|
Un ritorno da incubo dalle ferie per gli utenti Italiani che si sono trovati i NAS svuotati.
Il C.R.A.M. di TG Soft ha rilevato una nuova tipologia di attacco atta a colpire i dati degli utenti presenti nei dispositivi NAS Iomega.
|
INDICE
==> Il caso analizzato dal C.R.A.M.
==> Consigli Utili |
Il
NAS (
Network Attached Storage) è un dispositivo di memorizzazione di massa di rete utilizzato per salvare in maniera centralizzata i dati. In questo modo vengono resi disponibili a tutte le macchine collegate alla rete LAN o anche in remoto attraverso la rete internet.
In particolare se esposti alla rete internet questi dispositivi possono diventare però un punto debole, ed essere quindi soggetti ad attacchi atti a cifrare/eliminare o rubare i dati/file memorizzati nel dispositivo.
Il caso analizzato dal C.R.A.M.
Il caso analizzato è avvenuto il 5 agosto 2019 alle ore 22:19, e ha colpito un
NAS Iomega HMND2, quando la società era chiusa per ferie.
Al suo ritorno il 2 settembre l'amara sorpresa di trovare il
NAS completamente svuotato con all'interno un file di testo di riscatto.
Nel
NAS analizzato i file sono stati completamente cancellati come da un attacco di tipo
Wiper, lasciando solo il file di testo con le istruzioni di riscatto come da immagine sotto.
Nel file di testo vengono riportati i dettagli dell'attacco e le istruzioni per procedere al recupero dei file: l'importo dei
BitCoin da pagare, il Wallet ove effettuare il pagamento, la mail da contattare e l'id personale da fornire nell'email.
Il Wallet indicato è:
3EaRJ5p172iLYJKH8YYnPYFw9pKgxYg1sj e la richiesta da parte del CyberCriminale è di
0.03 BitCoin pari a circa
300 USD.
Il Wallet in data 02/09/2019 ha ricevuto 2 pagamenti: uno da
0.05 BitCoin e uno da
0.03 BitCoin per un totale di
0.08 BitCoin che equivalgono a circa
781.58 USD pari a
712.97€.
Non è ancora ben chiaro se i file del
NAS siano stati solo cancellati oppure rubati dal CyberCriminale.
Nel caso fossero stati semplicemente cancellati, siamo di fronte ad un
Wiper, e quindi il pagamento del riscatto non porterebbe comunque al recupero dei file ma solo ad una perdita economica.
Mentre nel caso fossero stati rubati dal CyberCriminale siamo di fronte ad una violazione di dati che va quindi gestita anche in ottica
GDPR oltre all'attacco ransomware.
In entrambi i casi questa tipologia di attacco non cifra i dati.
Rimangono ancora sconosciute le modalità di accesso via Internet ai dispositivi
NAS di Iomega ma sono note una serie di vulnerabilità che potrebbero essere sfruttate per ottenere l'accesso al pannello del dispositivo con la possibilità anche della gestione file (copia, cancellazione, download, upload ecc.).
Vi è quindi un forte sospetto che i CyberCriminali abbiano utilizzato queste vulnerabilità.
Riportiamo anche l'informativa di
BleepingComputer relativa a queste tipologie di attacco avvenute tra fine luglio ed inizio agosto:
Attackers Are Wiping Iomega NAS Devices, Leaving Ransom Notes
Consigli utili
Il
C.R.A.M. di
TG Soft ha rilevato che in queste tipologie di attacchi spesso vengono commessi errori grossolani nella configurazione dei dispositivi
NAS.
E' consigliabile valutare alcuni accorgimenti tecnici tra cui:
- Non autorizzare all'accesso ai NAS dalla rete Internet oppure predisporre delle regole più rigide nella configurazione del firewall per limitare l'accesso ai soli IP autorizzati ed eventualmente solo in orari prestabiliti .
- Effettuare sempre delle copie di Backup offline dei dispositivi.
- Effettuare regolarmente gli aggiornamenti dei Firmware così da evitare l'utilizzo di exploit (vulnerabilità).
- Modificare sempre le password di default dei dispositivi.
C.R.A.M.
Centro Ricerche Anti-Malware di TG Soft
Torna ad inizio pagina
