L'aumento degli attacchi ransomware espone le vulnerabilità informatiche degli Stati Uniti

Nel marzo 2018, Atlanta è stata colpita da un attacco ransomware che ha infettato quasi 3.800 computer governativi appartenenti alla città di Atlanta, inclusi i server. Dopo che il virus è stato distribuito, il ransomware ha sostanzialmente bloccato tutti i computer infetti, rendendoli impossibili da accedere. Il sistema giudiziario di Atlanta è crollato; la polizia non è stata in grado di controllare le targhe; i residenti non potevano pagare le bollette online.

Appena tre settimane prima che Atlanta venisse colpita, anche la piccola città di Leeds, in Alabama , ha subito un identico attacco informatico. E prima di Leeds a gennaio, c'era l' Hancock Regional Hospital nei sobborghi di Indianapolis.

Ciò che questi tre attacchi hanno in comune è che sono stati tutti colpiti dal ransomware SamSam , noto anche come MSIL/Samas.A. Ogni attacco richiedeva circa lo stesso importo, circa $ 50.000 in criptovaluta . Hancock Regional Hospital e Leeds, Alabama, hanno pagato il riscatto. Tuttavia, la città di Atlanta no. Invece, ha scelto di pagare milioni per riportare i suoi sistemi online.

A quel tempo, la città di Atlanta era una delle più importanti ad essere attaccata dal ransomware, che secondo John Hulquist, è quando un criminale informatico accede a una rete di computer, crittografa tutti i dati ed estorce all'azienda di sbloccarlo. Hulquist è vicepresidente dell'analisi, Mandiant Threat Intelligence presso FireEye , una società di sicurezza guidata dall'intelligence.

Il ransomware non è una novità

Hulquist afferma che gli attacchi ransomware, che essenzialmente tengono "ostaggio" una rete aziendale fino al pagamento del riscatto richiesto, non sono una novità. Sono in corso da diversi anni (come indicano questi tre casi).

Secondo una ricerca di Check Point Software Technologies, nella prima metà del 2021, il numero di organizzazioni colpite dal ransomware in tutto il mondo è più che raddoppiato rispetto al 2020. Il rapporto Mandiant M-Trends 2021 di FireEye ha anche identificato più di 800 tentativi di estorsione che probabilmente hanno rubato dati. Questi numeri si basano su indagini Mandiant sull'attività di attacco mirato condotte dal 1° ottobre 2019 al 30 settembre 2020.

Gli obiettivi ora stanno diventando molto più di alto profilo. Solo negli Stati Uniti da aprile, aziende di spicco come Colonial Pipeline , JBS Foods , NBA e Cox Media Group sono state tutte colpite.

Gli hacker in genere accedono alle reti tramite attacchi di phishing , ovvero e-mail inviate ai dipendenti con l'inganno per convincerli a fornire le password o facendo clic su collegamenti dannosi che scaricheranno il malware sulla rete aziendale. Il ransomware cerca anche altre voci nelle reti aziendali tramite password facilmente decifrabili, come ad esempio 123qwe.

Perché così tanti e perché adesso?

Hulquist lo spiega in questo modo: in origine il ransomware era per lo più automatizzato e mirato a piccoli sistemi. Lo chiama "spruzza e prega".

"Il ransomware usciva e colpiva qualsiasi sistema potesse ottenere", spiega. Ha cercato password vulnerabili, reti aperte, accessi facili. "[Gli aggressori] erano noti per essere piuttosto amichevoli; sbloccavano i dati - a volte offrivano anche sconti - e andavano avanti con la loro vita". Bitcoin, dice, offriva una buona piattaforma per trasferire quei soldi. È esattamente quello che è successo a Leeds. Gli aggressori hanno chiesto $ 60.000; la città ha pagato $ 8.000 .

Ma poi le cose sono cambiate, dice Hulquist. Il ransomware è passato da "spruzza e prega" automatizzato a grandi attacchi diretti alle aziende più grandi con più soldi. E i riscatti sono saliti alle stelle. Secondo l'ultimo rapporto di Chainanalysis , che analizza blockchain e criptovalute , nel 2020 le aziende hanno pagato più di 406 milioni di dollari in criptovaluta come riscatto agli aggressori .

"Questi nuovi obiettivi devono pagare perché spesso sono infrastrutture critiche", afferma Hulquist. "Devono tornare online. I consumatori sono in realtà un fattore perché stanno costringendo queste aziende a prendere decisioni affrettate per quanto riguarda il pagamento".

Pagare o non pagare?

È stato il caso dell'attacco all'oleodotto coloniale. L'hacking ha abbattuto il più grande gasdotto degli Stati Uniti il ​​29 aprile e ha provocato un accumulo di massa di carburante in tutta la costa orientale. Il CEO di Colonial Pipeline Joseph Blount ha dichiarato al Wall Street Journal che la società ha pagato il riscatto – $ 4,4 milioni in bitcoin – per riportare il gasdotto online. Ma la chiave di decrittazione fornita dagli avversari non ha ripristinato immediatamente tutti i sistemi della pipeline.

E questo è solo uno dei problemi con il pagamento del riscatto. L'altra domanda importante è se il pagamento dei riscatti incoraggi solo più problemi. "Penso che pagare i riscatti porti chiaramente ad attacchi più mirati", afferma Hulquist, "ma se sei un'azienda in una situazione impossibile devi fare la cosa giusta per la tua organizzazione".

La buona notizia per Colonial è che il Dipartimento di Giustizia degli Stati Uniti ha annunciato il 7 giugno di aver recuperato 63,7 bitcoin, per un valore di circa 2,3 milioni di dollari che Colonial ha pagato ai suoi hacker. "La mossa del Dipartimento di Giustizia di recuperare i pagamenti del riscatto dagli operatori che hanno interrotto l'infrastruttura critica degli Stati Uniti è uno sviluppo positivo", afferma Hulquist. "È diventato chiaro che dobbiamo utilizzare diversi strumenti per arginare l'ondata di questo grave problema".

Ovviamente non pagare il riscatto può essere altrettanto problematico. "Alcune di queste aziende non vogliono pagare, quindi le costringono a pagare divulgando pubblicamente i loro dati", afferma Hulquist. "Questa è una proposta di cui molte organizzazioni non vogliono far parte". Le e-mail trapelate e altre informazioni proprietarie, afferma, possono essere molto più dannose per alcune aziende del semplice pagamento. Può esporli a problemi legali o finire per danneggiare il loro marchio.

Altri hacker richiedono semplicemente il pagamento senza nemmeno installare ransomware . È quello che è successo durante l'attacco agli Houston Rockets ad aprile. Nessun ransomware è stato installato sulla rete della squadra NBA, ma il gruppo di hacker Babuk ha minacciato di pubblicare contratti e accordi di non divulgazione che afferma di aver rubato dal sistema della squadra se non avesse pagato.

Cosa sta facendo il governo?

Hulquist dice che c'è molto di più che il governo può fare. "Sapevamo che questo problema stava crescendo da un po' di tempo ormai e finalmente solo ora lo stanno prendendo sul serio e stanno intensificando i loro sforzi", dice.

Si riferisce, ovviamente, a diverse nuove iniziative avviate dall'amministrazione Biden in risposta all'ondata di attacchi ransomware. Il 12 maggio, il presidente Biden ha firmato un ordine esecutivo volto a migliorare la sicurezza informatica nelle reti del governo federale. Tra le sue azioni esecutive, istituirà un comitato di revisione della sicurezza informatica sul modello del National Transportation Safety Board (NTSB). Il panel includerà probabilmente esperti pubblici e privati ​​che esamineranno incidenti informatici simili a come l'NTSB indaga sugli incidenti.

Anche Anne Neuberger, vice assistente di Biden e vice consigliere per la sicurezza nazionale per la tecnologia informatica e emergente, ha pubblicato una lettera aperta il 2 giugno indirizzata a "Dirigenti aziendali e dirigenti aziendali".

In esso afferma che il settore privato ha la responsabilità di proteggersi dalle minacce informatiche e che le organizzazioni "devono riconoscere che nessuna azienda è al sicuro dall'essere presa di mira dal ransomware, indipendentemente dalle dimensioni o dalla posizione ... Ti esortiamo a prendere sul serio il crimine del ransomware e a garantire le tue difese informatiche aziendali corrispondono alla minaccia."

Come proteggere la tua azienda

Cosa puoi fare per assicurarti che la tua rete sia sicura? L'11 maggio la Cybersecurity and Information Security Agency (CISA) e l'FBI hanno rilasciato le migliori pratiche per prevenire l'interruzione dell'attività a causa di attacchi ransomware. In esso elencano sei mitigazioni che le aziende possono fare ora per ridurre il rischio di essere compromesse dal ransomware:

Hulquist afferma che l'intero scopo del gioco ora è quello di colpire un obiettivo enorme che probabilmente pagherà e uno che deve pagare. E portare offline l'infrastruttura critica non è fuori questione. A questo, dice, gli Stati Uniti non sono preparati.

"La nostra raffinatezza è il nostro tallone d'Achille in questo spazio", dice. "Ci rende più vulnerabili agli incidenti. Una delle lezioni che dovremmo trarre da tutto questo è che non siamo preparati per la guerra cibernetica. Sappiamo che hanno preso di mira l'assistenza sanitaria e altre capacità critiche. Tutti stanno imparando da questo. "

Ora è pazzesco

Allora chi c'è dietro tutti questi attacchi ransomware? Ricordi SamSam, il ransomware che ha abbattuto Atlanta? Nel 2018, un gran giurì ha incriminato due iraniani che erano coinvolti per soldi. Altri tre ransomware — NETWALKER, REvil e Darkside — sono conosciuti come RaaS (Ransomware-as-a-Service), il che significa che offrono a chiunque diffonda il loro malware dal 10 al 25 percento del pagamento. Si dice che Darkside sia stato dietro l'attacco del Colonial Pipeline. Queste operazioni sembrano avere sede in Russia.