TG Soft Security Software Specialist - Vir.IT eXplorer: AntiVirus-AntiSpyware-AntiMalware-AntiRansomware
Identifica virus/malwareIdentifica virus polimorfici grazie a DEEP SCANMacro Virus AnalyzerTecnologia INTRUSION DETECTIONTools rimozione virus/malwareInstallazione su Active DirectoryProtezione Real-Time 16/32/64 bitVir.IT Scan MailVir.IT Console Client/ServerVir.IT WebFilter ProtectionAggiornamenti automatici Live-UpdateVir.IT Personal FirewallAssistenza tecnica in lingua italianaCentro Ricerche Anti Malware


Attiva la tua Licenza Invia file sospetto Newsletter

fb rss linkedin twitter

ECSM European Cyber Security Month ICSA Lab

Vir.IT eXplorer PRO supera il test internazionale VB100 2019-06

AMTSO

OpsWat



EICAR Membro SERIT - Security Research in ITaly

02/09/2019 10:08:16 - Attacchi ai NAS: ritorno dalle ferie da INCUBO!!!

      
nas

Un ritorno da incubo dalle ferie per gli utenti Italiani che si sono trovati i NAS svuotati.
Il C.R.A.M. di TG Soft ha rilevato una nuova tipologia di attacco atta a colpire i dati degli utenti presenti nei dispositivi NAS Iomega.

INDICE

  ==> Il caso analizzato dal C.R.A.M.
 
  ==> Consigli Utili

Il NAS (Network Attached Storage) è un dispositivo di memorizzazione di massa di rete utilizzato per salvare in maniera centralizzata i dati. In questo modo vengono resi disponibili a tutte le macchine collegate alla rete LAN o anche in remoto attraverso la rete internet.

In particolare se esposti alla rete internet questi dispositivi possono diventare però un punto debole, ed essere quindi soggetti ad attacchi atti a cifrare/eliminare o rubare i dati/file memorizzati nel dispositivo.


Il caso analizzato dal C.R.A.M.

Il caso analizzato è avvenuto il 5 agosto 2019 alle ore 22:19, e ha colpito un NAS Iomega HMND2, quando la società era chiusa per ferie.
Al suo ritorno il 2 settembre l'amara sorpresa di trovare il NAS completamente svuotato con all'interno un file di testo di riscatto.

Nel NAS analizzato i file sono stati completamente cancellati come da un attacco di tipo Wiper, lasciando solo il file di testo con le istruzioni di riscatto come da immagine sotto.

Nel file di testo vengono riportati i dettagli dell'attacco e le istruzioni per procedere al recupero dei file: l'importo dei BitCoin da pagare, il Wallet ove effettuare il pagamento, la mail da contattare e l'id personale da fornire nell'email.

Riscatto
clicca per ingrandire

Il Wallet indicato è: 3EaRJ5p172iLYJKH8YYnPYFw9pKgxYg1sj e la richiesta da parte del CyberCriminale è di 0.03 BitCoin pari a circa 300 USD.
Il Wallet in data 02/09/2019 ha ricevuto 2 pagamenti: uno da 0.05 BitCoin e uno da 0.03 BitCoin per un totale di 0.08 BitCoin che equivalgono a circa 781.58 USD pari a 712.97€.

Non è ancora ben chiaro se i file del NAS siano stati solo cancellati oppure rubati dal CyberCriminale.
Nel caso fossero stati semplicemente cancellati, siamo di fronte ad un Wiper, e quindi il pagamento del riscatto non porterebbe comunque al recupero dei file ma solo ad una perdita economica.
Mentre nel caso fossero stati rubati dal CyberCriminale siamo di fronte ad una violazione di dati che va quindi gestita anche in ottica GDPR oltre all'attacco ransomware.
In entrambi i casi questa tipologia di attacco non cifra i dati.

Rimangono ancora sconosciute le modalità di accesso via Internet ai dispositivi NAS di Iomega ma sono note una serie di vulnerabilità che potrebbero essere sfruttate per ottenere l'accesso al pannello del dispositivo con la possibilità anche della gestione file (copia, cancellazione, download, upload ecc.).
Vi è quindi un forte sospetto che i CyberCriminali abbiano utilizzato queste vulnerabilità.

Riportiamo anche l'informativa di BleepingComputer relativa a queste tipologie di attacco avvenute tra fine luglio ed inizio agosto: Attackers Are Wiping Iomega NAS Devices, Leaving Ransom Notes
 

Consigli utili

Il C.R.A.M. di TG Soft ha rilevato che in queste  tipologie di attacchi spesso vengono commessi errori grossolani nella configurazione dei dispositivi NAS.
E' consigliabile valutare alcuni accorgimenti tecnici tra cui:
  • Non autorizzare all'accesso ai NAS dalla rete Internet oppure predisporre delle regole più rigide nella configurazione del firewall per limitare l'accesso ai soli IP autorizzati ed eventualmente solo in orari prestabiliti .
  • Effettuare sempre delle copie di Backup offline dei dispositivi.
  • Effettuare regolarmente gli aggiornamenti dei Firmware così da evitare l'utilizzo di exploit (vulnerabilità).
  • Modificare sempre le password di default dei dispositivi.


C.R.A.M.
Centro Ricerche Anti-Malware di TG Soft

Torna ad inizio pagina




Utilizzabilità delle informative e delle immagine in esse contenute

Ogni informazione pubblicata sul nostro sito può essere utilizzata e pubblicata su altri siti internet, blog, forum, facebook a patto che venga sempre e comunque citata la fonte "Fonte: C.R.A.M. by TG Soft www.tgsoft.it" con link cliccabile all'informativa e/o pagina web originale da cui sono stati estrapolati contenuti testuali, spunti e/o immagini. Inoltre per ogni immagine utilizzata dovrà essere sempre indicata la fonte ed il link cliccabile alla pagina originale dell'informativa di prima pubblicazione. Per quanto riguarda le pubblicazioni cartacee sarà necessario citare la fonte esplicitamente "Fonte: C.R.A.M. by TG Soft www.tgsoft.it" ed in analogia alle pubblicata elettroniche i link sotto ad ogni immagine alla pagina web originale da cui sono state estratte.

Sarà gradito nel caso di utilizzo dell'informativa del C.R.A.M. by TG Soft www.tgsoft.it nella relazione di articoli di sintesi il riconoscimento/ringraziamento di seguito "Si ringrazia il Centro Ricerche Anti-Malware C.R.A.M. by TG Soft di cui segnaliamo il link diretto all'informativa originale:[link diretto cliccabile]"

fb rss linkedin twitter
 




Legal & Eula | Privacy | Disinstallazione

TG Soft S.r.l. - via Pitagora 11/b, 35030 Rubàno (PD), ITALIA - C.F. e P.IVA 03296130283