Newsgroup: it.lavoro.informatica
Titolo: cryptolocker

questa e' bella.
pensavo di fare un giorno di tranquillita', ed invede suona il cell, il 
solito " mi ha fatto il suo nome ......"
insomma, sono nella medesima citta' quindi vado a vedere questa grana.
in breve: cryptolocker.
l'admin della rete e' in ferie all'estero, ma e' raggiungibile 
telefonicamente.
organizzatissimo, ha i backup degli ultimi 90 gg, mi guida e inizio il 
restore.
si perde solo 1 giorno di contabilita', ma le impiegare hanno tutto il 
cartaceo e non hanno problemi a rifare tutto.
curioso come sono mi chiedo da dove e' arrivato cryptolocker, poiche':
 
- antivirus su tutti i pc
- nessuna share di rete tranne quella dell'applicativo fiscale
- utenti di dominio con pass degna del nome
- nessun messagio strano nelle webmail
- nessun collegamento remoto
- nessuno ha usato chiavette usb
- nessun ragazzino 20enne che guarda youporn
- nessun sms sui cell aziendali
- firewall periferico
 
da dove diavolo e' passato?
 

 da dove diavolo e' passato?
 
da un mio cliente (azienda piuttosto grossina) pare che l'attacco sia 
partito dal solito allegato e-mail.
ritenetevi anche fortunati: non entro nei dettagli per ovvi motivi ma da 
loro l'attacco fu molto violento e, a mio modesto parere, probabilmente 
mirato. 

 
 
devo fare i complimenti all'admin della rete, che sicuramente si 
riconosce. io non lo conosco, gli ho solo parlato al telefono.
c'erano tutti i backup, di tutto praticamente.
solo 1 gg perso a recuperare tutto, poi un intervento della ditta che 
segue applicativo fiscale, per un dettaglio, ma il lavoro storio e' salvo.


se consideri che in una situazione del genere se non ci sono backup 
aggiornati l'azienda chiude, capisci che è il minimo sindacale.
 
inoltre la contabilità può permettersi di ricostruire un giorno di dati, 
ma considera ci sono sistemi che non se lo possono permettere. pensa ad 
esempio ad un sistema che gestisce gli ordinativi clienti o la produzione. 
in quei casi tornare indietro di un giorno vorrebbe dire danno definitivo.
 
considera inoltre che se il maleware si è limitato alle share tutto 
sommato era abbastanza semplice. nel caso che ho descritto andò 
all'attacco di vulnerabilità nei server e di password ssh deboli, 
riuscendoci in taluni casi e facendo fuori intere macchine.
 
 

 
 
concordo con tutto quello che dici e mi fai venira una punta di 
curiosita'. nel contesto che hai seguito (ditta grossa .... ecc) 
potresti indicare le misure di sicurezza presenti al momento 
dell'infezione? giusto per discutere. se e' troppo delicato allora 
soprassediamo
 
grazie

 soprassediamo
 
non lo posso dire soprattutto perché non lo so. non sono un insider, 
delle loro misure non sono al corrente. conosco i fatti nella misura in 
cui il cliente me li ha raccontati.
 

 aggiornati l'azienda chiude, capisci che è il minimo sindacale.
 
Sai quanti si sono trovati nella merda perchè avevano splendidi ed aggiornati backup su NAS multiple tutti spledidamente crittografati?
 
Oppure backup in cloud non correttamente protetti altrettanto meravigliosamente crittografati?
 
Sto sempre più pensando che le cassette siano l'unica cosa realmente sicura.
 
Ciao
  Francesco

 si perde solo 1 giorno di contabilita'
 
La contabilità, da SAP in giù, di norma finisce in un Database.
Come diavolo ha fatto il cryptolocker ad attaccarla? L'unica spiegazione 
è che chi l'ha involontariamente lanciato avesse accesso al file system 
del server su cui gira il DB. La tua domanda "da dove diavolo è 
passato?" per me diventa decisamente interessante.


Non tutti i database sono client/server... non tutti i programma di 
contabilità sono scritti con tool moderni che fanno uso di db remoti...
 
Più interessante cercare di capire come sia entrata l'infezione. Posso 
dirti che nelle ultime settimane sono arrivate campagne via posta 
certificata, ovviamente con messaggi facenti riferimento a fatture.
 

 passato?" per me diventa decisamente interessante.
 
infatti son davvero curioso.
posso aggiungere solo quello che ho visto, poiche' non seguo 
abitualmente la ditta in questione.
ancora un "bravo" all'admin, c'era una copia di tutto.
allora: applicativo su server linux esporta con samba diverse share , 
cui i client fanno riferimento per il programma fiscale.
dentro queste share oltre agli eseguibili ci sono anche parecchie cose 
in xml . queste sono state cifrate. poi ovviamente sono stati cifrati 
tutti i pdf delle buste paga, tutti i word, tutti .xls , ma anche nelle 
share vuote c'era l'html che chiedeva il riscatto.
si sono salvati i server in read only, un server linux ove selinux ha 
bloccato tutto (chissa' come ha fatto) , ma i documenti vivi son tutti 
persi.
il restore ha preso un giorno intero , non parliamo di 5 pc + il 
titolare , ma parliamo di oltre 40 pc.
le vpn per i clienti remoti sono vpn degne di questo nome. l2tp+ipsec , 
non pptp tradizionale. anche qui siamo oltre il minimo sindacale.
antispam su tutti i client, antivirus ed anti ransomware su tutti i client.
da dove c***o e' passato?
chi ha qualche idea me la dica, io ho esaurito le mie.
ah , chiavette usb disabilitate da bios, utenze declassate e non admin, 
firewall alzato su tutti i client, firewall periferico con controllo 
pacchetti . insomma, non e' la nsa ma neanche il salumificio dell'angolo.
 
mah
 
 
 
 

 si sono salvati i server in read only
 
Quindi immagino che il database si sia salvato, ma si sono persi i 
documenti che ha prodotto e il restore ha rimesso tutto "in sincrono".
 
Se il cryptolocker avesse avuto mano libera su risorse che qualunque 
admin rende difficilmente accessibili, lo scenario più plausibile 
sarebbe stato quello dell'azione dolosa.
Se non è così, la mia ipotesi è
1) Utenti scellerati che aprono allegati sfuggiti all'antivirus. Secondo 
me, non è sempre facile conoscere tutti i messaggi transitati su 50 
utenti in un settimana e a volte "peccatori" nascondono le prove dei 
loro peccati.
2) Un'azione dolosa, che rimane plausibile.
3) Nessuno ha dichiarato di avere usato chiavette USB. Non vuol dire che 
sia vero.
 
 
 
 

 2) Un'azione dolosa, che rimane plausibile.
 
A questo punto viene in mente anche a me, salvo grossolane mancanze di 
patch di roba tipo Acrobat e cose simili, ma dalla "cura" messa nel 
resto lo vedo molto improbabile ... ...
 
M.


guarda, io come dicevo sono a conoscenza di casi in cui, per come mi è 
stato raccontato, è davvero difficile non pensare ad un attacco mirato 
per non dire pianificato.
 


Concordo, aggiungerei la figa delle sfighe ossia uno 0-day

 
 
 
si, ma devo ancora dire " bravo " all'admin.
rete wifi per gli ospiti separata dalla rete dell'ufficio.
intendo separata. un'altra adsl, un'altro switch, altra cablatura.
infatti nel rack mi son chiesto il perche' dei cavi blu.
al telefono l'admin che li segue mi risponde
 
- cavi gialli = voip
- cavi grigi = dati
- cavi blu = rete wi-fi ospiti
- cavi rossi = adsl che finisce nel firewall.
 
insomma, direi anche abbastanza organizzato.
 


guarda, puoi essere certo che il maleware è entrato portato in qualche 
modo da un utente, la buona organizzazione della rete al limite può aver 
circoscritto il danno (e non sarebbe poco. sia chiaro).
una curiosità: i backup come sono fatti e dove sono tenuti?

 
 
anche qui siamo oltre il minimo sindacale.
server di backup linux , con rsnapshot che legge tutti i server linux, 
il nas [che di fatto e' un linux pure lui] , e qualche pc virtualizzato 
, per gli invii telematici.
posizionato in un'altra ala dell'edificio.
storico di 90 giorni . inoltre i 5 soci hanno in dotazione un hd esterno 
da 3 tb , e a turno MA TUTTI I GIORNI , collegano hd al server di 
salvataggi. parte uno script che esporta su hd gli ultimi gg di dati.
detti soci tengono hd in tasca e non se ne separano mai.
filesystem linux, quindi se lo perdono, chi lo trova e lo collega ad un 
pc windows non vede nulla. occorre essere tecnici per capire che non e' 
ntfs ma etx4 .
poi: sede remota. server di salvataggi che tiene storico anche lui. non 
so di quanti giorni poiche' non mi e' servito collegarmi.
abbiamo quindi copia in altro luogo geografico.
niente software proprietario, ma tanta , tanta attenzione a quel che 
succede. conferma di salvataggio via mail, con script fatto dall'admin, 
con report di spazio libero ed occupato.
ah, un vecchio portatile obsoleto , con debian , il cui compito e' 
controllare se gli host sono accesi/spenti. se un host non e' 
raggiungible, suona una sirena. le impiegate al sentire della sirena 
avvisano subito l'admin.
l'admin della rete potrebbe anche non essere un genio, ma di sicuro e' 
previdente.
 

 non e' ntfs ma etx4
 
Scusa l'intromissione a gamba tesa ma... Stai dicendo che han un backup
di dati sensibili portato a spasso in tasca/borsa/valigia in chiaro?
 
Alla faccia del GDPR... LUKS si scripta senza problemi particolari e
una chiave su file copiata in nastro/disco in cassaforta/cassetta in
banca/nascondiglio segreto da controllare va sempre meglio e funziona
in maniera completamente automatica dal punto di vista del portatore
del disco...
 
-- 
usenet⇒nntp per trovarmi

 
 
non ho controllato fino a questo punto.
ho fatto login sul server di backup e li ho trovato tutto quello che e' 
servito per il restore.
la storia degli hd me l'hanno detta i soci, dicendomi " puo' servire ? "
avevo gia' iniziato il restore quindi non ho preso hd.
magari e' cifrato. non ho chiesto.
non seguo quella ditta. il loro admin era in ferie e mi hanno contattato.
tutto qui.

 avvisano subito l'admin.
 
mentre se è spento lui che si fottano tutti gli altri :-)
comunque dai, questa storia della sirena che allerta le impiegate non si 
può sentire... un banale nagios ti manda gli alert dove vuoi, su 
telegram, slack, email, sms, chiamata al 113, etc...

 Enumerare prese e cavi e mapparli come una volta non si usa più?
 
Un po' di anni fa capitommi una opportuna marcatura *apparentemente*
ben fatta, poi venne fuori che si beh, c'erano le etichette, solo
che lato scrivanie erano placche autoportanti della bTicino, con una
specie di sportello per metter l'etichetta: qualcuno le aveva
stampante, le aveva date pronte al garzonetto, immagino con una
qualche indicazione scritta del da farsi e questo a invece pensato
che "un'etichetta è un'etichetta, basta ce ne sia una per presa" e
le ha sparse un po' a caso. Di meglio alcune di queste magnifiche
placche avevan tre frutti in linea, ma solo due porta-etichette...


 Enumerare prese e cavi e mapparli come una volta non si usa più?
 
 
infatti e' cosi'.
punti rete numerati, corrispondenti al touch pannel.
pero' l'idea dei cavi colorati non e' male.
 
 

Il 06/12/19 20:38, CBM64 ha scritto:

mi viene in mente un qualsiasi applicativo p2p come skype, irc, ma anche 
una semplice chat web (p2p anch'essa) che di solito apre un socket 
diretto tra client. un tunnelling ssh su porta 443, WA web, telegram, 
una pagina con flash/silverlight (che contiene il ransomware) ecc..
 
se il firewall non fa packet filtering,  di metodi per far passare un 
file c'è ne sono a centinaia.


La sirena che suona è molto più figa!
Mi ricorda quando taaaanti anni fa su un server Apple avevo un firewall software 
che suonava tipo tromba da stadio durante gli attacchi :-D

 pero' l'idea dei cavi colorati non e' male.
 
indubbiamente. però visto il tema della discussione sarebbe interessante 
sapere se la rete è partizionata più che colorata.

 
 
non ho indagato fino a questo  punto.
son rimasto li un giorno e 1/2 . ho fatto il restore, ho chiamato 
assistenza applicativo fiscale, un giro di telefonate a tutte le 
impiegate " provate programma fiscale " , e fine .
non li seguo abitualmente.

 
 
da quel poche che ho visto - ripeto la mia priorita' era il restore -
rete wifi ospiti separata dalla lan. rete voip separata dalla lan, con 
altri punti rete, altri cavi, altro switch .
rete dati adibita solo ai dati veri e propri.
niente di "fantascientifico" , ma tanto , tanto ordine.


sì ma quello che mi interesserebbe sapere è se server e utenti sono  
sulla stessa rete oppure se c'è un firewall di mezzo. in particolare il 
server dei backup. in breve: per fare il restore ti sei collegato da una 
postazione qualsiasi o sei dovuto andare in una rete amministrativa?
 
non è lana caprina: da qui si capisce se l'admin se l'è cavata perché è 
stato previdente o perché ha avuto la botta di culo di subire un attacco 
tutto sommato "semplice".

 
 
adesso ho capito la domanda.
scusa.
la rete dati e' tutta in 192.168.1.X , server , client , nas e quello 
che ho visto.
pero' da una postazione di lavoro di un'impiegata , facendo
 
ssh root@serverdibackup
 
ottengo
 
connection refused
 
il titolare mi ha fatto sedere alla scrivania dell'admin, e da qual pc 
facendo ssh root@serverdibackup ho avuto accesso.
con scp ho spostato il materiale non infetto seguendo indicazioni della 
software hause dell'applicativo fiscale. poi son passato al nas , fax 
server hylafax .  quindi c'e' una qualche segmentazione.
  le macchine virtuali sono state restorare in 30 minuti.
erano su proxmox. un colpo di rollback et_voila'. macchine operative.
restore dei dati e via.