Sempre più sistemi industriali presi di mira dagli hacker: USA fra i Paesi più colpiti dal ransomware

Nel rapporto 2020 Report on Threats Affecting ICS Endpoints, Trend Micro fa il punto sulla situazione degli attacchi informatici lanciato contro i sistemi industriali, nello specifico sugli endpoint ICS (Industrial Control System), utilizzati per il controllo dei macchinari in vari tipi di industrie. In tutti i casi, i computer violati utilizzavano il sistema operativo Windows. 

La crescita del ransomware

Trend Micro ha rilevato una crescita importante degli attacchi ransomware contro i sistemi ICS, soprattutto negli USA, che risultano il paese più colpito, seguito da India, Taiwan e Spagna. Il ransomware più utilizzato sono Nefilim, Ryuk, LockBit, e Sodinokibi, che da soli rappresentano circa il 50% degli attacchi analizzati. Colpisce il fatto che in Vietnam siano state rilevate delle infezioni tramite GrandCrab, un malware che aveva cessato di diffondersi successivamente all'arresto dei suoi autori, avvenuto nel 2020. 

Come già segnalato da Edge9, gli attaccanti sono passati a tecniche più sofisticate e prima ancora di cifrare i dati tendono a sottrarre informazioni sensibili (come la lista dei fornitori e documenti riservati), minacciando di divulgarle nel caso il riscatto non venga pagato. Avere un backup, insomma, non è sufficiente a mettersi al riparo delle conseguenza di una violazione di questo tipo.

Non solo ricatti: gli hacker sfruttano gli ICS per minare criptovalute

I ransomware non sono l'unica minaccia dalla quale si devono difendere i team di sicurezza operanti nel settore dell'industria e non mancano casi dove gli attaccanti non intendono sottrarre informazioni, o cifrarle, ma preferiscono monetizzare semplicemente sfruttando le risorse di calcolo di questi sistemi per minare criptovalute. India e Cina risultano fra le nazioni più colpite da questo tipo di malware, seguite da Indonesia e Messico.

In questo caso lo "strumento" più utilizzato è MALXMR, sfruttato in più della metà delle infezioni (51,9% per la precisione), seguito da WORM_Coinminer e TOOLXMR, entrambi al 15,4%. 

Interessante il fatto che Conficker, un malware rilevato la prima volta nel 2008, sia ancora molto diffuso. Curiosamente, il metodo principale di diffusione di questa minaccia è sfruttare la vulnerabilità MS08-067, ma questa non si applica ai sistemi che usano come OS Windows 7 o 10, che rappresentano il 94% del campione. Come è stato possibile sfruttarlo, allora? Secondo Trend Micro, è probabile che questi attacchi siano stati portati avanti utilizzando dischi rimovibili o poco sofisticati attacchi di tipo dizionario sulle ADMIN$ share.

Sempre i dischi USB e le cartelle condivise sono il vettore utilizzato anche per diffondere minacce ormai anziane, che Trend Micro definisce Legacy Malware, come SALITY, RAMNIT, AUTORUN e GAMARUE, giusto per citare i più diffusi. In ogni caso, questo tipo di malware rappresenta solo il 2% di tutte le minacce prese in esame nel report. La bassa percentuale non consola più di tanto, dato che il fatto che questi malware si diffondono anche sulle reti air-gapped, quelle fisicamente separate dai dispositivi collegati direttamente a Internet. 

I dispositivi USB, insomma, rappresentano una seria minaccia per questo tipo di ambienti, dato che consentono di infettare anche endpoint non raggiungibili via rete. 

Come proteggere i sistemi ICS: i consigli di Trend Micro

Trend Micro conclude il rapporto con una serie di suggerimenti per garantire una maggiore sicurezza ai sistemi ICS: 

• Applicare rapidamente le patch. Nel caso non sia possibile, segmentare la rete o adottare soluzioni di virtual patching;
• Affrontare i ransomware in seguito a un’intrusione mitigando le cause dell’infezione alla radice, attraverso software di application control e strumenti di rilevamento e risposta, per pulire le reti in base agli indicatori di compromissione;
• Limitare le condivisioni di rete e utilizzare credenziali robuste;
• Utilizzare un IDS o un IPS per sondare i comportamenti normali di rete e identificare attività sospette;
• Scansionare gli endpoint ICS anche negli ambienti air gap;
• Stabilire punti di scansione malware all’interno dei dispositivi USB e verificare gli strumenti utilizzati per trasferire dati tra endpoint nele reti air gapped;
• Applicare il principio del privilegio minimo agli amministratori e agli operatori delle reti OT.