😱 WANNACRY: il ransomware che ha messo in ginocchio il mondo

12 maggio 2017. Un medico in un pronto soccorso londinese ha davanti a sé un paziente con un infarto in corso, ma lo schermo del suo computer resta nero. Quando finalmente si riaccende, compare una schermata rossa accompagnata da un messaggio terrificante: "I tuoi file sono stati criptati. Paga $300 in Bitcoin entro 3 giorni o saranno persi per sempre." Il medico non riesce ad accedere alla cartella clinica. Non può vedere gli esami, non può nemmeno chiamare dei colleghi o un'ambulanza attraverso il sistema. E non è il solo. In pochi minuti la stessa schermata appare in altri ospedali, aziende, stazioni ferroviarie, università e uffici pubblici in tutto il mondo. Nessuno capisce cosa stia succedendo, ma è chiaro che qualcosa di enorme è appena iniziato. Quel qualcosa si chiama WannaCry, un nome che è diventato leggenda nel mondo della cyber security e che a distanza di qualche anno continua a essere studiato, temuto e citato come uno dei più gravi attacchi informatici della storia. Ma per capire bene cos'è successo dobbiamo partire dall'inizio. WannaCry è un tipo di ransomware, ovvero un malware che blocca l'accesso ai file di un computer e chiede un riscatto in denaro, solitamente in criptovaluta, per sbloccarli. Ma non era un semplice ransomware, era anche un crypto-worm. Questo significa che non aveva bisogno dell'interazione dell'utente per diffondersi. Non serviva cliccare su un link sbagliato o aprire una mail sospetta, bastava che il computer fosse connesso a internet e avesse determinate vulnerabilità sfruttate dal malware e WannaCry faceva il resto. La sua potenza distruttiva risiedeva proprio in questo: si propagava da solo sfruttando una falla nei sistemi operativi Windows Attraverso una vulnerabilità nota come SMBv1, una tecnologia ormai obsoleta ma ancora presente in milioni di sistemi in tutto il mondo. Ormai sappiamo tutti che i sistemi operativi di computer e smartphone possono avere delle vulnerabilità, no? Dei punti deboli che un attaccante può sfruttare per eseguire l'attacco. Ogni giorno ci sono migliaia di persone che cercano queste vulnerabilità e e cercano anche modi per sfruttarle. Alcuni lo fanno con buone intenzioni, perché ci sono anche dei premi per chi trova delle vulnerabilità, è una cosa che permette di rendere un sistema più sicuro. Altri invece le scoprono e le utilizzano per fini criminali. Una volta che viene scoperta e resa pubblica una vulnerabilità, la casa madre corre ai ripari e rilascia delle patch di sicurezza, cioè degli aggiornamenti che risolvono quella vulnerabilità e la rendono non sfruttabile. Ed è proprio quello che aveva fatto Microsoft con la vulnerabilità SMBv1, che era stata da tempo risolta. Il problema è che non tutti avevano installato la patch di sicurezza, anzi alcuni utilizzavano ancora delle versioni così vecchie di Windows da non riuscire proprio a installare gli aggiornamenti, perché erano incompatibili con il loro sistema. Il nostro WannaCry è riuscito a infiltrarsi in tutti i computer che utilizzavano ancora SMBv1 nonostante Microsoft avesse dichiarato che non in maniera più sicura. Ma da dove veniva questo ransomware e soprattutto chi c'era dietro? La chiave per capire tutto si chiama EternalBlue. EternalBlue è un exploit, cioè una porzione di codice che sfrutta una vulnerabilità per prendere il controllo di un sistema. EternalBlue sfruttava proprio la vulnerabilità SMBv1 e attenzione, non era stato sviluppato da dei criminali informatici, ma dalla NSA, l'Agenzia per la Sicurezza Nazionale degli Stati Uniti. Proprio così, WannaCry si è diffuso usando un'arma digitale creata da un'agenzia governativa americana. Sembra una cosa da film, ma è esattamente quello che è successo. EternalBlue doveva rimanere una cosa segreta, la NSA l'aveva creato con lo scopo di usarlo come una specie di grimaldello informatico per aprire i sistemi dei nemici. E ovviamente non doveva diffondersi. Ma qualcosa andò storto. Un gruppo di hacker chiamato The Shadow Brokers riuscì a sottrarre il codice dall'arsenale dell'NSA e nell'aprile 2017 lo pubblicò online. All'epoca si parlò di una delle fughe di notizie più gravi mai accadute nel mondo dell'intelligence. Quello che forse nessuno immaginava era che appena un mese dopo EternalBlue sarebbe stato utilizzato in un attacco su scala globale. Il 12 maggio 2017, senza preavviso, WannaCry esplose come una bomba informatica. Iniziò dalla Spagna, dove l'operatore telefonico Telefónica, una specie di telecom, fu costretto a ordinare ai propri dipendenti di spegnere tutti i computer e poco dopo a diramare un avviso in cui raccomandava anche ai propri clienti di spegnere i computer a causa di un attacco informatico in corso. In poche ore l'infezione si propagò poi nel Regno Unito, in Giappone, India, Cina, Germania, Russia, Stati Uniti, Italia. Furono colpite università, banche, sistemi ferroviari, ospedali, multinazionali del calibro di FedEx, Nissan, Honda, Renault. I sistemi colpiti superarono i 200.000 in meno di 3 giorni. Uno degli aspetti più drammatici fu proprio la paralisi delle infrastrutture sanitarie. Il sistema sanitario nazionale britannico, l'NHS, fu uno degli obiettivi più colpiti. Sembrava che ogni computer in ogni ospedale britannico fosse in down. In alcune zone tornarono addirittura a essere utilizzati i fax per comunicare tra i reparti. E tutto perché decine di ospedali si basavano ancora su Windows XP, un sistema obsoleto in cui non potevano neanche essere più installati gli aggiornamenti di sicurezza. E questo per paura che le nuove versioni potessero mandare in tilt dei macchinari delicati come ecografi o scanner di risonanza. Per 24 ore la situazione restò nel panico più totale. Non si parlava d'altro. Proprio quando sembrava che non ci fosse modo di fermare il disastro, però, è accaduto qualcosa di inaspettato. Un giovane ricercatore informatico britannico, conosciuto online come MalwareTech, stava analizzando il codice del malware per capirne il comportamento. Tra le righe di codice ha notato qualcosa di anomalo: il programma cercava di connettersi a un dominio, quindi a un indirizzo web, composto da una stringa apparentemente casuale di lettere e numeri. Ma quel dominio non esisteva. Era come se il malware stesse cercando di telefonare a un numero inesistente prima di agire. Incuriosito, MalwareTech ha deciso di registrare quel dominio. Appena l'ha fatto, è accaduto qualcosa di sorprendente: i server infetti hanno iniziato a fermarsi e la diffusione del virus si è bloccata. Senza volerlo, aveva attivato una funzione nascosta chiamata kill switch. In pratica, il malware era programmato per verificare se quel dominio fosse raggiungibile. Se non lo era, continuava a propagarsi, ma se invece era raggiungibile smetteva di criptare file e di diffondersi. Era come un comando segreto, una specie di parola d'ordine che diceva al virus di fermarsi. Non possiamo sapere con certezza perché gli hacker abbiano inserito questa funzione. Forse era un modo per controllare l'attacco da remoto e fermarlo a piacimento, forse era un errore di sviluppo, forse era un esperimento. Fatto sta che quella decisione, apparentemente banale, Grazie all'intervento di MalwareTech ha salvato il mondo digitale da quella che poteva essere una catastrofe di dimensioni ancora più grandi. Non ha cancellato l'attacco, ma lo ha quantomeno contenuto, dando tempo a Microsoft e agli amministratori di sistema di correre ai ripari. Microsoft, fra l'altro, in via del tutto eccezionale, ha rilasciato delle patch di sicurezza contro WannaCry anche per sistemi operativi ormai totalmente obsoleti, compreso Windows XP, che era appunto quello utilizzato negli ospedali britannici. Ma una domanda dovrebbe ormai sorgere spontanea: chi c'era dietro a WannaCry? Delle analisi condotte da aziende della sicurezza informatica come Kaspersky e Symantec hanno trovato nel codice del ransomware delle somiglianze con altri malware attribuiti al gruppo Lazarus, che è un gruppo hacker finanziato dal regime nordcoreano. Ovviamente si è pensato subito che quelle somiglianze volessero essere proprio la firma d'arte del gruppo, che voleva magari rivendicare l'attacco. Nel dicembre 2017 il governo degli Stati Uniti ha ufficialmente accusato la Corea del Nord di essere responsabile dell'attacco. Non era solo una frecciatina, questa accusa rappresentava proprio un atto formale di attribuzione, un passaggio raro e delicato nel mondo della diplomazia internazionale. La Corea del Nord chiaramente ha negato ogni coinvolgimento e ad oggi non abbiamo la certezza pista di chi ci fosse effettivamente dietro l'attacco. Al di là dei responsabili, il bilancio del ransomware è stato devastante. I danni economici derivanti dal blocco dei sistemi sono stati stimati in un importo fra i $500 milioni e i $4 miliardi, e non parlo del riscatto, parlo proprio di aziende che hanno perso intere giornate di lavoro, di ospedali che hanno dovuto sospendere le operazioni, di governi e università che si sono trovati improvvisamente senza accesso ai propri dati. E tutto questo per un guadagno diretto in realtà irrisorio, perché i riscatti pagati ammontano a circa $100.000. Il motivo per cui il guadagno è stato così basso è che molte vittime hanno deciso di non pagare, consapevoli che in realtà non c'era alcuna garanzia di riavere i propri file. E perché fortunatamente il kill switch trovato dal ricercatore britannico MalwareTech ha bloccato l'infezione prima che potesse continuare a moltiplicarsi. E quindi la vera domanda è: cosa possiamo imparare da questo attacco? Innanzitutto che aggiornare i propri sistemi e le proprie applicazioni è fondamentale. La patch che avrebbe evitato WannaCry era già disponibile da mesi, ma non tutti l'avevano installata. Serve quindi un cambio di mentalità. Non possiamo più trattare gli aggiornamenti come se fossero degli optional, perché anche se a volte rallentano un po' il sistema o hanno dei bug iniziali, sono in realtà fondamentali per contrastare tutti i malware che fanno leva sulle vulnerabilità note. La seconda lezione che impariamo è che spesso le peggiori armi vengono proprio realizzate da chi dovrebbe tenerci al sicuro. WannaCry si è basato per la maggior parte su un pezzetto di codice creato proprio dall'Agenzia di Sicurezza Nazionale americana. Eppure è finito nelle mani sbagliate. La terza lezione è che effettivamente pagare il riscatto non è detto che serva, anzi è fortemente sconsigliato. Alla fine è venuto fuori che non tutti coloro che hanno pagato hanno riavuto indietro i propri dati, così come non tutti quelli che si sono rifiutati di pagare hanno perso i loro dati. Su tutti i motivi per cui è meglio non pagare il riscatto comunque vi rimando al video sul ransomware che ho pubblicato ieri. Oggi WannaCry non è più una minaccia attiva nella sua forma originaria, ma ci sono ancora decine di varianti nate dalla sua struttura. Alcune di queste sono ancora in circolazione, modificate per aggirare il kill switch o sfruttare nuove vulnerabilità. Quello che noi che possiamo fare è tenere presente che un malware potrebbe capitare a chiunque di noi e che adottando pratiche di sicurezza anche basilari possiamo diminuire il rischio a cui siamo esposti. Se sei arrivato fino a qui, grazie per avermi seguito in questo viaggio nella storia di uno degli attacchi informatici più eclatanti di sempre. Fammi sapere nei commenti se conoscevi già WannaCry o se hai mai vissuto un attacco simile in prima persona. Noi ci rivediamo al prossimo video.