ItaPFEPlat

GPO Backup and Restore

Alan La Pietra — Thu, 14 Dec 2017 15:56:02 GMT

Ciao a tutti, rieccoci con un post relativo alle GPO. Uno dei problemi ricorrenti è quello di creare un ambiente di test, "clone" della produzione, dove importare tutte le Group Policy con relativi GpLink, Permessi, OU etc etc. Ho provato vari script, anche quelli che si trovano online o sulla Gallery TechNet, ma alla fine i vecchi GPMC Scripts sono risultati i più semplici. La cosa carina è che permettono di fare un Export dell'ambiente delle GPO in file XML che successivamente è possibile importare nel laboratorio di test, con la conseguente creazione delle GPO, dei Link, delle OU.....etc !!buono!! Per prima cosa sul DC ho creato una cartella C:\GPO\backup, poi ho scaricato questo pacchetto https://gallery.technet.microsoft.com/Group-Policy-Management-17a5f840 Una volta scaricato ho copiato il contenuto dello zip nel percorso creato in precedenza C:\GPO A questo punto, sempre dal DC, tramite CMD (da amministratore) ho eseguito i seguenti comandi: cd c:\gpo c:\gpo> cscript CreateXMLfromEnvironment.wsf "/domain:dominio.dom /templatepath:"C:\GPO\Backup" --> (questo crea un file XML in C:\GPO ed esporta le GPO in C:\GPO\backup) c:\gpo> cscript CreateEnvironmentFromXML.wsf /xml:"C:\GPO\dominio.xml /domain:dominio.dom /dc:NomedelDC --> (questo crea la struttura delle OU, le GPO, i Link ed i permessi) Utilizzare questo metodo solo per creare un ambiente di test che riproduca le GPO di produzione. Se utilizzate Windows Server Backup (una Feature da abilitare su Windows Server) potete creare un Full Backup, il cosiddetto BMR backup, che vi permetterà di ripristinare l'intero server in laboratorio con il vantaggio di importare oltre alle GPO tutti il resto, dischi etc. Saluti PFE

New ransomware, old techniques: Petya adds worm capabilities

Alan La Pietra — Wed, 28 Jun 2017 15:02:07 GMT

Aggiornamento ufficiale sullo stato del nuovo Ransomware Petya https://blogs.technet.microsoft.com/mmpc/2017/06/27/new-ransomware-old-techniques-petya-adds-worm-capabilities/

DFSR - verificare il Content Freshness

Alan La Pietra — Wed, 19 Oct 2016 11:21:19 GMT

Il Content Freshness determina quanto tempo deve attendere il DFSR prima di impostare una connessione come fallita. Di default è uguale a 0. In genere viene raccomandato di impostarlo ad almeno 60 giorni o al valore del TSL (TombStoneLifetime). Per verificare il TSL:

dsquery * “cn=directory service,cn=windows nt,cn=services,cn=configuration,dc=” –scope base –attr tombstonelifetime

Per verificare l'impostazione del Content Freshness sul DC:

wmic.exe /node:%computername% /namespace:\\root\microsoftdfs path DfsrMachineConfig get MaxOfflineTimeInDays

Per verificare l'impostazione del Content Freshness su tutti i DC:

For /f %i IN ('dsquery server -o rdn') do @echo %i && @wmic /node:"%i" /namespace:\\root\microsoftdfs path DfsrMachineConfig get MaxOfflineTimeInDays

Per impostare il Content Freshness a 180 giorni eseguire il seguente comando:

wmic.exe /namespace:\\root\microsoftdfs path DfsrMachineConfig set MaxOfflineTimeInDays=180

In alcuni casi, come per esempio dopo uno shutdown imprevisto, il DFSR entra in protezione e smette di replicare. A seconda della versione del SO potrebbe essere necessario intervenire manualmente per ripristinare la replica (***). Nel DFS-Replication log si avranno i seguenti eventi: 2213 -> replica ferma, ripristinare con il comando Wmic indicato in fondo alla descrizione dello stesso evento (***) 2212 --> indica che è stato rilevato uno shutdown imprevisto Qualora la replica DFS-R restasse "disconnessa" per più del MaxOfflineTimeInDays, verrebbe loggato il seguente evento: 4012 --> indica che la replica è rimasta ferma per più del MaxOfflineTimeInDays e che al prossimo ciclo il DFSR rimpiazzerà i dato con quelli di un altro server parte dello stesso Gruppo Di Replica Procedere con la verifica dello stato del DFSR su tutti i server eseguendo il seguente comando:

For /f %i IN ('dsquery server -o rdn') do @echo %i && @wmic /node:"%i" /namespace:\\root\microsoftdfs path dfsrreplicatedfolderinfo WHERE replicatedfoldername='SYSVOL share' get state

I valori indicati da "state" possono essere i seguenti:

0 = Uninitialized
1 = Initialized
2 = Initial Sync
3 = Auto Recovery
4 = Normal
5 = In Error

Nel caso venga riportato il valore 5 = In Error, è possibile fare un Non-Auth Restore su quel server. Seguire le indicazioni riportate nell'articolo seguente: https://support.microsoft.com/en-us/kb/2218556 Per semplificare le indicazioni riportate nell'articolo, in pratica viene scelto un server come Autoritativo (in genere PDCe) e quello con l'errore come Non Autoritativo, andando ad agire su degli attributi del DFSR.

Per Effettuare un Restore NON-Autoritativo
- Fermo DFSR sul server con l'errore
- Imposto msDFSR-Enabled=FALSE
- Forzo replica (repadmin /syncall)
- DFSRDIAG POLLAD --> Evento 4114
- Imposto msDFSR-Enabled=TRUE
- Forzo replica (repadmin /syncall)
- DFSRDIAG POLLAD --> Evento 4614 3 4604
Per Effettuare un Restore Autoritativo
- DC Autoritativo (PDCe)
  - Stop DFSR
  - Imposto msDFSR-Enabled=FALSE
  - Imposto msDFSR-options=1
- DC NON-Autoritativo
  - Stop DFSR
  - Imposto msDFSR-Enabled=FALSE
  - Forzo replica (repadmin /syncall)
  - Forzo replica (repadmin /syncall /AeP)
- DC Autoritativo (PDCe)
  - Avvio DFSR --> Evento 4114
  - Imposto msDFSR-Enabled=TRUE
  - Forzo replica (repadmin /syncall /AeP)
  - DFSRDIAG POLLAD --> Evento 4602
- DC NON-Autoritativo
  - Avvio DFSR --> Evento 4114
  - Imposto msDFSR-Enabled=TRUE
  - DFSRDIAG POLLAD

*** DFSR Autorecovery Override: https://blogs.technet.microsoft.com/itapfeplat/2014/05/22/dfsr-autorecovery-override/ Saluti PFE Italia

Cercare un valore dell'attributo UserAccountControl tramite powerShell

Alan La Pietra — Fri, 14 Oct 2016 10:37:28 GMT

Sicuramente avrete avuto modo di giocare con le impostazioni degli utenti di Active Directory. In particolare quelle presenti nel TAB Account. Una delle impostazioni fastidiose era quella di dover riabilitare il "DES Only Encryption" per accedere ad applicazioni/sistemi legacy (vecchi). E' possibile eseguire un powershellino semplice semplice per trovare gli utenti con questi settaggi. Aprire PS come amministratore ed eseguire il seguente comando: Get-ADUser -Filter {UserAccountControl -band 0x200000} --> in tal caso cercherà USE_DES_KEY_ONLY Il parametro da modificare è l'esadecimale dopo il -band, facendo riferimento alla seguente tabella a seconda dell'impostazione da ricercare

Property Flag	Value in Hexadecimal	Value in Decimal
SCRIPT	0x0001	1
ACCOUNTDISABLE	0x0002	2
HOMEDIR_REQUIRED	0x0008	8
LOCKOUT	0x0010	16
PASSWD_NOTREQD	0x0020	32
PASSWD_CANT_CHANGE	0x0040	64
ENCRYPTED_TEXT_PWD_ALLOWED	0x0080	128
TEMP_DUPLICATE_ACCOUNT	0x0100	256
NORMAL_ACCOUNT	0x0200	512
INTERDOMAIN_TRUST_ACCOUNT	0x0800	2048
WORKSTATION_TRUST_ACCOUNT	0x1000	4096
SERVER_TRUST_ACCOUNT	0x2000	8192
DONT_EXPIRE_PASSWORD	0x10000	65536
MNS_LOGON_ACCOUNT	0x20000	131072
SMARTCARD_REQUIRED	0x40000	262144
TRUSTED_FOR_DELEGATION	0x80000	524288
NOT_DELEGATED	0x100000	1048576
USE_DES_KEY_ONLY	0x200000	2097152
DONT_REQ_PREAUTH	0x400000	4194304
PASSWORD_EXPIRED	0x800000	8388608
TRUSTED_TO_AUTH_FOR_DELEGATION	0x1000000	16777216
PARTIAL_SECRETS_ACCOUNT	0x04000000	67108864

E' possibile combinare i valori, quindi per esempio: 0x10000 = DONT_EXPIRE_PASSWORD 0x0080 = ENCRYPTED_TEXT_PWD_ALLOWED 0x200000 = USE_DES_KEY_ONLY sommiamo i valori ed otteniamo il valore da inserire nel comando PS dopo -band 0x10000 + 0x0080 + 0x200000 = 2162816 Get-ADUser -Filter {UserAccountControl -band 2162816}

Rinominare il NUOVO Domain Controller con il NOME ed IP del VECCHIO

Alan La Pietra — Fri, 23 Sep 2016 09:44:34 GMT

[bing_translator]

Una delle esigenze che emergono durante un aggiornamento di Active Directory è quella di dover rinominare i nuovi Domain Controller con il Nome ed IP dei vecchi. Quindi per esempio avrò:

DC1 (2008) - IP 10.10.10.10
DC2 (2008) - IP 10.10.10.11
DC3 (2012R2) - IP 10.10.10.100
DC4 (2012R2) - IP 10.10.10.101

Ci sono due metodi per ottenere lo stesso risultato. Il primo, più semplice, è quello di procedere con la rimozione di AD da DC1 e DC2 (demote) prima di inserire DC3 e DC4. In genere si inizia dal secondo server.

Rimozione AD e ruolo Domain Services da DC2
Rinominare in DC2-OLD
Cambio IP
Spegnimento
Rinominare DC4 in DC2
Assegnare a questo nuovo DC2 IP 10.10.10.11
Installare il ruolo di Domain Services e promuovere a DC.
Stessa cosa fra DC1 e DC3.

Il secondo metodo si utilizza quando si utilizza quando i DC 2012R2, nel nostro esempio DC3 e DC4, sono già installati e promossi a domain Controller. Anche qui si preferisce iniziare dal secondo DC.

Rimozione AD e ruolo Domain Services da DC2
Rinominare in DC2-OLD
Cambio IP
Spegnimento
Su DC4 eseguire il comando NETDOM per rinominare
- Effettuare come prima cosa una verifica preliminare con il seguente comando: Netdom computername /ENUMerate ###dove il parametro è l’host name temporaneo del DC2012, ad es.: Netdom computername DC4 /ENUMerate ###Il risultato atteso di questo comando è la visualizzazione di un solo nome. ------
- Poi il comando da eseguire per aggiungere l’host name definitivo è il seguente: Netdom computername /add: ###dove il parametro è l’FQDN del vecchio DC2008, ad es.: Netdom computername DC4 /add: DC2.dominio.intra ------
- Successivamente, va eseguito il seguente comando per rendere primario l’ sul DC: Netdom computername /MAKEPRIMARY Netdom computername DC4 /MAKEPRIMARY DC2.dominio.intra ------
- Procedere quindi al riavvio del DC per rendere operativo il cambiamento. ------
- Dopo il riavvio verificare che siano presenti due nomi: Netdom computername /ENUMerate ###dove il parametro è il nome del vecchio DC2008 Netdom computername DC02 /ENUMerate ------
- Eseguire il comando per rimuovere il nome temporaneo: Netdom computername /remove: ###dove il parametro è l’FQDN del nome temporaneo del DC2012, ad es.: Netdom computername DC2 /remove: DC4.dominio.intra ------
- Infine verificare che sia presente un solo nome: Netdom computername DC2 /ENUMerate
- Cambio IP in 10.10.10.11
Effettuare gli stessi passi del precedente paragrafo 5 per DC1 e DC3
- Effettuare come prima cosa una verifica preliminare con il seguente comando: Netdom computername /ENUMerate ###dove il parametro è l’host name temporaneo del DC2012, ad es.: Netdom computername DC3 /ENUMerate ###Il risultato atteso di questo comando è la visualizzazione di un solo nome. ------
- Poi il comando da eseguire per aggiungere l’host name definitivo è il seguente: Netdom computername /add: ###dove il parametro è l’FQDN del vecchio DC2008, ad es.: Netdom computername DC3 /add: DC1.dominio.intra ------
- Successivamente, va eseguito il seguente comando per rendere primario l’ sul DC: Netdom computername /MAKEPRIMARY Netdom computername DC3 /MAKEPRIMARY DC1.dominio.intra ------
- Procedere quindi al riavvio del DC per rendere operativo il cambiamento. ------
- Dopo il riavvio verificare che siano presenti due nomi: Netdom computername /ENUMerate ###dove il parametro è il nome del vecchio DC2008 Netdom computername DC01 /ENUMerate ------
- Eseguire il comando per rimuovere il nome temporaneo: Netdom computername /remove: ###dove il parametro è l’FQDN del nome temporaneo del DC2012, ad es.: Netdom computername DC1 /remove: DC3.dominio.intra ------
- Infine verificare che sia presente un solo nome: Netdom computername DC1 /ENUMerate
- Cambio IP in 10.10.10.10

Microsoft vs. VMware TCO calculator

Alan La Pietra — Wed, 07 Sep 2016 15:03:48 GMT

Bellissimo strumento online per il calcolo del TCO fra Hyper-V e VmWare https://datacenter-tco-tool.azurewebsites.net

RSS - Receive Side Scaling impostazioni di default a seconda del S.O.

Alan La Pietra — Wed, 30 Mar 2016 12:22:54 GMT

Di seguito le impostazioni del "Receive Side Scaling". Dove la chiave di registro non è presente si presume il valore di Default. Da 2012 e superiori le impostazioni sono le seguenti:

EnableRSS (Default: 1, Recommendation: 1)
EnableTCPChimney (Default: 0, Recommendation: 0)
EnableTCPA (Default: 0)
DisableTaskOffload (Default: 0)

Per 2008R2:

EnableRSS (Default: 1, Recommendation: 1)
EnableTCPChimney (Default: 1, Recommendation: 1)
EnableTCPA (Default: 1)
DisableTaskOffload (Default: 0)

Per 2008:

EnableRSS (Default: 1, Recommendation: 1)
EnableTCPChimney (Default: 0, Recommendation: 0)
EnableTCPA (Default: 1)
DisableTaskOffload (Default: 0)

1 = abilitato, 0 = disabilitato Per verificare le impostazioni utilizzare il seguente comando:

netsh int tcp show global

TCP/IPv4 and TCP/IPv6 Common Registry Settings: https://msdn.microsoft.com/en-us/library/ee495047(v=winembedded.70).aspx

Dev tools for IIS - Scan Site, Download VMs, rendering of images COOL!!!!

Alan La Pietra — Fri, 18 Mar 2016 08:33:09 GMT

Ciao a tutti, oggi è uscita la nuova versione di Windows 10 Build 1429. Fra le novità si sarà la possibilità di inserire le estensioni di Edge, tipo translator, reddit e mouse gestures: https://dev.windows.com/it-it/microsoft-edge/extensions/ La cosa interessante, che sicuramente in pochi conoscono, è che nel portale sono disponibili degli strumenti molto utili per gli sviluppatori e amministratori IT riguardo IE (Edge): https://dev.windows.com/it-it/microsoft-edge/tools/ E' possibile scansionare il proprio sito web ed ottenere la lista delle problematiche riscontrate o configurazioni consigliate, con tanto di spiegazione: https://dev.windows.com/it-it/microsoft-edge/tools/staticscan/ Se si vuole verificare il rendering del proprio sito con le varie versioni di brower: https://dev.windows.com/it-it/microsoft-edge/tools/screenshots/ Inoltre è possibile scarivare le VM di test per versione IE desiderata e relativo Sistema Operativo, Windows, Mac, Linux: https://dev.windows.com/it-it/microsoft-edge/tools/vms/windows/ Utillizare RemoteApp per testare HTML5Edge: https://dev.windows.com/it-it/microsoft-edge/tools/remote/ Buona navigazione

Ransomware: misure di protezione - 2° puntata

Alan La Pietra — Thu, 17 Mar 2016 15:26:00 GMT

Cosa fare se si è colpiti da un Ransomware

È bene chiarire da subito che non è possibile decifrare i file cifrati dal Ransomware, a meno che qualcuno non sia riuscito a prendere il controllo della botnet e della rete di sistemi che generano e distribuiscono il malware, e da qui a risalire alle chiave di cifratura usate per cifrare in modo unico i documenti di ogni singolo utente con chiavi uniche per documento. Ad oggi questo è stato possibile solo in rari casi. La soluzione migliore per recuperare i dati è quindi quella di avvalersi dei backup. È fondamentale verificare di avere adottato una strategia di backup tale da consentire il recupero del maggior numero di documenti possibili e tale da impedire nel contempo l’infezione dei backup stessi. In quest’ottica risultano molto utili tecnologie di backup che mantengono diverse versioni dei documenti, consentendo così di risalire a versioni non cifrate del documento. Se sul computer era attiva la File History (in Windows 10 e Windows 8.1) o la System Protection (in Windows 7 e Windows Vista) prima dell’infezione, è possibile recuperare versioni precedenti dei propri file. Occorre però osservare che alcuni Ransomware cifrano o cancellano anche le versioni di backup dei file, per cui spesso non è possibile affidarsi a queste funzionalità per recuperare i file. Una volta verificata la presenza di un backup valido, la prima azione da fare è comunque quella di sottomettere il sample del malware al proprio fornitore di antivirus, e successivamente fare una scansione completa del sistema per ripulirlo dall’infezione. L’opzione migliore è quella di reinstallare il sistema completamente. Successivamente si può quindi procedere col ripristino da backup dei propri dati. Se i documenti che sono stati cifrati sono memorizzati su uno strumento come OneDrive o OneDrive for Business, è possibile recuperare eventuali versioni precedenti e non cifrate dei file: Pagare il riscatto è l’ultima delle opzioni, ma essa non fornisce nessuna garanzia di poter effettivamente recuperare i file, rende la vittima un obiettivo preferenziale per ulteriori attacchi, e infatti si è osservato che dopo il pagamento spesso il Ransomware torna ad infettare il sistema.

Soluzioni per prevenire il rischio di Ransomware

Al di là di come recuperare i documenti in caso di infezione, la vera domanda è come fare a prevenire in futuro il rischio di ulteriori infezioni e la conseguente perdita di dati e di operatività. È necessario adottare un approccio strutturato e una strategia di sicurezza a vari livelli, che darà benefici non solo per ridurre l’impatto di questa particolare minaccia ma che deve rientrare in un piano di sicurezza più ampio volto a ridurre il rischio ad un livello accettabile per la specifica organizzazione. Le aree di interventi principali sono le seguenti:

Formazione degli utenti
Misure di sicurezza sulla posta elettronica
Application Whitelisting
Misure di sicurezza sull’antivirus
Aggiornamento dei sistemi
Misure di sicurezza sul browser e in Office

Tutto questo deve essere affiancato da opportune politiche di backup tali da garantire la disponibilità del dato anche a fronte di questi attacchi, e deve rientrare in una strategia di sicurezza complessiva. Approfondiamo ora alcune di queste misure.

Formazione degli utenti

Senza alcuna ombra di dubbio, l’azione più efficace per ridurre il rischio di infezioni da Ransomware è la formazione degli utenti attraverso un programma periodico che educhi gli utenti a riconoscere mail e comportamenti sospetti e a diffidare dall’aprire messaggi inattesi, soprattutto se provenienti da mittenti non conosciuti e da cui comunque abitualmente non si ricevono messaggi. Tra le risorse utili in questo senso ricordo il Microsoft Security Awareness Training Toolkit e il sito della Polizia Postale (https://www.commissariatodips.it).

Misure di sicurezza sulla posta elettronica

Assicurarsi che le misure minime di protezione della posta elettronica siano correttamente configurate. Tra queste è consigliabile:
- Bloccare a livello di posta gli allegati che possono contenere codice eseguibile: .exe, .cmd, .scr, .lnk, estensioni di scripting (ad esempio .vbs, .js) e tutte le altre estensioni legate a file che possono includere codice eseguibile. Bloccare I file zip nel caso l’antivirus per la posta non ne faccia la scansione.
- Assicurarsi che il sistema anti-spam sia funzionante e aggiornato, avvalendosi di tecnologie come l’uso di Sender Policy framework
Utilizzare strumenti avanzati di protezione della posta che siano in grado di impedire che l’allegato contenente componenti malevole o i link a siti malevoli siano verificati ed eventualmente bloccati prima di raggiungere la caselle di posta dell’utente. Un esempio di queste tecnologie è la componente Advanced Threat Protection (ATP) di Exchange Online

Application Whitelisting

Usare le funzionalità di Application Whitelisting che sono già presenti nel sistema operativo è una delle misure più efficaci a prevenire l’infezione da Ransomware. Ad esempio questa misura è riconosciuta essere dall’ente di sicurezza del governo australiano (https://www.asd.gov.au/infosec/mitigationstrategies.htm ), come la prima misura in assoluto più efficace per prevenire intrusioni

Sulle versioni Enterprise di Windows, è possibile usare delle politiche basate su AppLocker per bloccare l’esecuzione di file dalla cartella c:\users\\Appdata, o ancora meglio, definire quale è il software aziendale che deve essere permesso e bloccare di conseguenza tutte le altre tipologie di software non desiderato.
Su Windows 10 è disponibile la funzionalità chiamata Device Guard che permette di definire esattamente il software consentito: si tratta di una misura specialmente utile in quegli scenari dove l’IT ha un buon controllo del software installato sui propri sistemi, e dove siamo in presenza di sistemi su cui è ben definita la pila software necessaria.
Su versioni non-Enterprise, usare le Software Restriction Policies.

Misure di sicurezza sull’antivirus

È importante utilizzare un antivirus costantemente aggiornato, e, dove possibile, avvalersi di funzionalità che permettano di ottenere delle signature dinamiche da servizi online. Per coloro che usano un antivirus come Windows Defender o System Center Endpoint Protection questa funzionalità si può abilitare come segue:

abilitare la funzionalità MAPS “Advanced membership” che migliora del 20% la detection di nuove varianti del virus che vengono rilasciate a decine ogni giorno.
Assicurarsi che in SCEP sia abilitata la scansione delle email e degli allegati

Aggiornamento dei sistemi

Mantenere i sistemi allineati al rilascio degli ultimi aggiornamenti di sicurezza, non solo del sistema operativo ma specialmente di applicazioni terze come Java, Shockwave, Silverlight, che sono quelle maggiormente sfruttare per introdurre il virus grazie alla diffusione dell’ Angler Exploit kit
Implementare lo strumento gratuito EMET per limitare gli attacchi sulle applicazioni non aggiornate e gli attacchi zero-day.

Misure di sicurezza sul browser e in Office

Abilitare in Internet Explorer l’uso del filtro SmartScreen che verifica l’attendibilità del sito visitato e l’assenza di malware noti
Abilitare la funzionalità di blocco dell’esecuzione dei controlli ActiveX obsoleti per evitare che vengano sfruttate vulnerabilità note in questi componenti.
Bloccare l’esecuzione delle macro negli strumenti Office, consentendo la sola esecuzione di macro a partire da file che risiedono in una locazione affidabile, come il proprio file server o Sharepoint. Anche questa configurazione può essere controllata a partire da politiche centralizzate.

Risorse

Formazione

Security Awareness Training Toolkit: https://www.microsoft.com/en-us/download/details.aspx?id=11428
Sito pubblico di Microsoft con le raccomandazioni contro Ransomware: https://www.microsoft.com/en-us/security/portal/mmpc/shared/ransomware.aspx?c2901eeb-2a9e-438d-8928-1a4a16f316e5=True
Video (in inglese) che spiega il problema e le possibili mitigazioni: https://channel9.msdn.com/Blogs/Taste-of-Premier/Ransomware101

Posta elettronica

ATP: https://blogs.office.com/2015/04/08/introducing-exchange-online-advanced-threat-protection per maggiori dettagli)
Office 365: https://support.microsoft.com/en-us/kb/kbview/2640313
Exchange: https://blogs.technet.com/b/industry_insiders/archive/2006/01/24/spf-in-sp2-exchange.aspx

Application Whitelisting

Windows 7 AppLocker Executive Overview: https://msdn.microsoft.com/en-us/library/dd548340(v=ws.10).aspx
AppLocker Step-by-Step Guide: https://technet.microsoft.com/en-us/library/dd723686(v=WS.10).aspx

EMET

Ransomware: misure di protezione - 1° puntata

Alan La Pietra — Thu, 17 Mar 2016 15:23:21 GMT

Ciao a tutti, per prima cosa vorrei precisare che l'articolo è stato redatto da Andrea Piazza, esperto di sicurezza in Microsoft. Oggi parliamo di un problema che sta affliggendo molti utenti ed aziende, noto come Ransomware e fra i più citati CriptoLocker. Questo tipo di malware si inserisce nel PC di utenti ignari o addirittura aziende, ed una volta attivato cripta i file e tutto quello che trova nelle share sia locali che in rete. Una volta criptati i file viene visualizzata una pagina "informativa" dove viene richiesta una somma di denaro "variabile" in cambio della chiave "privata".............ma il dubbio è!! Una volta che si è deciso di inviare i soldi si è sicuri di ricevere la chiave di decrittazione?!?!?!?

Il problema ransomware

I primi mesi del 2016 sono stati caratterizzati da un numero impressionante di aziende ed enti pubblici che sono stati colpiti da Ransomware: una tipologia di malware che cifra il contenuto dei documenti presenti sul computer e richiede all’utente il pagamento di un riscatto per decifrare i file e tornare ad avere il controllo dei propri documenti. Non si tratta certo di un fenomeno nuovo, visto che i primi malware di questa tipologia hanno già alcuni anni di vita, ma la diffusione della minaccia in queste settimane è diventata tale da far sì che ogni azienda ne sia stata impattata in misura più o meno grande, a livello mondiale. Nelle cronache troviamo casi eclatanti, come quello dell’ospedale americano Hollywood Presbiterian Medical Center che ha pagato 17000 dollari di riscatto pur di poter ripristinare la sua operatività al più presto. Uno studio della Cyber Threat Alliance mostra come una sola campagna, Cryptowall, abbia portato per i criminali a profitti dell’ordine dei 325 milioni di dollari, avendo portato all’infezione di circa 400.000 sistemi. Il fenomeno in questo momento impatta sistemi di diversi tipo, da Windows ad Android alla piattaforma OS X. A fronte di una tale aggressività dei criminali, quali sono gli strumenti a disposizione di chi si difende? Analizziamo le caratteristiche tipiche di queste minacce per poi approfondire le tecniche di protezione più efficaci.

Come funziona un Ransomware

Esistono diverse tipologie di ransomware, ma tutte hanno in comune il fatto di impedire di usare il computer normalmente, e di richiedere di compiere qualche azione prima di tornare ad usare il PC. Oltre ai Ransomware che cifrano i file, ne esistono altri che impediscono di accedere al proprio sistema o che bloccano certe applicazioni (come il browser). In genere richiedono di compiere delle specifiche azioni per tornare ad avere accesso ai documenti o al PC:

Pagare un riscatto (tramite Bitcoin o carta di credito).
Compilare un’intervista.

Spesso il ransomware accusa l’utente di aver commesso delle azioni illegali e lo minaccia di essere multato da una forza di polizia o da un’agenzia governativa. Si tratta ovviamente di accuse false, che si basano su una tecnica intimidatoria per indurre l’utente a pagare il riscatto prima di aver contattato qualcuno in grado di ripristinare il sistema. Non c’è garanzia che il pagamento del riscatto porti al recupero dell’accesso ai file o al sistema. Tipicamente viene richiesto di effettuare il pagamento attraverso una connessione alla rete di anomizzazione Tor che minimizza per i criminali il rischio di essere individuati.

Meccanismi di infezione

Ci sono 3 meccanismi principali di infezione da Ransomware:

Una mail di spam che contiene un allegato
Un sito compromesso che sfrutta una vulnerabilità (del browser o di plug-in come Java, e Flash Player)
Altri malware che distribuiscono il Ransomware

Per esempio nel caso di Cryptowall (noto anche come Win32/Crowti), il Microsoft Malware Protection Center ha identificato che la distribuzione avveniva anche tramite dei kit di exploit (Nuclear, RIG, RedKit V2) che includono la possibilità di sfruttare diverse vulnerabilità, tra cui alcune su Java e Flash. È stato inoltre osservata la distribuzione da parte di altri malware come Upatre, Zbot, e Zemot. Crowti è stato rilevato da Microsoft su 850.000 PC tra Giugno e Novembre 2015. La figura seguente mostra le famiglie di Ransomware più diffuse nel periodo giugno-novembre 2015. Tra le famiglie più recenti, che hanno impattato centinaia di migliaia di sistemi, ricordo Locky e Cerber. Locky è tipicamente distribuito a partire da una mail di spam che include un documento Word, che è usato per eseguire delle Macro in Office. La Macro fa sì che il malware venga scaricato sul sistema e inizi poi la fase di ecnryption dei documenti. Locky può anche utilizzare una tecnica relativamente nuova basata sull’uso dei Javascript per scaricare il malware ed evadere la rilevazione dell’antivirus. Rispetto ai Ransomware precedenti, Cerber aggiunge un messaggio vocale che segnala all’utente che tutti i suoi documenti sono stati criptati per indurre la vittima a pagare il riscatto. Siamo quindi in presenza del primo Ransomware “parlante”. https://blogs.technet.microsoft.com/itapfeplat/ransomware-misure-di-protezione-2-puntata/