L’Agenzia dei trasporti municipali di San Francisco non è stata semplicemente hackerata. È stato trattenuto per un riscatto.
A novembre, gli aggressori hanno preso il controllo di una parte della rete dell’agenzia. Entro il Giorno del Ringraziamento, i chioschi di biglietteria sulla metropolitana leggera si oscurarono. Le schermate dell’agenzia non mostravano codici di errore o avvisi di manutenzione. Hanno visualizzato un messaggio agghiacciante: “Hai violato, TUTTI i dati crittografati. Contatto per chiave ([email protected]) ID: 681, Invio.”
La richiesta era elevata. 100 bitcoin. All’epoca circa 73.000 dollari. Scadenza? Martedì.
Sembra il titolo di un romanzo distopico. Tuttavia, la cosa più sorprendente della violazione della SFMTA non è il caos. È quanto sembra inevitabile. Trattiamo questi incidenti come anomalie. Non lo sono. Sono la nuova base di riferimento per la sicurezza digitale.
Зміст
L’economia del ransomware
Il ransomware è passato dall’essere un fastidio all’essere un flusso di entrate primario per i criminali informatici. Andrew Howard, CTO di Kudelski Security, lo spiega senza mezzi termini: gli aggressori hanno promosso questa tecnica da una delle tante opzioni a uno degli strumenti più efficaci a loro disposizione.
Perché lo spostamento?
Esistono ancora altri malware. Troiani. Spyware. Ma non hanno il ritorno finanziario diretto. Il ransomware cambia le regole del gioco rimuovendo gli intermediari.
Joe Opacki, vicepresidente della ricerca sulle minacce presso PhishLabs, ne sottolinea la semplicità. “Invece di dover rubare dati e venderli o affittare botnet… il ransomware offre il pagamento diretto.”
Infettare la macchina. Blocca i file. Chiedere contanti. Nessun riciclaggio di dati. Nessun commerciante del mercato nero. Solo una transazione diretta, solitamente in Bitcoin o MoneyPak, che sono più difficili da tracciare rispetto alla valuta fisica.
Il volume è sconcertante. La Homeland Security degli Stati Uniti ha stimato una media di 4.000 attacchi ransomware al giorno nel 2016. Si tratta di un aumento del 300% rispetto all’anno precedente.
Chi paga?
Potresti pensare che le aziende siano l’obiettivo principale. Sono. Ma gli utenti domestici sono colpiti in modo sproporzionato.
Uno studio del 2016 condotto da Kaspersky Labs ha rilevato che dei 2,3 milioni di utenti che si sono imbattuti in ransomware tra aprile 2015 e marzo 2016, quasi l’87% era a casa. I riscatti? Spesso solo poche centinaia di dollari.
I proventi totali solo per i primi tre mesi del 2016 sono stati stimati in 209 milioni di dollari. Non sappiamo esattamente quante persone hanno pagato. Ma quando il costo del ripristino è pari a zero se si paga, ed elevato in caso contrario, i conti funzionano per l’aggressore.
Su scala più ampia, l’impatto è fisico. Nel febbraio 2016, l’Hollywood Presbyterian Medical Center di Los Angeles ha resistito per quasi due settimane prima di pagare 40 bitcoin (circa 17.000 dollari) per sbloccare i suoi sistemi.
Non hanno perso le cartelle cliniche dei pazienti. Gli hacker non vi hanno mai avuto accesso. Ma il personale è stato costretto a compilare moduli e aggiornare i registri con carta e matita per 13 giorni. Le cure rallentarono. La confusione cresceva. L’ospedale ha pagato per tornare alla normalità.
Perché le difese falliscono
Nolen Scaife, dottorando presso l’Università della Florida, descrive il ransomware come un “avversario difficile”.
Difendersi da esso è difficile. Ogni attacco varia leggermente. Sembra una normale attività di amministrazione del sistema finché non è troppo tardi. La crittografia avviene velocemente.
Il team di Scaife ha sviluppato CryptoDrop, un programma di rilevamento progettato per individuare il processo di crittografia e fermarlo. L’obiettivo è semplice: meno dati vengono crittografati dal malware, più velocemente sarà possibile ripristinarli da un backup.
Ma invertire la crittografia? Questo è quasi impossibile con le criptovalute moderne.
“L’affidabilità di una buona crittografia eseguita correttamente e l’ascesa delle criptovalute hanno creato una tempesta perfetta per i ransomware”, scrive Scaife. Se il ransomware è ben progettato e non disponi di backup, spesso il pagamento è l’unico modo per recuperare i tuoi file.
Questo non è un concetto nuovo. Il trojan AIDS del 1989 utilizzava floppy disk infetti spediti tramite posta ordinaria. Ha crittografato la directory principale di un PC. È stato sconfitto rapidamente. Ma decenni di perfezionamento hanno reso i meccanismi di consegna invisibili e la crittografia indistruttibile.
La vittima perfetta
Gli ospedali sono obiettivi ideali. Jérôme Segura, un esperto di sicurezza, ha dichiarato a CBC News che i loro sistemi sono spesso obsoleti, contengono dati riservati e non possono permettersi tempi di inattività. Se i file dei pazienti si bloccano, non possono semplicemente ignorarlo.
Le forze dell’ordine non sono più sicure. Nel 2015, cinque dipartimenti di polizia del Maine sono rimasti vittime di ransomware. Almeno uno eseguiva DOS, un sistema operativo obsoleto.
I dipartimenti di polizia sono obiettivi popolari. E pagano.
Un capo della polizia del New Hampshire ha avuto un momento brillante. Ha pagato il riscatto, ha preso la chiave e ha annullato il pagamento. Quando il suo dipartimento fu nuovamente colpito due giorni dopo, non tentò il trucco. Ha appena sborsato più di 500 dollari.
L’ironia non sfugge a nessuno. Le istituzioni incaricate di far rispettare le leggi stanno esternalizzando la loro sicurezza ai criminali.
Ci rimane un sistema in cui la crittografia viene utilizzata come arma contro coloro che ne hanno più bisogno. L’hacking della SFMTA non era un’anomalia. Era un’anteprima. E stiamo ancora aspettando che il resto del Paese si metta al passo.
L’elemento umano è l’anello più debole
All’inizio del 2016, il costo finanziario del ransomware stava già aumentando. Un distretto scolastico della Carolina del Sud ha emesso un assegno da 8.500 dollari a febbraio. L’Università di Calgary ha stanziato 16.000 dollari a giugno, citando la necessità di proteggere la ricerca di livello mondiale archiviata sulle proprie reti. A novembre, poche settimane prima dell’hacking della San Francisco Municipal Transportation Agency (SFMTA), una contea dell’Indiana ha pagato 21.000 dollari per sbloccare i sistemi per la polizia e i vigili del fuoco.
L’incidente della SFMTA sembrava diverso. I rapporti suggeriscono che il ransomware è stato lanciato dall’interno. Secondo il ricercatore Opacki l’aggressore ha sfruttato una nota vulnerabilità nel software WebLogic di Oracle. Probabilmente stavano scansionando Internet alla ricerca di questo difetto specifico e si sono imbattuti per caso nel sistema SFMTA.
Ma la maggior parte degli attacchi non si basa su bug del software. La vulnerabilità è solitamente nelle persone.
Opacki sottolinea che sopravvalutiamo costantemente la nostra capacità di individuare una truffa di phishing. Uno studio del 2016 ha mostrato che il 30% delle persone apre e-mail di phishing, mentre il 13% fa clic sul collegamento o sull’allegato dannoso. Molti credono ancora che le e-mail di phishing siano spam mal progettate e con un inglese stentato. Si innamorano dei fogli di calcolo delle “paghe dei dipendenti” inviati dal presunto personale delle risorse umane. Il phishing si è evoluto oltre i principi nigeriani. Le e-mail sono ora personalizzate, utilizzando dettagli reali raccolti dai social media.
Andrew Howard del Kudelski Group afferma che anche nelle organizzazioni altamente attente alla sicurezza, dal 3% al 5% dei dipendenti cade vittima di truffe mal costruite. Negli ambienti meno protetti, il tasso di guasto è molto più elevato.
“È piuttosto scoraggiante”, ammette.
Hacking per idioti
L’aumento dei ransomware non è solo una questione di creduloneria o di malware sofisticati. Si tratta di facilità. Gestire una truffa ransomware è complesso quanto aggredire qualcuno per strada, ma comporta molti meno rischi.
Nolen Scaife sostiene che gli hacker non hanno bisogno di grandi abilità. Il software non è sofisticato. È veloce da creare e distribuire. Ancora più importante, gli hacker non hanno bisogno di costruirlo da soli. Lo comprano sul dark web.
I mercati del malware vendono innumerevoli varianti. Questi spesso si presentano come app all-in-one. I venditori forniscono servizio clienti e supporto tecnico per aiutare gli operatori inesperti a gestire le truffe senza intoppi. Dan Turkel di Business Insider evidenzia questo sistema di supporto. Alcuni prodotti offrono anche garanzie di rimborso. Molti includono servizi di chiamata o di posta elettronica per guidare le vittime attraverso i pagamenti. Almeno una famiglia di ransomware offre un servizio clienti tramite chat dal vivo.
Gli sviluppatori utilizzano persino i distributori per vendere i loro prodotti. Il mercato è robusto.
Ciò non è di buon auspicio per chiunque gestisca la truffa. Gli esperti di sicurezza informatica concordano su una soluzione: eseguire il backup dei dati. Senza backup, pagare il riscatto potrebbe essere l’unico modo per recuperare i tuoi file.
Anche in questo caso, potresti non recuperare i tuoi dati. Uno studio di Trend Micro ha rilevato che il 20% delle aziende britanniche che hanno pagato un riscatto nel 2016 non hanno mai ricevuto una chiave di decrittazione.
SFMTA non ha pagato. Un portavoce ha detto a Fortune che l’agenzia non l’ha mai presa in considerazione. I sistemi sono stati ripristinati dai backup. La maggior parte è tornata online entro due giorni. In quel periodo i San Franciscani percorrevano gratuitamente la metropolitana leggera.
Due giorni dopo, gli hacker hanno violato l’account di posta elettronica dell’hacker della metropolitana leggera. Ciò ha rivelato pagamenti di ransomware stimati in 100.000 dollari da agosto.
Ora è conveniente
Alcuni hacker ransomware accettano carte regalo Amazon.
