Continua l’allerta per l’attacco a livello globale compiuto attraverso il ransomware noto con i nomi WCry, WannaCry e WanaCrypt0rLa campagna di infezione WannaCry ha contaminato diverse centinaia di migliaia di sistemi Microsoft Windows in tutto il mondo. In Italia, secondo il Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche (CNAIPIC) della Polizia Postale, al momento non si evidenziano ancora danni rilevanti alle infrastrutture critiche:body[data-twttr-rendered=”true”] background-color: transparent;.twitter-tweet margin: auto !important;Continua monitoraggio #poliziapostale per contrasto virus #wannacry al momento non si evidenziano danni a sistema infrastrutture in Italia — @poliziadistatofunction notifyResize(height) height = height ? height : document.documentElement.offsetHeight; var resized = false; if (window.donkey && donkey.resize) donkey.resize(height); resized = true;if (parent && parent._resizeIframe) var obj = iframe: window.frameElement, height: height; parent._resizeIframe(obj); resized = true;}if (window.webkit && window.webkit.messageHandlers && window.webkit.messageHandlers.resize) window.webkit.messageHandlers.resize.postMessage(height); resized = true;return resized;}twttr.events.bind(‘rendered’, function (event) notifyResize();); twttr.events.bind(‘resize’, function (event) notifyResize(););if (parent && parent._resizeIframe) var maxWidth = parseInt(window.frameElement.getAttribute(“width”)); if ( 500 < maxWidth) window.frameElement.setAttribute(“width”, “500”);}Come lavora WannaCryIl malware, una volta infettata una macchina, provvede attraverso il protocollo SMB alla scansione della rete locale alla ricerca di altre postazioni affette dalla medesima vulnerabilità. Individuata una postazione vulnerabile, viene eseguito l’exploit per ottenere l’accesso al sistema e successivamente vengono cifrati i file in esso contenuti, rinominandoli con estensione “.WCRY”. Per recuperare i dati viene chiesto un riscatto iniziale equivalente a $300 in bitcoin, prezzo che poi sale progressivamente con il passare del tempo.Il Kill-Switch che ha mitigato la propagazioneLa propagazione è stata temporaneamente sospesa grazie ad un giovane ricercatore britannico che sul sito MalwareTech ha pubblicato l’artificio — individuato nel codice del malware (kill-switch) — attraverso il quale ha messo fuori uso la componente worm di questa prima variante di WannaCry. Questo è avvenuto semplicemente registrando il nome a dominio iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea.com la cui raggiungibilità viene verificata da WannaCry prima della sua esecuzione.Qualora il dominio risulti raggiungibile, questa prima versione di WannaCry non tiene conto della sua componente worm, saltando di fatto la routine che gli consente di propagarsi su altre macchine attraverso la vulnerabilità nel protocollo SMB dei sistemi Microsoft Windows.L’allerta in attesa di nuove variantiDiversi ricercatori hanno già dimostrato che è possibile manomettere il malware affinché superi il check previsto dal kill-switch e torni a propagarsi come worm
Per leggere il resto dell’articolo devi collegarti direttamente sul sito della fonte:
