Per beccarselo si deve comunque aprire un file infetto in allegato o scaricarlo da qualche parte, in altre parole agisce come un Trojan quindi ipotizzo che siano tutti file "eseguibili" ergo ci vuole comunque un input da parte dell'utente nello scaricarlo ed aprirlo.

E quindi come ci arrivano a queste falle dei sistemi operativi?

È importante notare che questa non è una minaccia che esegue semplicemente la scansione di reti interne per identificare dove diffondersi, ma è anche in grado di diffondersi sulla base delle vulnerabilità che trova in altri hosts esterni che si trovano in Internet.

The malware then has the capability to scan heavily over TCP port 445 (Server Message Block/SMB), spreading similar to a worm, compromising hosts, encrypting files stored on them then demanding a ransom payment in the form of Bitcoin. It is important to note that this is not a threat that simply scans internal ranges to identify where to spread, it is also capable of spreading based on vulnerabilities it finds in other externally facing hosts across the internet.

Additionally, Talos has observed WannaCry samples making use of DOUBLEPULSAR which is a persistent backdoor that is generally used to access and execute code on previously compromised systems. This allows for the installation and activation of additional software, such as malware. This backdoor is typically installed following successful exploitation of SMB vulnerabilities addressed as part of Microsoft Security Bulletin MS17-010. This backdoor is associated with an offensive exploitation framework that was released as part of the Shadow Brokers cache that was recently released to the public. Since its release it has been widely analyzed and studied by the security industry as well as on various underground hacking forums.
http://blog.talosintelligence.com/2017/05/wannacry.html

Attacco informatico globale: ecco come difendersi




La Polizia postale è in allerta per l’attacco hacker a livello globale compiuto attraverso un ransomware noto coi nomi WCry, WannaCry e WanaCrypt0r.

Il Centro nazionale Anticrimine Informatico per la protezione delle Infrastrutture Critiche(CNAIPIC), sta costantemente analizzando il fenomeno, intensificando le attività di monitoraggio e le procedure idonee a garantire la massima sicurezza delle infrastrutture informatiche del Paese.

Dai primi accertamenti effettuati, sebbene l’attacco sia presente in Italia dal primo pomeriggio di venerdì, non si hanno al momento evidenze di gravi danni ai sistemi informatici o alle reti telematiche delle infrastrutture informatiche del Paese.

Al riguardo è bene che gli utenti della Rete facciano attenzione alle seguenti procedure rilevate dagli specialisti della Polizia postale:

1) le vittime ricevono il malware via rete (non si hanno al momento evidenze di mail vettore dell’infezione).

2) Il malware si installa infatti nella macchina “vittima” sfruttando il noto bug EternalBlue e deposita l’eseguibile mssecsvc.exe nella directory di sistema C:\windows.

3) Si installa quindi come servizio e procede ad eseguire due attività parallele utilizzando diversi eseguibili.

4) La prima attività consiste nel cifrare determinate tipologie di file come da link; https://gist.github.com/rain-1/989428fa5504f378b993ee6efbc0b168.

5) La seconda provvede a propagare il malware sulla eventuale LAN presente sfruttando la vulnerabilità suddetta del protocollo SMB con le porte TCP 445 e 139. Questa seconda componente inoltre effettua scansioni in rete alla ricerca di nuovi target da infettare via SMB porta 445.

6) Funziona in Ring 0, quindi potenzialmente foriero di maggiori danni di quanti fatti con la sola attività di cifratura. Non è ancora noto se è anche installato la backdoor DoublePulsar o altro.
Stranamente, il codice sorgente contiene una richiesta Open_Internet (non proxy aware) verso un sito pubblico che, se raggiunto, blocca la seconda attività, quella di diffusione sulla rete.

Non si escludono ulteriori problematiche legate alla propagazione di un’ulteriore versione di “WannaCry” 2.0, ovvero al riavvio delle macchine per la giornata di domani, inizio della settimana lavorativa.

Pertanto per difendersi dall’attacco, oltre ad eseguire affidabili backup al fine di ripristinare facilmente i sistemi interessati in caso di cifratura da parte di WannaCry, si consiglia quanto prima di:

Lato client
- eseguirel’aggiornamento della protezione per sistemi Microsoft Windows pubblicato con bollettino di sicurezza MS17-010 del 14 marzo 2017;
- aggiornare software antivirus:
- disabilitare dove possibile e ritenuto opportuno i seguenti servizi: Server Message Block (SMB) e Remote Desktop Protocol (RDP);
- il ransomware si propaga anche tramite phishing pertanto non aprire link/allegati provenienti da email sospette;
- il ransomware attacca sia share di rete che backup su cloud, quindi per chi non l'avesse ancora fatto aggiornare la copia del backup e tenere i dati sensibili isolati.

Lato sicurezza perimetrale
- eseguire gli aggiornamenti di sicurezza degli apparati di rete preposti al rilevamento delle istruzioni (IPS/IDS);
- dove possibile e ritenuto opportuno bloccare tutto il traffico in entrata su protocolli: Server Message Block (SMB) e Remote Desktop Protocol (RDP).



http://www.poliziadistato.it/articolo/3 ... 518737032/

1) le vittime ricevono il malware via rete (non si hanno al momento evidenze di mail vettore dell’infezione).
2) Il malware si installa infatti nella macchina “vittima” sfruttando il noto bug EternalBlue e deposita l’eseguibile mssecsvc.exe nella directory di sistema C:\windows.
5) La seconda provvede a propagare il malware sulla eventuale LAN presente sfruttando la vulnerabilità suddetta del protocollo SMB con le porte TCP 445 e 139. Questa seconda componente inoltreeffettua scansioni in rete alla ricerca di nuovi target da infettare via SMB porta 445.

È importante notare che questa non è una minaccia che esegue semplicemente la scansione di reti interne per identificare dove diffondersi, ma è anche in grado di diffondersi sulla base delle vulnerabilità che trova in altri [b]hosts esterni che si trovano in Internet.[/b]
http://blog.talosintelligence.com/2017/05/wannacry.html

- il ransomware si propaga anche tramite phishing pertanto non aprire link/allegati provenienti da email sospette;