Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Ransomware: ecco come Ryuk colpisce i dispositivi offline

Gen 15, 2020 Marco Schiaffino In evidenza, Malware, News, RSS 0

La nuova versione del malware sfrutta la funzione “Wake on LAN” per accendere i computer collegati alla rete locale e fare maggiori danni.

In caso di un attacco ransomware che non è stato possibile bloccare sul nascere, la soluzione migliore è quella di ripristinare i dati da un backup o da altri dispositivi che li contengono. Tra questi ci possono essere, per esempio, i computer che al momento dell’attacco non hanno subito danni perché erano spenti.

Nel caso di un attacco con Ryuk, un cripto-ransomware di cui abbiamo parlato già in altre occasioni, la speranza che qualche dispositivo possa sfuggire è però minima.

Come ha segnalato in un post su Twitter il ricercatore di sicurezza Vitali Kremez, la nuova versione del ransomware individuata il 9 gennaio 2020 contiene alcune novità che lo rendono ancora più distruttivo.

Il malware, nel dettaglio, esegue una scansione della tabella ARP sulle macchine Windows infette. La ARP table contiene un elenco di tutti gli indirizzi IP noti e il relativo mac address. Ryuk seleziona i risultati filtrandoli sulla base dell’indirizzo IP e scegliendo solo quelli che iniziano con “10.”, “172.16.” e “192.168”.

Insomma: gli autori del ransomware hanno trovato il modo per individuare tutti i dispositivi conosciuti che sono collegati alla rete locale.

Una volta rilevati gli obiettivi, Ryuk utilizza il mac address per inviare un pacchetto Wake on LAN (WoL) contenente ‘FF FF FF FF FF FF FF FF’ per “svegliare” il computer.

A questo punto il malware cerca di montare le unità disco in condivisione e avviare la crittografia dei dati contenuti al loro interno.

Questa tecnica ha un impatto devastante all’interno delle reti aziendali, dal momento che consente a una singola infezione di colpire più dispositivi senza dover utilizzare altri sistemi per diffondere il malware sulle macchine collegate.

Il ricercatore di SentinelLabs suggerisce di limitare le funzionalità legate a WoL in modo da mitigare il rischio che questa venga sfruttata per diffondere un attacco del genere, per esempio limitando la possibilità di inviare il comando ai soli computer con funzioni di amministrazione.

Condividi l'articolo