Il 28 ottobre le principali agenzie federali statunitensi, cioè quella per la cybersicurezza, l’FBI e il Dipartimento della Salute, hanno pubblicato un’allerta congiunta dai toni insolitamente netti. Parlano di una minaccia «aumentata e imminente» di ransomware contro ospedali e strutture sanitarie. Il nome che ricorre è Ryuk, e secondo i ricercatori gli attaccanti avrebbero già individuato circa 400 strutture da colpire.
Nel giro di pochi giorni diversi ospedali in Oregon, nello stato di New York e altrove hanno subito attacchi. In alcuni casi i sistemi informatici sono stati spenti, gli ambulatori sono tornati a lavorare con carta e penna e alcune terapie sono state rinviate. Tutto questo mentre crescono i ricoveri per la pandemia.
Ryuk è l’ultimo anello di una catena ben rodata, che l’allerta descrive nel dettaglio. L’ingresso avviene quasi sempre con email di phishing che installano un loader come TrickBot o il più recente BazarLoader. Il loader raccoglie credenziali, esplora la rete e apre la strada agli operatori, che si muovono lateralmente con strumenti legittimi come Cobalt Strike, PowerShell e RDP. Alla fine il ransomware viene distribuito su tutti i sistemi raggiungibili, spesso dopo il furto di dati da usare come ulteriore ricatto. Dall’ingresso alla cifratura possono passare poche ore. L’allerta, aggiornata il 29 ottobre, cita anche il ransomware Conti, legato alla stessa infrastruttura.
Non serve essere un ospedale
Il bersaglio di oggi è la sanità, ma la tecnica funziona contro qualsiasi organizzazione, e le contromisure sono le stesse. Servono backup offline, scollegati dalla rete, e un piano di ripristino provato davvero, perché quando la catena arriva in fondo sono l’unica cosa che conta. Servono patch rapide per sistemi operativi, VPN e software esposti, in particolare per falle come Zerologon, che trasformano un PC infetto nel controllo dell’intero dominio. E poi autenticazione a più fattori per gli accessi remoti e gli account amministrativi, blocco delle macro, filtro degli allegati nella posta, RDP mai esposto su Internet.
L’allerta include gli indicatori di compromissione di TrickBot, BazarLoader e Cobalt Strike. Caricarli nei sistemi di monitoraggio è il lavoro di un pomeriggio, e può farti notare il primo anello della catena prima che arrivi l’ultimo.
