in questo post su Facebook, certi che qualcuno avrebbe messo in giro una bufala ad hoc. Quando vi imbattete in post, messaggi o status bufala simili a questo, bloccate la catena e avvisate gli amici.

Se condividete farete il gioco di coloro che lo hanno messo in giro per aumentare Like e condivisioni (e dunque fan). Ogni post dev'essere supportato da riferimenti e corredato da nozioni tecniche che spiegano chiaramente il metodo di propagazione e le eventuali conseguenze. Ovviamente, a pochi interessa lo sviluppo di tre nuovi malware legati al famoso Flame, uno dei quali al momento risulta sconosciuto e per il quale, come conseguenza, non sono state ancora emesse le firme virali da parte dei fornitori di antivirus.

Wiper, virus dal comportamento distruttivo analizzato da Kaspersky Lab

Durante lo scorso aprile 2012, sono stati registrati una serie di incidenti riconducibili ad un programma malware, nome in codice Wiper, che attaccava i computer situati in alcuni stabilimenti petroliferi dell’Asia occidentale. Nel maggio 2012, i ricercatori di Kaspersky Lab hanno condotto una ricerca in collaborazione con International Telecommunication Union, per effettuare ulteriori indagini sugli incidenti e stabilire il potenziale di pericolosità del nuovo malware.

Oggi gli esperti di Kaspersky Lab hanno pubblicato una ricerca realizzata sulla base dell’analisi digitale delle immagini degli hard disk estratte dai computer attaccati da Wiper. Questa ricerca fornisce un’analisi dell’efficace metodo distruttivo di Wiper, compreso il singolare modello di cancellazione dei dati e il comportamento distruttivo.

Nonostante con la ricerca di Wiper sia stato involontariamente scoperto Flame, Wiper in sé non è mai stato scoperto durante le ricerche e rimane non identificato. Nel frattempo, il comportamento distruttivo di Wiper può avere incoraggiato gli altri a creare altri malware altamente nocivi quali Shamoon, rilevato nel corso del mese di agosto 2012.

Informazioni file Wiper (Virus Total)

SHA256: 4f02a9fcd2deb3936ede8ff009bd08662bdb1f365c0f4a78b3757a98c2f40400

SHA1: 7c0dc6a8f4d2d762a07a523f19b7acd2258f7ecc

MD5: b14299fd4d1cbfb4cc7486d978398214

File size: 966.0 KB (989184 bytes)

File name: file

File type: Win32 EXE

Tags: peexe

Detection ratio: 38 / 42

Analysis date: 2012-08-28 10:55:08 UTC (1 settimana, 2 giorni fa)

Risultati della ricerca:

• Kaspersky Lab conferma che Wiper è stato responsabile degli attacchi lanciati contro computer situati nell’Asia occidentale tra il 21 e il 30 aprile 2012.
• L’analisi delle immagini degli hard disk dei computer che sono stati distrutti da Wiper hanno rivelato una speciale modalità di cancellazione dei dati associata ad una determinata denominazione della componenete malware, che iniziava con ~D. Questi risultati ricordano Duqu e Stuxnet, che utilizzavano appunto nomi di file che iniziavano con ~D e che erano entrambi stati costruiti sulla stessa piattaforma di attacco, conosciuta con il nome di Tilded.
• Kaspersky Lab ha iniziato la ricerca di altri file che iniziavano con ~D attraverso Kaspersky Security Network (KSN), per cercare di individuare altri file Wiper sfruttando la connessione con la piattaforma Tilded.
• Durante questo processo, Kaspersky Lab ha identificato un numero considerevole di file nell’Asia occidentale denominati ~DEB93D.tmp. Una ulteriore analisi ha mostrato che questi file erano parte di una diversa tipologia di malware: Flame. Questa è la modalità con cui Kaspersky Lab ha scoperto Flame.
• Nonostante Flame sia stato scoperto durante la ricerca di Wiper, i ricercatori di Kaspersky Lab sono convinti che Wiper e Flame siano due programmi malware distinti e separati.
• Nonostante Kaspersky Lab abbia analizzato le tracce dell’infezione Wiper, il malware è ancora sconosciuto perchè non ci sono stati ulteriori incidenti che hanno seguito lo stesso modello e quindi non c’è stata nessuna individuazione del malware da parte della protezione proattiva di Kaspersky Lab.
• Wiper è stato molto efficace e può avere portato alla creazione di “nuove varianti” come Shamoon.

Analisi dei computer attaccati da Wiper

L’analisi di Kaspersky Lab delle immagini degli hard disk prese dalle macchine distrutte da Wiper ha dimostrato che il programma nocivo cancellava gli hard disk dei computer e distruggeva tutti i dati che potevano essere utilizzati per identificare il malware. Il file system danneggiato da Wiper impediva il rebooting del computer e causava problemi di funzionamento.

Quindi, in ogni singola macchina analizzata, non rimaneva nulla dopo l’attivazione di Wiper e non era quindi possibile ripristinare il sistema o recuperare i dati. I ricercatori di Kaspersky Lab hanno comunque ottenuto alcuni dati interessanti, come la metodologia di cancellazione utilizzata dal malware, la nomenclatura e, in alcuni casi, le chiavi di registro che rivelavano i precedenti nomi dei file che erano stati cancellati dall’hard disk. Queste chiavi di registro mostravano tutte un nome del file che iniziava con ~D.

Metodologia di cancellazione unica

L’analisi della metodologia di cancellazione svelava un metodo utilizzato su ogni computer infettato da Wiper. L’algoritmo di Wiper è stato realizzato per distruggere velocemente quanti più file possibile, fino a molti gigabytes contemporaneamente. Circa tre delle quattro macchine hanno avuto i dati completamente cancellati.

Nel corso dell’operazione veniva cancellata la prima metà dell’hard disk e poi sistematicamente venivano cancellati i rimanenti dati che consentivano all’hard disk di funzionare correttamente, quindi il sistema andava in crash. Inoltre, siamo a conoscenza di attacchi Wiper che avevano come obiettivo file PNF e questo non avrebbe senso se non fosse direttamente correlato con la rimozione di ulteriori componenti malware. Questo è stato un risultato molto interessante, dal momento che Duqu e Stuxnet hanno mantenuto il proprio codice principale criptato nei file PNF.

Come la ricerca di Wiper ha portato alla scoperta di Flame

I file temporanei (TMP) che iniziavano con ~D, erano utilizzati anche da Duqu che era stato costruito sulla stessa piattaforma di attacco di Stuxnet, Tilded. Sulla base di questo indizio, il team di ricercatori ha iniziato a cercare altri potenziali file name sconosciuti collegati a Wiper e basati sulla piattaforma Tilded attraverso KSN, l’infrastruttura cloud utilizzata dai prodotti Kaspersky Lab per riportare dati di telemetria e garantire protezione immediata sotto forma di black list e regole euristiche che intercettano ogni nuova minaccia.

Durante questo procedimento, i ricercatori di Kaspersky Lab hanno individuato molti computer nell’Asia occidentale che contenevano il file name “~DEB93D.tmp”. Questa è la modalità con cui Kaspersky Lab ha scoperto Flame; nonostante ciò, Wiper non è stato individuato utilizzando questa metodologia e rimane tuttora non identificato.

Alexander Gostev, Chief Security Expert di Kaspersky Lab, ha dichiarato: “Sulla base delle nostre analisi sui modelli di Wiper rimasti sulle immagini degli hard disk esaminati, non c’è alcun dubbio che il malware è esistito e che sia stato utilizzato per attaccare i computer nell’Asia occidentale nell’aprile del 2012 e forse anche prima, nel dicembre 2011. Nonostante Flame sia stato scoperto durante la ricerca di Wiper, siamo convinti che Wiper sia un malware diverso da Flame”.

“Il comportamento distruttivo di Wiper combinato con i file name che sono stati lasciati sui sistemi attaccati da Wiper ricordano molto il programma utilizzato dalla piattaforma Tilded. L’architettura modulare di Flame era completamente differente ed è stata realizzata per eseguire una campagna di cyber spionaggio. Non abbiamo inoltre identificato nessun comportamento distruttivo durante l’analisi di Flame”. Per ulteriori informazioni consultare Securelist.com.

Ransomware rendono inaccessibili i dati sull’hard disk sovrascivendo MBR

Kaspersky Lab mette in guardia gli utenti circa due programmi ransomware altamente pericolosi che spazzano nuovamente via Internet. Si tratta di malware che potrebbero crittografare i file contenuti nei PC connessi al web. In questo modo gli utenti si ritrovano con file illeggibili, decriptabili solo accettando di pagare un riscatto oppure attuando una serie d'azioni, come installare altri malware.

Sono arrivate diverse segnalazioni riguardo alcune ondate di ransomware che sembrano aver preso di mira i sistemi Windows. Uno dei programmi maligni è una nuova variante del famigerato Trojan GpCode. Esso si rivolge a file con una vasta gamma di estensioni, tra cui doc, docx, txt, pdf, xls, jpg, mp3, zip, avi, mdb, rar, e PSD, e crittografa senza l'autorizzazione dell'utente. Il Trojan-Ransom.Win32.GpCode.ax si diffonde attraverso i siti infetti, sfrutta le vulnerabilità in Adobe Reader, Java, Quicktime Player o Adobe Flash.

A differenza delle versioni precedenti di GpCode che risalgono al 2004, questo Trojan non elimina i file dopo la crittografia, ma invece sovrascrive i dati nel file rendendo impossibile l'uso di software di recupero dati per ripristinare i dati eliminati. Il programma utilizza i potenti cripto-algoritmi RSA-1024 e AES-256. Gli esperti di Kaspersky Lab stanno analizzando attentamente la nuova versione di GpCode e stanno indagando sui modi possibili per ripristinare i dati sulle macchine colpite.

Il secondo programma ransomware, rilevato da Kaspersky Lab all'inizio di questa settimana, è un Trojan che infetta il Master Boot Record (MBR) di un computer compromesso. Due firme sono state aggiunte ai database antivirus della società di sicurezza Kaspersky Lab: il Trojan-Ransom.Win32.Seftad.a e il Trojan-Ransom.Boot.Seftad.a per i casi in cui il Master Boot Record è infetto. Dopo l'infezione, il programma maligno sovrascrive il settore di boot prima di pretendere che il proprietario del computer effettui un pagamento per una password che ripristinerà l'MBR.

A questo punto, quando si accende il computer, viene visualizzata una schermata che avvisa l’utente che il PC è stato bloccato e i dati contenuti sui dischi rigidi sono stati criptati: per poter risolvere il problema l'utente deve digitare una password che può ottenere soltanto visitando un sito Web, dove i cyber-criminali gli richiederanno un riscatto da 100 $. Per gli utenti infettati da Seftad.a si sono registrate richieste di pagamenti con cifre che arrivano fino a 1.000 dollari.

In realtà i dati sugli hard disk non sono stati crittografati e possono essere recuperati collegando il disco rigido ad un altro PC oppure utilizzando un Live CD per accedere a file e cartelle memorizzati su di esso. Il computer, dopo tre tentativi d’inserimento della password non andati a buon fine, si riavvia e il messaggio ricompare nuovamente sullo schermo. La soluzione, come suggerisce Kaspersky Lab, è evitare assolutamente di visitare il sito Web e per ripristinare l’MBR originale, basta digitare la parola chiave “aaaaaaciip”.

Kaspersky fa sapere anche di avere individuato una nuova versione di Seftad.a, per la quale è necessario utilizzare la password “aaaaadabia” per poter ripristinare l’MBR. Entrambe le parole chiave digitate senza le virgolette. Se la password non funziona Kaspersky suggerisce di utilizzare il tool Kaspersky Rescue Disk 10. Gli utenti dei prodotti Kaspersky Lab con i database antivirus aggiornati sono protetti da questi due Trojan ransomware. L'azienda raccomanda inoltre agli utenti di aggiornare regolarmente tutto il software installato sul proprio computer, per chiudere eventuali vulnerabilità.

Zimuse, il virus che danneggia il master boot record su sistemi Windows

Zimuse è un malware estremamente pericoloso. A differenza degli altri worm, Win32.Worm.Zimuse può creare gravi perdite di dati sovrascrivendo i primi 50KB del Master Boot Record (MBR), una zona chiave dell’hard disk drive. Concepito inizialmente come scherzo verso una comunità di bikers slovacchi ma che ben presto ha varcato i confini diventando un problema a livello internazionale. 

Si tratta di un malware che  sovrascrivendo l’MBR, impedisce l’avvio di Windows. Il recupero dei dati corrotti risulta inoltre molto complicato e richiede l’utilizzo di software specializzato. Esistono due varianti del worm: la Win32/Zimuse.A e la Win32/Zimuse.B. Inizialmente concentrata al 90% in Slovacchia, l’infezione si è diffusa rapidamente negli Stati Uniti, Thailandia, Spagna e ora anche in Italia, Repubblica Ceca e in minor parte in altri stati europei. 

Il worm utilizza due metodi differenti per diffondersi, attraverso l’integrazione all’interno di siti Web sotto forma di ZIP autoestraente o test del quoziente intellettivo oppure attraverso lo scambio di drive USB. Le due varianti si comportano in modo differente anche per quanto riguarda i tempi di diffusione e di attivazione. La variante A impiega 10 giorni per iniziare a diffondersi via USB mentre la variante B necessita solamente di 7 giorni. Quest’ultima inoltre riduce da 40 a 20 i giorni necessari per attivare la routine distruttiva. Per potersi eseguire ad ogni avvio di Windows, il worm imposta la seguente chiave di registro:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]“Dump”=”%programfiles%\Dump\Dump.exe

Crea anche due file driver, chiamati:
%system%\drivers\Mstart.sys and %system%\drivers\Mseu.sys

Nelle versioni a 64-bit di Windows Vista e Windows 7 è richiesta la firma digitale dei driver, pertanto in tali sistemi il worm non può installare questi file driver. Windows 7 e Windows Vista a 64 Bit sono di conseguenza sistemi operativi sicuri. Sfortunatamente, sembra che questo worm non permetta all’utente di rendersi conto che il sistema è sotto attacco. 

Dopo un preciso lasso di tempo l’utente del PC riceve un messaggio d’errore che afferma che un problema è stato riscontrato a causa di un contentuto di un pacchetto IP ricevuto da un particolare sito web, dopodiché all’utente viene chiesto di premere OK per risolvere il problema e ripristinare il sistema. Dopo il conseguente riavvio del PC il master boot record del disco viene compromesso e il disco della macchina viene guastato. 

Il fatto che intercorrano molti giorni dal momento dell’infezione al momento in cui il virus viene attivato rende molto difficile la sua individuazione. BitDefender ha messo a disposizione uno strumento per la rimozione del virus. Per coloro che non sono sicuri di essere stati infetti dal virus, è possibile eseguire in 30 secondi un controllo con Zimuse QuickScan di BitDefender. Se il Master Boot Record viene sovrascritto, non è più possibile avviare il sistema operativo. È possibile tuttavia un ripristino tramite un CD di avvio di Windows. Fonti: One It Security | Italia Sw