In passato, se qualcuno doveva dirottare il tuo computer, di solito era possibile entrare in possesso del tuo computer sia fisicamente che usando l'accesso remoto. Mentre il mondo è andato avanti con l'automazione, la sicurezza informatica si è rafforzata, una cosa che non è cambiata sono gli errori umani. È qui che entrano in gioco gli attacchi ransomware operati dall'uomo . ^{(Human-operated Ransomware Attacks)}Si tratta di attacchi artigianali che trovano una vulnerabilità o una sicurezza mal configurata sul computer e ottengono l'accesso. Microsoft ha elaborato un caso di studio esauriente che conclude che l'amministratore IT può mitigare questi attacchi ransomware operati^{(Ransomware attacks)} da persone con un margine significativo.

Mitigazione degli attacchi ransomware operati dall'uomo^{(Human-operated Ransomware Attacks)}

Secondo Microsoft , il modo migliore per mitigare questo tipo di ransomware e le campagne artigianali è bloccare tutte le comunicazioni non necessarie tra gli endpoint. È anche altrettanto importante seguire le migliori pratiche per l'igiene delle credenziali come l' autenticazione a più fattori^{(Multi-Factor Authentication)} , il monitoraggio dei tentativi di forza bruta, l'installazione degli ultimi aggiornamenti di sicurezza e altro ancora. Ecco l'elenco completo delle misure di difesa da adottare:

• Assicurati di applicare le impostazioni di configurazione consigliate^{(recommended configuration settings)} da Microsoft per proteggere i computer connessi a Internet.
• Defender ATP offre la gestione delle minacce e delle vulnerabilità^{(threat and vulnerability management)} . Puoi usarlo per controllare regolarmente le macchine per vulnerabilità, configurazioni errate e attività sospette.
• Usare il gateway MFA^{(MFA gateway)} come Azure Multi-Factor Authentication ( MFA ) o abilitare l'autenticazione a livello di rete ( NLA ).
• Offri il privilegio minimo agli account^{(least-privilege to accounts)} e abilita l'accesso solo quando richiesto. Qualsiasi account con accesso a livello di amministratore a livello di dominio dovrebbe essere minimo o zero.
• Strumenti come lo strumento LAPS ( Local Administrator Password Solution ) possono configurare password casuali univoche per gli account amministratore. Puoi archiviarli in Active Directory (AD) e proteggerli utilizzando ACL .
• Monitora i tentativi di forza bruta. Dovresti essere allarmato, soprattutto se ci sono molti tentativi di autenticazione falliti. ^{(failed authentication attempts. )}Filtra^(Filter) utilizzando l' ID evento 4625^{(ID 4625)} per trovare tali voci.
• Gli aggressori in genere cancellano i registri degli eventi di sicurezza e il registro operativo di PowerShell^{(Security Event logs and PowerShell Operational log)} per rimuovere tutte le impronte. Quando ciò si verifica, Microsoft Defender ATP genera un ID evento 1102 .^{(Event ID 1102)}
• Attiva le funzionalità di protezione dalle manomissioni^{(Tamper protection)(Tamper protection)} per impedire agli aggressori di disattivare le funzionalità di sicurezza.
• Esaminare^{(Investigate)} l'ID evento 4624^{(ID 4624)} per trovare dove accedono gli account con privilegi elevati. Se entrano in una rete o in un computer compromesso, può essere una minaccia più significativa.
• Attiva la protezione fornita dal cloud^{(Turn on cloud-delivered protection)} e l'invio automatico dei campioni in Windows Defender Antivirus . Ti protegge da minacce sconosciute.
• Attiva le regole di riduzione della superficie di attacco. Insieme a questo, abilita le regole che bloccano il furto di credenziali, l'attività ransomware e l'uso sospetto di PsExec e WMI .
• Attiva  AMSI per Office VBA  se hai Office 365.
• Impedisci la comunicazione RPC^{(Prevent RPC)} e SMB tra gli endpoint quando possibile.

Leggi^(Read) : Protezione dal ransomware in Windows 10^{(Ransomware protection in Windows 10)} .

Microsoft ha presentato un case study su Wadhrama , Doppelpaymer , Ryuk , Samas , REvil

• Wadhrama viene distribuito utilizzando la forza bruta nei server che dispongono di Desktop remoto^{(Remote Desktop)} . Di solito scoprono sistemi senza patch e utilizzano le vulnerabilità divulgate per ottenere l'accesso iniziale o elevare i privilegi.
• Doppelpaymer viene diffuso manualmente attraverso reti compromesse utilizzando credenziali rubate per account privilegiati. Ecco perché è essenziale seguire le impostazioni di configurazione consigliate per tutti i computer.
• Ryuk distribuisce il carico utile tramite e-mail ( Trickboat ) ingannando l'utente finale su qualcos'altro. Di recente gli hacker hanno utilizzato lo spavento del Coronavirus per ingannare l'utente finale. Uno di loro è stato anche in grado di consegnare il carico utile dell'Emotet .

La cosa comune di ciascuno di essi^{(common thing about each of them)} è che sono costruiti in base alle situazioni. Sembra che stiano eseguendo tattiche da gorilla in cui si spostano da una macchina all'altra per consegnare il carico utile. È essenziale che gli amministratori IT non solo tengano d'occhio l'attacco in corso, anche se su piccola scala, e istruiscano i dipendenti su come possono aiutare a proteggere la rete.

Spero che tutti gli amministratori IT possano seguire il suggerimento e assicurarsi di mitigare gli attacchi ransomware operati dall'uomo.^(Ransomware)

Lettura correlata^{(Related read)} : cosa fare dopo un attacco ransomware sul tuo computer Windows?^{(What to do after a Ransomware attack on your Windows computer?)}

How to mitigate Human-operated Ransomware Attacks: Infographic

In еarlier days, if sоmeone has to hijack your computer, it was usually possible by getting hold of your computer either by phуsically being therе or using remote аccess. While the world haѕ moved аhead with autоmation, computer secυrіty has tightened, one thing that hasn’t сhanged is human mistakes.  That is where the Human-operated Ransomware Attacks come into the picture. These are handcrafted attacks which find a vulnerability or a misconfigured security on the computer and gain access. Microsoft has come up with an exhaustive case study which concludes that IT admin can mitigate these human-operated Ransomware attacks by a significant margin.

Mitigating Human-operated Ransomware Attacks

According to Microsoft, the best way to mitigate these kinds of ransomware, and handcrafted campaigns is to block all unnecessary communication between endpoints. It is also equally important to follow best practices for credential hygiene such as Multi-Factor Authentication, monitoring brute force attempts, installing the latest security updates, and more. Here is the complete list of defense measures to be taken:

• Make sure to apply Microsoft recommended configuration settings to protect computers connected to the internet.
• Defender ATP offers threat and vulnerability management. You can use it to audit machines regularly for vulnerabilities, misconfigurations, and suspicious activity.
• Use MFA gateway such as Azure Multi-Factor Authentication (MFA) or enable network-level authentication (NLA).
• Offer least-privilege to accounts, and only enable access when required. Any account with domain-wide admin-level access should be at the minimum or zero.
• Tools like Local Administrator Password Solution (LAPS) tool can configure unique random passwords for admin accounts. You can store them in Active Directory (AD) and protect using ACL.
• Monitor for brute-force attempts. You should be alarmed, especially if there is a lot of failed authentication attempts. Filter using event ID 4625 to find such entries.
• Attackers usually clear the Security Event logs and PowerShell Operational log to remove all their footprints. Microsoft Defender ATP generates an Event ID 1102 when this occurs.
• Turn on Tamper protection features to prevent attackers from turning off security features.
• Investigate event ID 4624 to find where accounts with high privileges are logging on. If they get into a network or a computer that is compromised, then it can be a more significant threat.
• Turn on cloud-delivered protection and automatic sample submission on Windows Defender Antivirus. It secures you from unknown threats.
• Turn on attack surface reduction rules. Along with this, enable rules that block credential theft, ransomware activity, and suspicious use of PsExec and WMI.
• Turn on AMSI for Office VBA if you have Office 365.
• Prevent RPC and SMB communication among endpoints whenever possible.

Read: Ransomware protection in Windows 10.

Microsoft has put up a case study of Wadhrama, Doppelpaymer, Ryuk, Samas, REvil

• Wadhrama is delivered using brute forces their way into servers that have Remote Desktop. They usually discover unpatched systems and use disclosed vulnerabilities to gain initial access or elevate privileges.
• Doppelpaymer is manually spread through compromised networks using stolen credentials for privileged accounts. That’s why it is essential to follow the recommended configuration settings for all computers.
• Ryuk distributes payload over email (Trickboat) by tricking the end-user about something else. Recently hackers used the Coronavirus scare to trick the end-user. One of them was also able to deliver the Emotet payload.

The common thing about each of them is they are built based on situations. They seem to be performing gorilla-tactics where they move from one machine to another machine to deliver the payload. It is essential that IT admins not only keep a tab on the ongoing attack, even if it’s on a small scale, and educate employees about how they can help to protect the network.

I hope all IT admins can follow the suggestion and make sure to mitigate human-operated Ransomware attacks.

Related read: What to do after a Ransomware attack on your Windows computer?

Related posts

• Ransomware Attacks, Definition, Examples, Protection, Removal

• Software anti-ransomware gratuito per computer Windows

• Create email Regole per impedire Ransomware in Business Microsoft 365

• Abilita e configura Ransomware Protection in Windows Defender

• Ransomware protection in Windows 10

• Ransomware Response Playbook mostra come affrontare il malware

• Come evitare Phishing Scams and Attacks?

• Cyber Attacks - Definizione, Types, Prevenzione

• Elenco dei gratuiti Ransomware Decryption Tools per sbloccare i file

• DDoS Distributed Denial di Service Attacks: Protezione, Prevention

• Qual è Ransom Denial di Service (RDoS)? Prevention and precautions

• CyberGhost Immunizer aiuterà a prevenire gli attacchi di ransomware

• Dovrei segnalare Ransomware? Dove posso segnalare Ransomware?

• McAfee Ransomware Recover (Mr2) può aiutare a decrittografare i file

• Cosa fare dopo uno Ransomware attack sul tuo Windows computer?

• Fileless Malware Attacks, Protection and Detection

• DLL Hijacking Vulnerability Attacks, Prevention & Detection

• Come per la protezione contro gli attacchi e prevenire Ransomware & infezioni

• Brute Force Attacks - Definition and Prevention