Stamani un nostro cliente ci ha chiamati segnalando una sequenza di anomalie nel suo computer. Immediatamente gli abbiamo intimato di spegnere il computer “brutalmente”.
Il computer è stato infettato dal virus Zepto. L’infezione è partita alle 11.40 e si è conclusa alle 12.00 nel momento in cui l’utente ha spento. In questo lasso di tempo il virus ha criptato decine di migliaia di file nel computer ospite e in giro per la rete aziendale.
Il virus ha creato una copia di ciascun file su cui poteva agire in scrittura secondo i permessi dell’utente la cui sessione è stata infettata. Terminata la copia di tutta la cartella, ha cancellato il file originale. Il virus sembra agire in multitasking perché i tempi di creazione dei file criptati sono gli stessi su diverse cartelle. Il risultato dell’azione ha portato alla cancellazione dei file sul computer dell’utente mentre sulle cartelle di rete nessun file è stato cancellato. Tutto questo potrebbe indicarci la struttura dell’algoritmo. Ecco di seguito la nostra ipotesi :
Effetti del virus
Il virus ha compromesso irrimediabilmente l’ambiente dell’utente sul computer attaccato. L’ambiente è stato ripristinato tramite un utente locale con permessi amministrativi con il veloce recupero delle impostazioni di active directory. L’utente non ha perso alcun file perché avevamo attivato la remotizzazione della cartella documenti : la cartella documenti è quindi ospitata su server e sincronizzata solo su determinati eventi. La posta è stata immediatamente ripristinata perché è stato utilizzato il nostro servizio IMAP. dedicato. Come abbiamo anticipato il virus non ha avuto il tempo di cancellare i file condivisi su server, lasciandoci solo una gran sporcizia (i nuovi file criptati) eliminata in fretta. Comunque, se fosse riuscito ad agire, immaginate una attacco nel weekend, i dati aziendali non sarebbero stati compromessi perché è sempre attivo un backup remoto con il nostro Cloud.
Questa esperienza conferma i nostri consigli contro i crypto virus:
- Il fattore temporale risulta quindi determinante per arginare il problema, almeno sulla rete : meglio spegnere a caldo il computer in maniera non corretta rischiando uno sbalzo repentino di tensione a qualche componente elettronico, piuttosto che avere una perdita di dati.
- Il virus agisce sul computer attaccato solo sull’utente infettato. Il nostro consiglio è banalmente quello di avere su ciascun computer un utente locale amministratore non usato da alcuno. Questo utente potrà ripristinare il computer. Ragionare bene sui permessi che si concedono agli utenti.
- Le cartelle di rete sui server devono essere condivise solo con gli utenti strettamente necessari e solo con permessi strettamente necessari. Usate le Group policy di active directory per eseguire questa procedura in modo agevole.
- Dovete sempre avere un backup non in linea dei vostri dati su nastro o su Cloud. Ricordate che inserire i dati sulle cartelle condivise con i più noti programmi di cloud storage per utente non serve : essi generano una cartella sui vostri devices uguale a qualsiasi altra cartella.
- Gli antivirus non sono sempre efficaci contro i cryptovirus. Esistono programmi che rivelano l’azione del virus durante l’attacco. Comunque sia, tutti questi programmi possono essere installati solo su un sistema operativo aggiornato. Il nostro utente usava un computer con Windows Xp e quindi non aveva potuto installare il nostro software free Mecdata Dawn Of Justice , con cui si sarebbe potuto accorgere dell’infezione 10 secondi dopo la prima cancellazione.
