Nuovo ransomware Deadbolt prende di mira le piccole imprese

Proteggi il tuo business con CyberHoot oggi stesso!!!

Iscriviti ora

Nel gennaio 2021, sono emerse segnalazioni di un ceppo di ransomware chiamato Deadbolt , mirato ai backup e diretto a piccole imprese, hobbisti e utenti domestici esperti. A quanto pare, Deadbolt ha scelto deliberatamente una nicchia di mercato vulnerabile: gli utenti che necessitavano di backup ed erano sufficientemente informati per effettuarli, ma che non avevano il tempo o le risorse economiche per dedicare alla propria routine di backup l'attenzione che meritava.

Molti attacchi ransomware si sviluppano con i criminali informatici che si introducono nella rete, mappano tutti i computer, criptano tutti i file su tutti i dispositivi e poi presentano una richiesta di riscatto del tipo: "Pagateci $ e vi invieremo una chiave di decrittazione per sbloccare tutto". Purtroppo, questo metodo si è rivelato molto efficace per gli hacker che attaccano le grandi organizzazioni. Ma Deadbolt fa qualcosa di molto diverso.

Ransomware Deadbolt

Deadbolt ignora i computer della rete e attacca direttamente i dispositivi NAS (Network-Attached Storage) vulnerabili tramite Internet. Sfruttando una vulnerabilità di sicurezza nei prodotti QNAP , il malware Deadbolt non ha bisogno di infiltrarsi nei dispositivi e di diffondersi lateralmente nella rete. Una falla di esecuzione di codice remoto (RCE), identificata nell'avviso di sicurezza QSA-21-57 di QNAP del gennaio 2021, può essere sfruttata per iniettare codice dannoso direttamente sul dispositivo di archiviazione.

Quindi, se per errore aveste configurato il vostro dispositivo di backup in modo che il suo portale web fosse accessibile dal "lato Internet" della vostra connessione di rete, ovvero la porta probabilmente etichettata WAN sul vostro router, abbreviazione di rete geografica ( wide-area network ), chiunque sapesse come sfruttare la falla di sicurezza corretta con la patch QSA-21-57 potrebbe attaccare i vostri file di backup con malware.

Infatti, se eri abituato a controllare il tuo dispositivo solo quando dovevi recuperare o rivedere file che non avevi spazio per mantenere "attivi" sul tuo laptop, potresti non esserti accorto che i tuoi file erano stati criptati finché non sei andato all'interfaccia web del tuo NAS.

Una volta arrivati lì, tuttavia, non avreste avuto alcun dubbio su cosa fosse successo ai vostri dati, perché gli aggressori di Deadbolt hanno deliberatamente modificato la pagina del portale del NAS stesso per mettervi di fronte alla triste notizia:

Cosa significa questo per la mia organizzazione?

La buona notizia nella vicenda di Deadbolt è che QNAP non solo ha pubblicato una patch per la vulnerabilità QSA-21-57 già a gennaio 2021 , ma ha anche provveduto a distribuire automaticamente l'aggiornamento, persino ai dispositivi con l'aggiornamento automatico disattivato. [ Nota dell'editore : come fa un'azienda a ignorare le impostazioni che configuriamo sul nostro dispositivo QNAP? Questo costituisce di per sé un rischio per la sicurezza? ]

La cattiva notizia è che il servizio di scansione della sicurezza Internet Censys segnala che le infezioni da Deadbolt sono improvvisamente tornate alla ribalta , con oltre 1000 dispositivi infetti rilevati alla fine di marzo 2022, nonostante le patch fossero state applicate.

Che cosa si deve fare?

È fondamentale che le organizzazioni mettano in pratica i propri piani di Business Continuity and Disaster Recovery (BCDR), utilizzando esercitazioni pratiche per simulare uno scenario di backup. Molte vittime si trovano a dover ricostruire i propri dati in un modo che non avevano previsto. Ecco perché le esercitazioni pratiche sono particolarmente importanti. CyberHoot consiglia di creare un piano BCDR completo in modo da conoscere il proprio Recovery Point Objective (RPO) e il proprio Recovery Time Objective (RTO). CyberHoot raccomanda inoltre il metodo di backup 3-2-1 , che prevede la conservazione di 3 copie dei dati (una primaria e due di backup), con i file salvati su 2 tipi di supporti e 1 copia archiviata in una posizione esterna (anche online). Testare il piano BCDR almeno una volta all'anno aiuterà a eliminare molti degli errori più comuni commessi dalle aziende.

È inoltre sconsigliabile esporre i server di rete a Internet. QNAP fornisce indicazioni su come impedire che il dispositivo NAS riceva connessioni da Internet pubblico per errore, evitando così che il dispositivo venga accessibile o addirittura rilevato. Eseguite un controllo simile per tutti i dispositivi IoT presenti nella vostra rete, nel caso in cui abbiate dispositivi privati ​​che potrebbero essere inavvertitamente connessi a Internet.

Ulteriori raccomandazioni sulla sicurezza informatica

Inoltre, i suggerimenti che seguono vi aiuteranno a proteggere voi e la vostra azienda dalle varie minacce che potreste incontrare quotidianamente. Tutti i suggerimenti elencati di seguito possono essere implementati avvalendosi dei servizi di sviluppo del programma vCISO di CyberHoot.

1. Gestisci i dipendenti con policy e procedure. Sono necessari almeno una policy sulle password, una policy di utilizzo accettabile, una policy sulla gestione delle informazioni e un programma di sicurezza delle informazioni (WISP) scritto.
2. Formare i dipendenti su come individuare ed evitare attacchi di phishingAdotta un sistema di gestione dell'apprendimento come CyberHoot per insegnare ai dipendenti le competenze di cui hanno bisogno per essere più sicuri, produttivi e protetti.
3. Testare i dipendenti con attacchi di phishing per fare pratica. I test di phishing di CyberHoot consentono alle aziende di testare i dipendenti con attacchi di phishing credibili e di sottoporre coloro che non superano il test a un corso di formazione sul phishing correttivo.
4. Distribuire tecnologie di sicurezza informatica critiche, tra cui autenticazione a due fattori su tutti gli account critici. Abilita il filtro antispam, convalida i backup, implementa la protezione DNS, antiviruse anti-malware su tutti i tuoi endpoint.
5. Nell'era moderna del lavoro da casa, assicurati di gestire i dispositivi personali che si connettono alla tua rete convalidandone la sicurezza (applicazione di patch, antivirus, protezioni DNS, ecc.) o vietandone completamente l'uso.
6. Se non avete effettuato una valutazione del rischio da una terza parte negli ultimi due anni, dovreste farlo ora. Definire un framework di gestione del rischio nella vostra organizzazione è fondamentale per affrontare i rischi più gravi con il tempo e il denaro limitati a disposizione.
7. Acquista un'assicurazione informatica per proteggerti in caso di guasto catastrofico. L'assicurazione informatica non è diversa dalle assicurazioni auto, incendio, alluvione o vita. È al tuo fianco quando ne hai più bisogno.

Tutte queste raccomandazioni sono integrate nel prodotto CyberHoot o nei servizi vCISO di CyberHoot. Con CyberHoot puoi gestire, formare, valutare e testare i tuoi dipendenti. Visita CyberHoot.com e iscriviti oggi stesso ai nostri servizi. Inoltre, continua ad aggiornarti iscrivendoti alle nostre newsletter mensili sulla sicurezza informatica per rimanere sempre al passo con le ultime novità in materia.

Spiegazione del ransomware QNAP Deadbolt:

Fonti:

NakedSecurity – Sophos

MinacciaPost

Letture aggiuntive: 

Labirinto ransomware

Ransomware, backup e test del piano