NotPetya: il malware più costoso della storia

Il 27 giugno 2017, nel giro di poche ore, i computer di banche, aziende, enti pubblici e multinazionali iniziarono a spegnersi uno dopo l’altro, mostrando una schermata che chiedeva un riscatto. Sembrava l’ennesimo ransomware, simile a WannaCry di un mese prima. In realtà era qualcosa di molto peggiore: NotPetya non voleva soldi, voleva distruggere i dati. Il governo statunitense lo ha definito “l’attacco informatico più distruttivo e costoso della storia”.

1. 27 giugno 2017: il giorno in cui si fermarono i computer

L’attacco colpì prima l’Ucraina, poche ore prima della festa della Costituzione: banche, aziende energetiche, trasporti e perfino i sistemi di monitoraggio delle radiazioni nell’area di Chernobyl. Ma non rimase lì. In poche ore passò attraverso le reti interne di aziende con sedi in Ucraina e raggiunse Europa, Asia e America. Secondo l’elenco diffuso dal governo statunitense, furono colpite organizzazioni in Russia, Polonia, Danimarca, Paesi Bassi, India, Italia, Regno Unito, Germania, Francia, Spagna e Stati Uniti.

2. Il cavallo di Troia: M.E.Doc

Il punto di partenza fu M.E.Doc, un programma di contabilità e dichiarazioni fiscali usato da moltissime aziende che lavorano in Ucraina. Gli attaccanti riuscirono a inserire una porta nascosta nel suo sistema di aggiornamento: quando gli utenti installarono un normale aggiornamento, installarono anche NotPetya. Secondo l’analisi di ESET, quella porta nascosta era presente da almeno sei settimane prima dell’attacco, segno di un’operazione preparata con cura.

È un caso da manuale di attacco alla catena di fornitura: gli aggiornamenti di un programma noto erano considerati affidabili, e in molte aziende il software era perfino nell’elenco dei programmi autorizzati. Il gigante dei trasporti Maersk fu raggiunto così: un solo computer con M.E.Doc, nella sede ucraina, bastò perché il malware si diffondesse nella rete globale.

3. Come si diffondeva

NotPetya non aveva bisogno che qualcuno cliccasse su un allegato. Una volta dentro una rete, si muoveva da solo con più tecniche insieme:

• EternalBlue e EternalRomance: falle del protocollo SMB di Windows. Microsoft aveva già pubblicato la correzione (bollettino MS17-010) nel marzo 2017, tre mesi prima, ma molti sistemi non erano stati aggiornati. Secondo le ricostruzioni, questi strumenti erano stati sviluppati da un’agenzia statunitense ed erano stati resi pubblici dal gruppo Shadow Brokers.
• Mimikatz: un programma per estrarre dalla memoria di Windows nomi utente e password già inseriti. Con le credenziali rubate, il malware poteva entrare in altri computer come un utente legittimo.
• PsExec e WMI: strumenti di amministrazione di Windows, del tutto legittimi, usati per eseguire programmi su altri computer della rete.

La combinazione era devastante nelle reti “piatte”, in cui ogni computer può comunicare con tutti gli altri e un’unica password di amministratore apre quasi ovunque.

4. Non era un ransomware

Come il vecchio Petya del 2016, NotPetya mostrava una richiesta di riscatto in bitcoin. Ma la finta richiesta era una copertura: il malware sovrascriveva il Master Boot Record, la parte del disco che permette al computer di avviarsi, e i dati non erano recuperabili neppure pagando. Per questo i ricercatori lo classificarono come wiper, un programma progettato per distruggere. Il governo britannico lo descrisse come un attacco “mascherato da ransomware, il cui scopo era principalmente creare disordine”.

5. Quanto è costato

Contare i danni è difficile, perché includono giorni di attività ferma e computer da reinstallare. Alcune stime riportate per le aziende più colpite:

Sono cifre ricavate da dichiarazioni aziendali e da stime giornalistiche, quindi vanno lette come ordini di grandezza, non come bilanci precisi.

6. Chi c’era dietro

Nel febbraio 2018 il Regno Unito dichiarò che il National Cyber Security Centre riteneva “quasi certo” che dietro NotPetya ci fosse l’esercito russo. Poche ore dopo la Casa Bianca confermò, parlando di un attacco “sconsiderato e indiscriminato” e dell'”attacco informatico più distruttivo e costoso della storia”, e anche Canada e Australia si espressero in modo analogo. Il Cremlino ha respinto le accuse, definendole infondate.

Va ricordato che si tratta di attribuzioni dei governi, basate su informazioni che non sono state rese pubbliche in tutti i dettagli. Gli analisti indipendenti avevano già indicato la Russia come probabile responsabile, ma la certezza assoluta in questi casi non esiste.

7. Il filo con Stuxnet e Flame

NotPetya chiude un cerchio con le storie di Stuxnet e Flame. Come loro, è un’arma digitale sviluppata da apparati statali. Come loro, ha mostrato il rischio di strumenti creati per un obiettivo preciso che poi sfuggono di mano: EternalBlue, che si ritiene sviluppato da un’agenzia di intelligence, divenne di dominio pubblico e fu usato in un attacco globale. E se Stuxnet colpì un impianto preciso di arricchimento dell’uranio, NotPetya dimostrò il contrario: un attacco contro l’Ucraina si trasformò in un danno mondiale.

Cosa ci ha insegnato

• Aggiornare davvero i sistemi: la correzione per EternalBlue esisteva da tre mesi.
• Dividere la rete: una rete segmentata limita i danni quando una macchina è infetta.
• Non riusare password di amministratore: una sola credenziale rubata può aprire tutta l’azienda.
• Avere backup offline: un backup raggiungibile dalla rete viene distrutto insieme al resto.
• Verificare la catena di fornitura: anche un aggiornamento “ufficiale” può essere compromesso.

Articolo a cura della Redazione di rfnode.net