WannaCry: un micidiale ibrido tra ransomware e worm. Ecco come difendersi

WannaCry è un virus informatico capace di propagarsi in oltre centocinquanta paesi e trecentomila sistemi. Si tratta di un ransomware (un semplice ransomware si diffonde attraverso un link per accedere a un file infetto, o semplicemente aprendolo direttamente come allegato a una e-mail) con funzioni da worm. In pratica, un malware di quelli che crittano i dati del computer della vittima, e li sbloccano solo previo pagamento di una certa cifra, ma con in più la capacità di diffondersi su altri sistemi in perfetta autonomia, sfruttando una rete a cui sono collegati — anche offline.
WannaCry, conosciuto anche coi nomi di WannaCrypt, WCry, WanaCrypt0r o WCRY, all’inizio sfrutta un'azione simile. Un file da aprire, in genere un PDF, che avvia il funzionamento di un dropper, cioè un piccolo programma contenuto nel file stesso che ha la funzione di scaricare e installare il malware vero e proprio.  Dovete sapere, infatti, che malware così complessi hanno in genere dimensioni e caratteristiche tali da venire beccati subito dai software antivirus, mentre un piccolo dropper spesso e volentieri passa indenne i controlli. E una volta eseguito installa la minaccia informatica. Figuriamoci in quei sistemi che di antivirus non ne hanno. Il dropper di WannaCry contiene, essenzialmente, due componenti. Il primo è il ransomware vero e proprio, mentre il secondo, e qui sta la novità, è a sua volta un piccolo software che cerca in altri computer la vulnerabilità di tipo CVE-2017-0145.
La vulnerabilità non è altro che un errore di programmazione, in questo caso nei sistemi operativi Windows, che se sfruttato da criminali informatici può portare a guai seri. Nella fattispecie, l’errore riguarda il Server Message Block, vale a dire una tecnologia utilizzata per condividere file, periferiche e collegamenti tra computer diversi.
Tornando al dropper, questo, una volta attivato, sfrutta la funzione InternetOpenUrl() per tentare un collegamento a uno di due domini:
www[.]iuqerfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com
www[.]ifferfsodp9ifjaposdfjhgosurijfaewrwergwea[.]com
Si tratta di due domini fino a qualche giorno fa inesistenti, digitati forse a casaccio da chi ha realizzato il malware, per inserirvi, probabilmente, una certa forma di controllo. Infatti, se la connessione con uno di questi indirizzi va a buon fine, il dropper si blocca, di fatto non infettando la macchina né propagando la minaccia. Se, al contrario, la connessione non va a buon fine, come avveniva poiché gli indirizzi erano inventati e non esistevano, l’infezione procede. È su questo principio che, qualche giorno fa, un ricercatore ventiduenne di MalwareTech è riuscito a limitare la diffusione di WannaCry: ha registrato quei domini farlocchi, facendo in modo che la connessione col dropper andasse a buon fine, bloccando la diffusione della minaccia su un gran numero di sistemi.

Se l’infezione procede, il malware crea un “servizio” di Windows con lo scopo di attivare l’exploit della vulnerabilità in altri sistemi collegati a quel computer. Il componente dedicato al ransomware, dal canto suo, sta in un piccolo file .zip, protetto da password, che contiene il cuore della minaccia: le funzioni per crittare (e quindi rendere inservibili) i file, quelle per decrittarli se si paga, il messaggio da visualizzare all’utente per chiedere il riscatto, e tutto ciò che dà vita alla minaccia informatica. A questo punto, come succede spesso coi malware, WannaCry crea due chiavi nel registro di Windows e, sempre sfruttando quest’ultimo, sostituisce il wallpaper del sistema operativo con un’immagine del messaggio iniziale del ransomware. Inoltre, copia nel sistema nutrita serie di file tra cui quelli coi messaggi tradotti in varie lingue (c’è anche l’italiano).
Dopo altre operazioniil virus passa a codificare i file del sistema, aggiungendo a questi l’estensione WNCRY. Poi elimina le “shadow copy” dei file, se presenti (era uno dei metodi per ripristinare i file codificati da vecchie generazioni di ransomware, senza pagare alcun riscatto). Quindi avvia un eseguibile che mostra il messaggio principale, ricco di dettagli e istruzioni per il pagamento, perfino tradotto nella lingua di pertinenza.

Come risolvere il messaggio di errore relativo al "Client di Criteri di gruppo" su Windows 8/10

Mi sono deciso a pubblicare questo articolo perchè anche io ho avuto lo stesso problema ed ho cercato sul web una soluzione che potesse risolverlo in modo semplice.

Il problema si trova nel registro del S.O. perchè probabilmente durante l’installazione degli aggiornamenti di Windows Update si verifica un blocco del computer ed alcune voci del Registro di configurazione necessarie ad avviare questo servizio vengano perdute, rendendo impossibile il suo caricamento
L’unica soluzione proposta finora consisteva nel reinstallare da capo il sistema operativo, ma per evitare di renstallare eventuali programmi e dati del nostro S.O.
Ecco una soluzione che potrebbe sembrare più difficile ma risove il problema senza reinstallazione.

Questa è procedura da seguire:
1) lanciate l’editor del Registro di configurazione e raggiungete la posizione HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services, qui verificate la presenza della chiave Gpsvc. Se trovate questa cartella il problema può essere risolto senza interventi radicali, se invece queste impostazioni sono del tutto assenti è probabile che si renda necessaria la reinstallazione del sistema operativo.
2) posizionatevi ora su HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SVCHOST. Qui dovrebbe essere presente una chiave con valore multi-stringa etichettata GPSvcGroup, se questa chiave mancasse, provvedete a crearla e assegnategli il valore GPSvc.
3) verificate ora nella stessa posizione la presenza di una cartella etichettata GPSvcGroup, entrate al suo interno e accertatevi che contenga una chiave AuthenticationCapabilities alla quale deve essere assegnato il valore 0x00003020 (o 12320 decimale) e un’altra chiave CoInitializeSecurityParam alla quale deve corrispondere il valore 0x00000001, entrambi le chiavi sono di tipo Dword. Se la struttura appena descritta fosse assente, in tutto o in parte, provvedete alla creazione degli elementi mancanti.
4) chiudete l’editor per rendere permanenti le modifiche e riavviate il computer.

Dopo questa operazione il Client di Criteri di gruppo dovrebbe riprendere la normale funzionalità e il messaggio di errore non sarà più visualizzato.

In alternativa puoi scaricare direttamente il file reg 

 

Dopo aver inviato il pagamento ti arriverà una email con l'allegato
e le istruzioni per installarlo.