Lynx Ransomware: allarme del CSIRT Italia, misure di protezione e risposta agli attacchi informatici

Il malware Lynx, pericolosa minaccia Ransomware-as-a-Service (RaaS), è stato recentemente rilevato in Italia. Il CSIRT dell’Agenzia per la Cybersicurezza Nazionale (ACN) – https://www.acn.gov.it/ – ha fornito informazioni fondamentali per prevenire compromissioni e gestire efficac emente un eventuale attacco ransomware.

Azioni di mitigazione

Gli utenti e le organizzazioni possono far fronte al malware Lynx e a questa tipologia di attacchi attivando le seguenti misure preventive:

• adottare protocolli sicuri, come LDAPS al posto di LDAP, per garantire la cifratura delle comunicazioni e la protezione delle credenziali;
• utilizzare le best practice per la gestione degli accessi (IAM), implementando meccanismi di autenticazione a più fattori (MFA), prevedendo l’adozione di password complesse e adottando il principio del privilegio minimo (least privilege):
  • configurare gli account di servizio con il minimo privilegio necessario: ad esempio nel caso in cui sia necessaria la capacità di cambio password delegare l’utenza di servizio ad effettuare azioni di scrittura/modifica alle sole Organizational Units (OU) contenenti utenti non privilegiati;
  • prevedere policy di cambio password, anche manuale, delle utenze di servizio in questione;
• revisionare costantemente il proprio Incident Response Plan;
• implementare un piano di backup che preveda la storicizzazione e la cifratura offline dei dati;
• non esporre i dispositivi e le relative interfacce di controllo direttamente sulla rete internet;
• permettere il raggiungimento delle risorse, all’interno di una rete, unicamente agli amministratori di sistema o comunque al personale autorizzato (ad esempio mediante segmentazione);
• utilizzare opportuni sistemi di accesso remoto sicuri – come servizi VPN – per esporre servizi non strettamente essenziali sulla rete.

Azioni di risposta agli incidenti

Qualora si riscontrino evidenze di avvenuta compromissione sui propri sistemi, derivanti da attacchi ransomware, si raccomanda agli utenti e alle organizzazioni di attuare le seguenti azioni di incident response:

• collezionare eventuali evidenze, quali processi/servizi in esecuzione su dispositivi target, log di rete e log di autenticazione considerati non convenzionali;
• porre in isolamento e/o offline gli host potenzialmente interessati dalla compromissione;
• ripristinare gli host compromessi ad un’immagine precedente consistente (dopo aver espletato le necessarie attività forensi);
• resettare gli account degli utenti interessati dalla compromissione;
• segnalare tempestivamente a questo CSIRT, tramite il portale https://segnalazioni.acn.gov.it/ l’evento occorso.

Hai bisogno di supporto per la cybersicurezza della tua organizzazione? Contatta subito i nostri esperti di cybersecurity per una consulenza gratuita. https://www.actainfo.it/cybersecurity/

Fonte CSIRT