Documenti dannosi Office: Microsoft prova a bloccare i malware con una nuova funzione

giovedì 25 giugno 2020

I documenti Office, ne abbiamo parlato spesso, sono tra i principali vettori di malware utilizzati dai cyber attaccanti. Da oltre venti anni, da quando cioè esiste Office, l'abitudine di nascondere malware nei documenti, sopratutto via macro, è solo cresciuta: d'altronde, nascondere i malware in questi documenti e inviarli tramite email dal contenuto ingannevole che inviti l'utente ad aprirli, resta uno dei mezzi più efficaci per i cyber attaccanti.

Per approfondire > Attacchi basati sulle macro di Office: come funzionano? Breve vademecum

Microsoft ha provato spesso a mitigare il problema in vari modi: una delle più note, ad esempio, è la Visualizzazione Protetta (o Sola lettura). Molti vi sono incappati e l'hanno trovata probabilmente fastidiosa, perchè i file così aperti non sono modificabili: in realtà questa modalità serve a proteggere la sicurezza degli utenti quando un file Office viene trasmesso e scaricato via email. Questa modalità si attiva per impedire l'abilitazione di contenuti, ad esempio le macro che sono nei fatti il veicolo, nella stragrande maggioranza dei casi, del malware stesso: con questa modalità le macro ad esempio non vengono attivate a meno che l'utente non dia indicazione contraria.

Indubbiamente questa, come altre funzionalità di protezione, hanno in parte ridotto il problema, ma gli attaccanti hanno aggirato le nuove difese, producendo tipologie diverse di malware ma, sopratutto, affinando le tecniche di ingegneria sociale per "coinvolgere" la vittima nella truffa convincendola ad abilitare volontariamente i contenuti e le macro.

Microsoft adesso ci riprova, introducendo una nuova funzione nel pacchetto Office 365. La funzione si chiama Documenti Attendibili (o Safe Documents nella versione inglese) e introduce un alto livello di controllo sulla procedura di apertura di file che hanno provenienza sospetta o difficilmente verificabile. Resta valida la protezione offerta dalla Visualizzazione protetta, che impedisce l'attivazione di exploit presenti nel documento, ma si aggiunge un nuovo passaggio: il file sospetto infatti non viene solo aperto in visualizzazione protetta, ma viene anche inviato al software di protezione Microsoft Defender Advanced Threat Protection (ATP), che procede a verificarne la pericolosità.

In dettaglio, ogni volta che si scarica un file dalla rete indipendentemente dalla fonte (app di messaggistica, browser, email ecc..) Windows aggiunge un attributo chiamato Zone.Identifier col quale indica esplicitamente l'origine di ciascun contenuto. Così, al momento in cui l'utente apre il file con la Suite Office, viene immediatamente avvisato dei rischi che potrebbe correre aprendo il documento. La verifica per "piazzare" gli attributi avviene prima che l'utente possa abbandonare la Visualizzazione protetta senza aver valutato se il documento sia o meno sicuro.

Il Microsoft Defender Advanced Threat Protection (ATP), che si occuperà di analizzare il file, è una piattaforma di sicurezza Microsoft che esegue analisi in cloud. La funzione Documenti Attendibili aumenta quindi il livello dei controlli prima dell'apertura di un documento: assieme alla protezione di un solido software antivirus con protezione email e sistema di individuazione comportamentale può offrire una protezione quasi impenetrabile.

Gli operatori dei ransomware si nascondono nella tua rete dopo l'attacco (e ci restano)

lunedì 22 giugno 2020

Quando un'azienda subisce un attacco ransomware, molte vittime pensano che l'attaccante voglia soltanto distribuire più velocemente possibile il ransomware e andarsene subito dopo per ridurre il rischio di essere scoperto. Sfortunatamente la realtà è molto diversa anzi: gli attori dietro i ransomware non sono ben disposti a rinunciare velocemente ad una risorsa per prendere il controllo della quale hanno dovuto "lavorare duramente". Gli attacchi ransomware sono, al contrario, tutt'altro che veloci: vengono preparati e condotti col tempo. Possono passare anche giorni o mesi dal momento in cui l'attaccante viola la rete a quando distribuisce il ransomware.

L'irruzione nella rete è il preludio di ogni attacco ransomware e può avvenire tramite servizi di desktop remoto esposti, vulnerabilità nei software (in particolare in questo periodo sono sotto attacco i software VPN) oppure sfruttando backdoor e accessi remoti lasciati da infezioni precedenti. Quest'ultimo caso merita due parole in più: vi sono dei malware che, una volta espletate le proprie funzioni (furto informazioni, credenziali ecc..) lasciano sulle macchine infette un accesso, molto spesso una backdoor: questi accessi, spesso non individuati per anni, restano nella rete e possono essere riutilizzati in qualsiasi momento. TrickBot, Dridex, QakBot sono tre esempi di malware che lasciano backdoor sulle macchine infette e le offrono ad altri malware (spesso dietro pagamento "del servizio").

Una volta ottenuto l'accesso sulla rete, gli attaccanti hanno a disposizione moltissimi tool per ottenere le credenziali di login e diffondersi lateralmente lungo la rete: i più popolari sono Mimikatz, PowerShell Empire e PSExec. A questo punto gli attaccanti, se le credenziali sono individuate, hanno accesso alla risorse di rete e possono mettere le mani sui file non criptati nei dispositivi di backup e nei server prima e dopo la distribuzione dell'attacco ransomware.

Qui si crea l'equivoco dovuto alla convinzione errata che gli attaccanti semplicemente scompaiano dopo l'attacco: mentre le vittime si occupano di trovare un sistema di ripristinare i file, non si occupano di verificare che effettivamente nessun terzo non autorizzato non abbia accesso alla rete. Insomma, cercano un modo per riportare in chiaro i file ma non verificano la presenza di eventuali backdoor, non modificano le credenziali di accesso, lasciano aperte le medesime porte dai quali gli attaccanti possono rientrare.

Un esempio pratico: Maze ruba i file dopo l'attacco ransomware
Maze non ha bisogno di presentazioni, ne abbiamo parlato molto (per chi volesse, qui una raccolta di articoli). Qualche giorni fa i suoi operatori hanno rivelato sul loro sito dedicato ai data leak di aver violato la rete di una filiate di ST Engineering, una importante multinazionale del settore ingegneristico e spaziale con sede a Singapore.

Tra i dati pubblicati, chissà se con voluta ironia, gli attaccanti hanno inserito i report del dipartimento IT dell'azienda conseguente all'attacco ransomware.

Fonte: bleepingcomputer.com

Parliamo quindi di un documento prodotto DOPO l'attacco ransomware, che dimostra alle vittime come gli attaccanti siano ancora attivi e presenti sulla rete, riuscendo a continuare a rubare documenti anche ad indagini in corso.

Questo è un esempio come tanti, non una novità: sono centinaia i casi raccolti da ricercatori di sicurezza in cui gli attori dei ransomware hanno dimostrato alle vittime di poter leggere ancora le email, oppure casi in cui hanno deciso di criptare il backup della vittima dopo l'attacco iniziale o con negoziati ancora in corso.

L'esperto risponde:
Alessandro Papini, esperto di cyber sicurezza e ransomware, fornisce alcuni consigli utili per affrontare i momenti conseguenti ad un attacco ransomware, oltre al mero tentativo di recupero file:

"Una volta individuato un attacco ransomware, la prima operazione da compiere dovrebbe essere quella di mettere in down la rete e tutti i computer che sono in esecuzione su essa. Questa azione è fondamentale per impedire la criptazione di ulteriori file e per negare agli attaccanti l'accesso alla rete. Dopo, deve intervenire un'azienda specializzata, così che possa effettuare una approfondita analisi di tutti i dispositivi interni e di quelli disponibili al pubblico. Le verifiche devono cercare infezioni persistenti, vulnerabilità, password deboli e qualsiasi tool dannoso possa essere stato lasciato dai cyber attaccanti col loro passaggio. Con l'accesso alla rete infatti, gli attaccanti possono disattivare velocemente le difese e distribuire ransomware o altri malware. In questi casi, il team che deve occuparsi dell' Incident Response deve lavorare tenendo a mente, vero o meno che sia, che gli attaccanti siano ancora dentro la rete. La conseguenza? Salvare nella rete, come fatto nel caso di ST Engineering, i report che contengono l'analisi dello stato della rete e le soluzioni al problema è un vero e proprio autogol: gli attaccanti possono immediatamente prendere contromisure per cercare di salvaguardare la propria presenza nella rete.

Oltre a queste analisi è utile verificare l'eventuale compromissione di tutti gli account con privilegi di amministrazione: modificarne le password è già un primo passaggio utile.

Durante l'indagine forense è utile disporre di una soluzione di business continuity (da implementare ovviamente prima dell'attacco, come misura preventiva) che consenta un canale di comunicazione e di storage separato e sicuro. Tutte queste mosse possono essere utili anche durante i negoziati con gli attaccanti, permettendo di ribilanciare il rapporto di forza vittima - attaccante".

Il 10 giugno 2020 sono stato ricoverato d’urgenza all’Humanitas di Rozzano, le mia situazione respiratoria era compromessa per un tracheotomia prolungata dovuta al corona virus, tutti i tentativi precedenti in broncoscopia e cure di cortisone eseguite in altri ospedali con tutto l’impegno dei medici, non sono andati a buon fine, l’unica soluzione era un intervento alla trachea, rimuovendo i due anelli tracheali compromessi dalla stenosi.
L’intervento eseguito il giorno 11 è durato qualche ora, seguito da altri 5 gironi sempre nel reparto di terapia intensiva con il collo e testa fermi, dopo di che, qualche giorno in reparto normale, con esercizi per riprendere le funzionalità del collo. Il 19 giugno sono stato dimesso.
Ringrazio in modo particolare il dottor Umberto Cariboni (https://www.humanitas.it/medici/umberto-cariboni), capo sezione delle chirurgia toracica avanzata di Humanitas, che ha condotto l’intervento che mi ha permesso di tornare a respirare e mi ha seguito per tutta la mia degenza ospedaliera, mostrando professionalità e disponibilità ammirevoli.