L'aumento dell'uso dei tergicristalli nel 2022
I tergicristalli non sono un tipo di malware utilizzato di frequente, perché non offrono all'aggressore l'opportunità di trarre profitto. Il loro scopo principale è quello di causare interruzione e distruzione, rendendoli uno strumento più comune per gli attori degli Stati nazionali e gli hacktivisti.
Nel 2022, l'uso dei tergicristalli ha subito un'impennata. Durante l'invasione russa dell'Ucraina, sono stati utilizzati numerosi wipers per disturbare il governo ucraino, le infrastrutture critiche e le imprese. Nel corso dell'anno, sono stati impiegati almeno nove tergicristalli contro il Paese.
Questi attacchi dimostrano l'aumento dell'uso del malware distruttivo come strumento di guerra informatica. In passato, l'Ucraina ha subito molteplici attacchi contro le sue infrastrutture critiche da parte del malware Industroyer. Tuttavia, la vigilia dell'invasione russa ha mostrato un'impennata drammatica con tre nuove varianti di malware - HermeticWiper, HermeticWizard e HermeticRansom - distribuite in un solo giorno.
Come funziona un tergicristallo?
Lo scopo di un tergicristallo è quello di rendere i dati inaccessibili e inutilizzabili. Tuttavia, a differenza del ransomware, l'intento non è quello di ripristinare l'accesso dopo il pagamento del riscatto. Wiper distrugge i dati per sempre e questo può avvenire in un paio di modi: Il contenuto dei file può essere crittografato o sovrascritto, oppure l'aggressore può rendere impossibile l'accesso attaccando il sistema operativo stesso.
I motivi per utilizzare i tergicristalli
I tergicristalli non fanno guadagnare agli aggressori, che è il motivo più comune per i cyberattacchi. Alcune delle ragioni per cui un aggressore può scegliere di utilizzare la potenza distruttiva di un tergicristallo includono:
- Sabotaggio: se il wiper distrugge dati vitali o corrompe software importanti, un'organizzazione potrebbe non essere in grado di continuare le operazioni commerciali.
- Distruzione di prove: I tergicristalli possono essere utilizzati per distruggere le prove di un cyberattacco, di spionaggio o di altre attività dell'aggressore che non vogliono essere rese note.
- Guerra informatica: Molteplici varianti di wiper sono state distribuite contro le organizzazioni ucraine durante il conflitto con la Russia, dimostrando che questo tipo di malware è sempre più utilizzato come strumento di disturbo in tempo di guerra.
Tecniche di tergicristallo
I tergicristalli sono progettati per distruggere i dati in diversi modi, tra cui i seguenti:
- Sovrascrittura dei file: Uno dei metodi più comuni per cancellare i file è quello di sovrascriverli con altri dati. Ad esempio, il contenuto di un file può essere sostituito da byte NULL (0x00) o da un assortimento casuale di 1 e 0.
- Crittografia dei file: I wipers possono imitare i ransomware criptando i file e distruggendo le versioni originali. Tuttavia, i wipers distruggono la chiave di decriptazione, rendendo impossibile decriptare i dati e recuperare i contenuti anche se la vittima paga il riscatto.
- Corruzione del MBR: Il Master Boot Record (MBR) indica al computer come avviarsi, quindi la sua corruzione o sovrascrittura rende il sistema non avviabile. Tuttavia, tutti i file del computer rimangono sul disco e possono essere recuperati dopo l'interruzione iniziale.
- Corruzione MFT: La Master File Table (MFT) è un indice della posizione di ogni file del computer all'interno della sua memoria. Come l'MBR, la corruzione dell'MFT rende i file inaccessibili, ma possono ancora essere recuperati se rimangono sul disco.
Come proteggersi dai tergicristalli
Le organizzazioni possono adottare diverse misure per proteggersi dalla perdita di dati causata dai wipers. Alcune best practice includono le seguenti:
- Backup dei dati: I tergicristalli sono progettati per distruggere i dati di un'organizzazione, causando un'interruzione. Se l'organizzazione dispone di un'altra copia, gli impatti a lungo termine dell'attacco sono ridotti al minimo, perché i dati possono essere ripristinati dai backup.
- Formazione dei dipendenti: I wipers e altri tipi di malware sono spesso trasmessi tramite attacchi di phishing. La formazione sulla consapevolezza informatica può aiutare i dipendenti a identificare e a rispondere in modo appropriato ai tentativi di infezione da wiper.
- Sicurezza delle e-mail: Le e-mail sono uno dei vettori di consegna più comuni per i contenuti di phishing. Le soluzioni di sicurezza e-mail possono identificare e bloccare i messaggi che contengono allegati dannosi o link a siti che diffondono malware.
- Gestione delle patch: I wipers possono anche accedere ai sistemi aziendali sfruttando le vulnerabilità non patchate. L'installazione tempestiva di aggiornamenti e patch può aiutare a colmare queste lacune prima che possano essere sfruttate da un aggressore.
- Sicurezza degli account: I criminali informatici possono anche utilizzare le credenziali compromesse per accedere da remoto agli account dei dipendenti e installare direttamente il malware. L'implementazione dell'autenticazione a più fattori (MFA) e dei principi di sicurezza zero trust può ridurre il rischio di un attacco riuscito.
- Endpoint Security: I malware come i wipers possono essere rilevati e prevenuti da Endpoint Security soluzioni. Inoltre, queste soluzioni possono essere in grado di aiutare a mitigare e rimediare a un'infezione attiva.
Wiper Rilevamento e prevenzione del malware con Check Point
Il primo passo per proteggere la sua organizzazione dal malware e da altre minacce informatiche è comprendere il panorama attuale delle minacce. Per saperne di più sui moderni wipers e sulle altre principali sfide di cybersecurity del 2023, consulti il Report Cyber Security 2023 di Check Point.
Check Point Harmony endpoint offre una solida protezione contro i wipers e altre minacce malware. Per saperne di più sulle sue funzionalità, si iscriva oggi stesso a una demo gratuita.
Feedback