C’è sempre più la necessità di implementare una condizione di sicurezza all’interno di realtà in cui non c’è l’effettiva conoscenza dell’importanza di mantenere sicuri i propri dati, questo spesso avviene mettendo in secondo piano la rilevanza di una metodologia di sicurezza efficiente. Infatti, questa breve guida, serve a poter mettere in atto tutte quelle strategie in grado di limitare il possibile attacco. Mario Mancini.

1. CRYPTOLOCKER: Come limitare il rischio
Cos’è il Cryptolocker
Il Cryptolocker è il malware che, una volta insediatosi sul sistema, “prende in ostaggio” tutti i
file personali dell’utente memorizzati sul personal computer.
Nello specifico si tratta di un trojan comparso nel tardo 2013. Questo virus è una forma di
ransomware infettante sistemi Windows, consiste nel criptare i dati della vittima con una chiave
di cifratura RSA 2048Bit asimmetrica funzionante solo via internet e richiedere un pagamento
per la decriptazione, mediante circuito monetario anonimo, denominato “Bitcoin”.
Il Symantec stima che circa il 3% di chi è colpito dal malware decide di pagare. Alcune vittime
dicono di aver pagato l’attaccante ma di non aver visto i propri file decifrati.
Funzionamento
Cryptolocker generalmente si diffonde come allegato di posta elettronica apparentemente
lecito e inoffensivo che sembra provenire da istituzioni legittime, o viene caricato su un
computer già facente parte di una botnet.
Un semplice esempio potrebbe essere quello di ricevere un’email contenente come allegato
una fattura o un ordine specifico. Questo può portare ad inganno, credendo che la
comunicazione che ci si presenta sia innocua.
Alcune varianti del malware possono invece contenere il Trojan Zeus, che a sua volta, colloca
il Cryptolocker.
Al primo avvio, il software si installa nella cartella Documents and Settings con un nome casuale
e aggiunge una chiave al registro che lo mette in avvio automatico. Successivamente tenta di
connettersi a uno dei server di comando e controllo e una volta connesso genera la chiave RSA.
Il malware quindi inizia a cifrare i file del disco rigido e delle condivisioni di rete mappate
localmente con la chiave pubblica, e salva ogni file cifrato in una chiave di registro.
Il software quindi informa l’utente di aver cifrato i file e richiede un pagamento con un voucher
anonimo prepagato per decifrare i file. Il pagamento deve essere eseguito in 72 o 100 ore o
altrimenti la chiave privata viene cancellata definitivamente e “mai nessuno potrà ripristinare
i file”.
Come limitare il danno
L’unico modo di ottenere nuovamente i propri documenti è quello di pagare il riscatto se non
recuperando i dati da un backup.
Per tali motivi seguendo determinat e politiche di sicurezza, si potrà creare una
condizione di protezione della vostra infrastruttura.
Di seguito, sarà presentato un esempio di protocollo da poter seguire in caso di attacco

2. 1. COMUNICAZIONE DI SERVIZIO AZIENDALE: mediante un email
2. PERMESSI UTENTE SULLA POSTAZIONE: restringendo la funzione dei permessi in modo
che gli utenti non abbiano la possibilità di poter accedere alle funzioni di
amministrazione delle macchine.
Questo permette di restringere il campo d’azione del virus sulle cartelle di sistema, ma
non sull’esecuzione dei vari componenti comunemente installati.
3. DISABILITARE LE IMPOSTAZIONI DI AUTORUN: mediante l’accesso al “registry editor”
come amministrazione. Successivamente, posizionarsi sulla chiave di registro e
disattivare l’autorun impostando la dword su “0”.
Gentili colleghi,
Con la presente si segnala il ritorno in attività di un tipo di virus molto pericoloso che rende
inaccessibili tutti i dati della vittima.
I dati non vengono cancellati ma “presi in ostaggio” e rilasciati solo dopo pagamento di denaro.
In questo caso è importante lavorare i file più utilizzati, sulle vostre unità di rete assegnate e non
sul desktop.
Si consiglia di stare particolarmente attenti ad allegati sospetti che si ricevono via email.
E’ opportuno porsi le seguenti domande:
• conosco il mittente? Lo stile di scrittura è il suo? (Spesso queste email sono sgrammaticate o senza
testo)
• sto aspettando da quel mittente un allegato?
• il file che mi chiedono di scaricare ha un’estensione sospetta? Perché una fattura è in formato ZIP e
non in PDF?
• se l’email mi rimanda ad un sito per scaricare un file, il sito corrisponde con il mittente? (Tenere
conto dell’indirizzo della pagina)
In caso di difficoltà è importante farne comunicazione via email, la quale siamo disponibili per
approfondimenti ed interventi di verifica.
Buona Giornata
Assistenza informatica Contoso LTD

3. 4. IMPOSTARE SHADOW COPY SULLE POSTAZIONI: è possibile accedere a questa funzione
sui sistemi operativi Windows 7 e successivi. Di seguito saranno mostrati i passaggi da
effettuare.

4. 5. MUNIRSI DI SOLUZIONI ENDPOINT/ANTIVIRUS: alcuni sistemi di endpoint possono limitare
i permessi di utilizzo per le varie applicazioni, infatti, si può fare in modo, ad esempio,
che il componente java una volta eseguito non abbia permessi di lettura e scrittura sulle
cartelle di sistema (%SYSTEMROOT%, %WINDIR%, %WINDIR%system32,
%WINDIR%system).
Cosa importante è quella di valutare se il vostro antivirus è aggiornato e successivamente
applicare filtri di
 download protection;
 intrusion prevention;
 motori euristici;
 Web filtering.
6. TUNING RULES SUL SERVIZIO ANTISPAM E-MAIL: applicando una regola di ingresso alla
condizione che le mail ricevute, con allegati *.CAB *.exe *.dll *.vbs *.bat *.cmd *.ink, saranno
messi in quarantena per supervisione dell’amministratore di sistema.
Conclusioni
C’è sempre più la necessità di implementare una condizione di sicurezza all’interno di realtà
in cui non c’è l’effettiva conoscenza dell’importanza di mantenere sicuri i propri dati, questo
spesso avviene mettendo in secondo piano la rilevanza di una metodologia di sicurezza
efficiente. Infatti, questa breve guida, serve a poter mettere in atto tutte quelle strategie in
grado di limitare il possibile attacco.
Mario Mancini
IT System administrator
Twitter: @_mariomancini
LinkedIn: http://it.linkedin.com/in/mariomancini