Analisi Attacchi Ransomware Distribuiti sulle reti aziendali
I Moderni attacchi Ransomware si sono evoluti notevolmente e oggi la tipologia di aggressione che viene fatta viene eseguita su infrastrutture di rete in modo distributo ed orizzontale.
In tutti gli attacchi hacker che abbiamo analizzato tra il 2021 e il 2022 il punto di ingresso è sempre stato identificato in una Workstation posizionata nella rete aziendale sulla quale è stato eseguito un UAC di provilegi interni per prenderne il controllo ed utilizzarla per un periodo prolungato come testa di ponte per analizzare tutte le macchine presenti in rete ed attaccare le data position strategiche dell’azienda.
Al termine delle analisi condotte dall’attaccante, vengono prese in considerazione i NAS QNAP spesso usati come backup per VEEAM e i data store.
Puo’ sembrare incredibile, ma gli attacchi sui datastore ESX vengono condotti superando i controlli di sicurezza ed ottenendo un accesso shell.
L’attaccante riesce nella maggior parte dei casi nella interruzione dell’esercizio delle VM in esecuzione e ne cripta direttamente i file danneggiando i metadati della virtual machine e il file contenente i dati.
In tutti i casi le VM vengono rese completamente inoperabili e il file system viene danneggiato.
Attacco sulle posizioni di backup
Qualsiasi azienda che dispone di datastore ha adottato una strategia di disaster recovery ed è comune che vengano utilizzate procedure di backup su NAS, copie di sicurezza incrementali e differenziali con Veeam, Acronis o Arcserve.
L’attaccante prima di lanciare il processo ha già eseguito una analisi completa delle vulnerabilità della rete e ha già prodotto una escalation di privilegi sulle posizioni di backup disponibili, compresi eventuali hard drive collegati come sicurezza aggiuntiva agli storage di backup stessi.
Gli attacchi sulle posizioni di backup sono sempre distruttivi
L’attacco sulle posizioni di backup è normalmente condotto in modo distruttivo, una volta identificata lo storage contenente le copie di sicurezza vengono lanciate procedure di cancellazione-distruzione delle partizioni direttamente da interfaccia di management del NAS ad esempio o cancellazione dei dati direttamente sulla condivisione.
Per evitare eventuali tentativi di data recovery sulle partizioni attaccate è comune che l’attaccante utilizzi dei software con reiterazione di scrittura, in modo da limitare o annullare interventi efficaci di data recovery professionale.
E’ comune che una semplice cancellazione di dati da NAS o una inizializzazione del volume dati producano una perdita totale dei dati contenuti, ed essendo i backup di Virtual Machine tipicamente molto grandi e frammentati le possibilità di un intervento di recovery sono molto limitate.
Possibilità di recovery in seguito ad attacchi hacker orizzontali
Come per qualsiasi altro crimine, il tempo a disposizione dell'attaccante è estremamente limitato, e spesso vengono commessi errori tecnici o l'hacker incontra degli ostacoli tecnici durante l'aggressione del data center.
Analisi approfondite condotte su tutte le posizioni strategiche possono rivelare errori o superficialità commesse durante l'attacco e utilizzate per pianificare una strategia di restore efficace.
Statistiche di risultato di recovery su Data Center 2023
In tutti i casi nel 2023 in cui siamo intervenuti è stato ottenuto un risultato efficace e nella maggior parte dei casi completo.
In molti casi le Virtual Machine colpite sono state "riparate" e rese di nuovo funzionali senza la necessità di reinstallare i sistemi operativi ed i software configurati.
METRO A ANAGNINA