È in corso un “massiccio attacco hacker” contro diversi sistemi nazionali in Italia. È quanto si legge in un avviso diramato dalla Agenzia per la cybersicurezza italiana.
Le autorità italiane hanno rilevato un “massiccio attacco hacker” in corso nel Paese tramite un “ransomware già in circolazione”. Lo ha rilevato il Computer security incident response team Italia, organo dell’Agenzia per la cybersicurezza nazionale (Acn). L’attacco è in corso in tutto il mondo e riguarda “qualche migliaio di server compromessi” “dai paesi europei come Francia – paese più colpito – Finlandia e Italia, fino al Nord America, in Canada e negli Stati Uniti“.
Cosa sta succedendo
In Italia – spiega l’Acn – sono decine le realtà che hanno riscontrato l’attività malevola nei loro confronti ma secondo gli analisti sono destinate ad aumentare. Lo sfruttamento della vulnerabilità consente in una fase successiva di portare attacchi ransomware che cifrano i sistemi colpiti rendendoli inutilizzabili fino al pagamento di un riscatto per avere la chiave di decifrazione.
La vulnerabilità sfruttata dagli hacker per distribuire il ransomware è già stata corretta nel passato dal produttore, ma non tutti coloro che usano i sistemi attualmente interessati l’hanno risolta. I server presi di mira, se privi delle patch, cioè delle “correzioni” adeguate, possono aprire le porte agli hacker impegnati a sfruttarla in queste ore dopo la forte crescita di attacchi registrata nel weekend. I primi ad accorgersene sono stati i francesi, probabilmente per via dell’ampio numero di infezioni registrato sui sistemi di alcuni provider in Francia. Successivamente l’ondata di attacchi si è spostata su altri paesi tra cui l’Italia.
Decine di sistemi compromessi
Le autorità ribadiscono nella nota “che è prioritario per chiunque chiudere le falle individuate e sviluppare un’adeguata strategia di protezione“. Per i tecnici dell’Acn, infatti, “siamo stati in grado di censire diverse decine di sistemi nazionali verosimilmente compromessi e allertato numerosi soggetti i cui sistemi sono esposti ma non ancora compromessi. Tuttavia, rimangono ancora alcuni sistemi esposti, non compromessi, dei quali non è stato possibile risalire al soggetto proprietario. Questi sono chiamati immediatamente ad aggiornare i loro sistemi”.
L’identikit della vulnerabilità
La vulnerabilità individuata dalle recenti analisi come CVE-2021-21974 (già sanata dal vendor nel febbraio 2021), riguarda i sistemi esposti su internet che offrono servizi di virtualizzazione basati sul prodotto VMWare ESXi, e ha un impatto elevato, stimato dalla comunità tecnica come “rischio alto/arancione” (70,25/100). E tuttavia non si esclude che anche altre vulnerabilità possono essere sfruttate da attori malevoli.