In generale qualsiasi ransomware può crittografare tutto ciò a cui l'utente infetto ha accesso, come qualsiasi altro malware può scrivere ovunque utilizzando le autorizzazioni dell'account che lo esegue. Ciò non significa che diventi attivo per altri utenti, ma può influire su tutte le condivisioni a cui l'utente ha accesso.
Contromisure:
-
Prevenire con protezione antivirus e firewall, come al solito.
-
Forza tutti i client a installare gli aggiornamenti regolarmente.
-
I backup sono il modo più potente per gestire tutti i ransomware dopo l'infezione. Alla fine alcuni dei tuoi utenti ne avranno uno che non è stato ancora riconosciuto dalla tua protezione antivirus. Disponi di un backup a cui i tuoi utenti non hanno accesso in scrittura. Altrimenti i backup sono inutili, perché anche il ransomware ha pari accesso per sovrascrivere i backup.
Un backup offline è il modo più sicuro per raggiungere questo obiettivo, ma potrebbe non essere molto pratico in quanto devi fare di più manualmente e ricordati di farlo regolarmente.
Di solito ho una macchina indipendente che utilizza credenziali separate per accedere alle posizioni di cui eseguire il backup. Lì, ho un backup incrementale in grado di memorizzare eventuali modifiche nel corso di settimane o mesi. Funziona bene sia contro il ransomware che contro gli errori degli utenti.
Voglio piangere utilizza una vulnerabilità nell'implementazione Windows di SMB:il protocollo stesso non è vulnerabile. Da un articolo di notizie su MalwareLess:
Gli attacchi WannaCry vengono avviati utilizzando un'esecuzione di codice remoto SMBv2 nel sistema operativo Microsoft Windows. L'exploit EternalBlue è stato reso pubblicamente disponibile tramite il dump di Shadowbrokers il 14 aprile 2017 e patchato da Microsoft il 14 marzo. Tuttavia, molte aziende e organizzazioni pubbliche non hanno ancora installato la patch sui propri sistemi.
La patch citata è MS17-010, Aggiornamento di sicurezza per Microsoft Windows SMB Server (4013389):
Questo aggiornamento per la protezione risolve le vulnerabilità in Microsoft Windows. La più grave delle vulnerabilità potrebbe consentire l'esecuzione di codice in modalità remota se un utente malintenzionato invia messaggi appositamente predisposti a un server Microsoft Server Message Block 1.0 (SMBv1).
Pertanto, non influisce su Linux. Windows è sicuro anche dopo aver installato l'aggiornamento. Tuttavia, se è ancora presente un computer client con Windows senza patch, i dati su una condivisione potrebbero non essere al sicuro.