Cifrare i dati di un pc per trarne un profitto economico è la strategia criminale usata in ambito informatico per mezzo dei ransomware, i software del riscatto. Questa tecnica ha trovato la sua massima espansione e clamore negli ultimi anni a causa del malware che ha messo in ginocchio le infrastrutture ICT contaminando migliaia di computer: Wannacry.
Nel primo pomeriggio di venerdì 12 maggio 2017, i media hanno dato la notizia di un attacco alla sicurezza informatica a livello globale compiuto attraverso un codice maligno, capace di crittografare i dati residenti nei sistemi informativi e chiedere un riscatto in criptovaluta per il loro ripristino.
Anche l’Italia è stata marginalmente interessata dall’attacco e ad occuparsi del caso è stato il CNAIPIC [1], il Centro Operativo anticrimine informatico della Polizia Postale, che ha prontamente diramato un comunicato [2] nel giorno stesso dell’evento, consigliando alcuni interventi utili anche per prevenire ulteriori e possibili propagazioni di varianti.
Il ransomware, come riportato dal bollettino Microsoft [3], una volta trasmesso tramite mail con la metodica del phishing e del social engineering oppure direttamente da rete pubblica sfruttando una falla protocollare dei dispositivi connessi, procedeva:
Si veda a tal proposito la figura seguente.
Il codice malevolo si proliferava solo se veniva verificata la mancata raggiungibilità di un sito pubblico che di fatto era inesistente:
hxxp://www[.]iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com
solo la registrazione di questo dominio ha successivamente creato la condizione, il kill swich, per far cessare l’azione del malware scemandone la divulgazione.
La diffusione di questo ransomware è stato considerato come il peggior attacco informatico degli ultimi anni per velocità di contaminazione e portata mettendo a rischio il funzionamento di uffici pubblici e aziende.
Lo schema di cifratura implementato da WannaCry ha utilizzato un meccanismo di crittografia asimmetrica basato su una coppia di chiavi pubblica e privata generata tramite l’utilizzo di due numeri primi [6]. La chiave pubblica è stata usata per crittografare i dati del sistema colpito, mentre quella privata è stata l’oggetto del ricatto.
L’algoritmo di funzionamento, come già accennato, è l’RSA. La sua efficacia si basa sul principio matematico secondo il quale è facile calcolare il prodotto di due numeri primi anche molto grandi, ma è molto più difficile il processo inverso, cioè scomporre il prodotto per trovare quali siano i due numeri primi utilizzati come fattori.
Descriverò i principi con un esercizio di esempio.
I passi fondamentali dell’algoritmo RSA sono i seguenti:
(e∙d) ≡ 1 modulo (p-1)∙(q-1)
ovvero che le divisioni (e∙d)/[(p-1)∙(q-1)] e 1/[(p-1)∙(q-1)] diano lo stesso resto.
Il punto di forza di questo algoritmo sta nella difficoltà di calcolo dell’esponente privato d.
Per un esempio pratico sostituiamo a p e q due numeri primi piccoli per facilità di calcolo (ricordo che in realtà i numeri usati possono essere dell’ordine delle centinaia) e supponiamo di voler cifrare e decifrare il messaggio M=13:
Cercare di calcolare d se le dimensioni di n e q sono dell’ordine di 10100, risulta complesso in quanto per trovare il prodotto (p-1)∙(q-1) è necessario scomporre n in fattori.
Per la divulgazione del ransomware all’interno della rete della vittima, l’exploit ha sfruttato una falla della versione 1 del protocollo SMB (Server Message Block) utilizzato in alcuni sistemi operativi Microsoft e deputato a fornire accesso condiviso a file, stampanti, porte seriali e comunicazioni varie tra i nodi della rete. In questo modo WCrypt si è diffuso sulle reti colpite secondo il modus operandi tipico di un worm:
Questa anomalia del protocollo SMB, catalogata dalla CVE (Common Vulnerabilities and Exposures) con il numero CVE-2017-0144, permette in locale, qualora il sistema operativo in questione non è stato aggiornato con la patch di sicurezza Microsoft MS17-010, l’esecuzione arbitraria di codice da parte di utenti remoti. Il successo dell’attacco è stato ottenuto proprio grazie al mancato aggiornamento preventivo dei sistemi operativi colpiti.
Per il pagamento del riscatto, Wannacry imponeva l’uso della valuta bitcoin [7]. La ben nota schermata di blocco del programma @WanaDecryptor@.exe apparsa sugli schermi dei pc contaminati riportava, infatti, un vademecum dettagliato su come eseguire la transazione di pagamento sul conto, individuato da una stringa di 34 caratteri alfanumerici.
Ma perché i creatori di Wannacry hanno scelto per il pagamento del riscatto il bitcoin?
C’è da dire che per questo tipo di transazioni, pur essendo assolutamente trasparenti e tracciabili, risulta praticamente impossibile risalire al titolare di un certo indirizzo di conto, proprio per le peculiarità tipiche della valuta digitale:
Ecco come sarebbe avvenuto il pagamento del riscatto in modo semplificato e schematizzato:
Ad appena un anno di distanza [8][9] l’exploit Eternalblue è tornato a far parlare di sé. Gli specialisti di ESET [10], hanno, infatti, identificato una nuova campagna di ransomware che mirava a colpire quei computer sui quali non era ancora stata applicata la patch emessa da Microsoft già nel Marzo 2017.
Cosa dobbiamo imparare da tutto questo?
In generale, per mitigare il rischio di esposizione alle minacce malware e migliorare la sicurezza, sarebbe opportuno, a tutti i livelli, adottare una politica di condotta cautelativa, garantire il patching periodico dei sistemi IT, ma in primis, condividere con tutti ogni information advisory. Questo perché “Ogni verità e scoperta non ha valore alcuno se poi non la si mette a disposizione degli altri” – cit. Alessandro Righini.
[1] https://www.commissariatodips.it/profilo/cnaipic.html
[2] https://www.commissariatodips.it/fileadmin/src/doc/pdf/comunicato.pdf
[4] https://it.wikipedia.org/wiki/RSA
[7] https://it.wikipedia.org/wiki/Bitcoin
[10] https://www.eset.com/int/about/
Articolo a cura di Salvatore Lombardo
Arrestato a Parigi il CEO di Telegram: cosa significa in termini di responsabilità delle piattaforme…
Introduzione In un contesto in cui la digitalizzazione sta crescendo costantemente, è importante sapere come…
Casi come Cellebrite Ufed v. Signal pongono in luce come la cybersecurity sia un fattore…
I Big Data stanno cambiando le regole del commercio online. Finalmente le aziende possono comprendere…
Dal punto di vista tecnico-operativo, le indagini di digital forensics vengono svolte utilizzando specifici strumenti…
Nell’ambito dell’email security esistono diversi protocolli volti a garantire l'autenticità, l'integrità e la riservatezza delle…