Wannacry: mettiamo in sicurezza il nostro Windows Server

A metà Maggio è stato registrato uno dei più massicci attacchi su scala mondiale. Parliamo di circa 74 Paesi mandati in tilt e migliaia di computer compromessi, tra cui utenze casalinghe, aziendali, pubbliche amministrazioni e strutture sanitarie. Tutti infettati dal famigerato ransomware WannaCry (anche detto Wanna Decryptor 2.0, WCry 2, WannaCry 2 e Wanna Decryptor 2).

Ma cosa fa esattamente e come proteggerci? Vediamolo

WannaCry: cos’è?

WannaCry è un ransomware che infetta sistemi Windows (sia desktop che server) tramite attacchi multipli tra cui il phishing, ma quello più pericoloso è l’infezione tramite una vulnerabilità conosciuta (che Microsoft ha chiuso pochi mesi fa grazie agli aggiornamenti automatici).

Tale vulnerabilità è nel protocollo RDP di Windows (ovvero il Desktop Remoto) che SMB (Server Message Block) ed ha la peculiarità quasi unica: è completamente invisibile all’utente finale (non richiede azioni da parte dell’utente).

Una volta infettato il PC avvengono due cose:

• inizia una scansione della rete al quale è collegato il PC infetto per replicarsi sugli altri PC
• effettua una criptazione di tutti i files del disco e chiede (tramite una maschera) un riscatto in BitCoin entro una determinata ora per avere la chiave di sblocco e ripristinare i files. Passato l’orario stabilito l’importo aumenta a dismisura

Questa è una delle maschere (varianti) che apparirà a video:

Il riscatto è in BitCoin, ovvero tramite moneta virtuale non tracciabile e la finestra ci spiega anche come acquistarla convertendo denaro reale. Molti utenti, purtroppo, sono stati costretti a pagare mentre altri si sono visti perdere tutti i dati.

E’ quindi evidente che WannaCry è un “demone” di internet, che distrugge qualsiasi cosa almeno che non si paghi un riscatto. Il problema è enorme: pensiamo al caso Regno Unito, con diversi ospedali (NHS) colpiti dal ransomware e interi reparti bloccati giorni interi. Anche grandi società, tra cui FedEx, Renault, Deutsche Bahn, MegaFon, Sberbank, Telefónica e altre sono state oggetto di attacco con settori completamente bloccati.

Come possiamo proteggerci?

Inutile dire che il miglior modo di proteggersi è tenere aggiornato il proprio PC e server Windows, abilitando gli aggiornamenti automatici.

Per chi ha un Microsoft Server Windows 2016 e Microsoft Server Windows 2012 (tutte le versioni) consigliamo due operazioni in più che alzano ancora di più il livello di sicurezza del server:

• Cambio porta RDP
• Proteggere tramite Firewall la porta RDP

Per la prima operazione, possiamo agire direttamente dal registro di sistema:

• Cliccare simultaneamente il tasto  + R , che aprirà la finestra “Esegui”. Digitare il comando regedit e dare invio:

• Si aprirà l’editor del registro di Windows. Ora navighiamo l’albero di destra cercando la chiave di registro HKEY_LOCAL_MACHINE\System\CurrentControlSet\Control\TerminalServer\WinStations\RDP-Tcp\PortNumber e editiamola in modalità Decimale .  La potra di default è la 3389, cambiamola con un altra non standard e non usata da altri servizi, ad esempio con la 43389

• Riavviamo il server (ATTENZIONE: prima di procedere al riavvio, assicuratevi che la nuova porta sia aperta sul firewall)

Dopo il riavvio, il servizio RDP avrà come porta la 43389 (come in esempio).

Al termine, proteggiamo la porta con il firewall di windows abilitando solo gli indirizzi IP sicuri da cui ci colleghiamo.

• About
• Latest Posts

Christian Cantinelli

Service Manager at Server Plan s.r.l.

Sono il responsabile del Supporto Tecnico Clienti di Server Plan. Mi occupo di analisi, pianificazione e controllo attività, problem solving avanzato e la gestione delle criticità.

Latest posts by Christian Cantinelli (see all)

• Cosa sono i domini .tel? - 16 Giugno 2022
• 9 risorse WordPress per ottenere il massimo dal proprio sito web - 24 Febbraio 2022
• Alla scoperta di Serverplan: viaggio nell’Intrepid Support - 6 Agosto 2020