Soluzioni Corporate di backup Alessandro Stesi

Soluzioni Corporate di backup Test di auto-protezione

Tempo di lettura: 4 min

Introduzione

Alla luce del crescente numero di attacchi ransomware in cui i cryptolocker interrompono i processi di database per sbloccare i file di database per la crittografia (Cerber, GlobeImposter, Rapid, Serpent) e possono crittografare backup locali e di rete per richiedere il pagamento di un riscatto (Rapid, Spora), abbiamo deciso di testare le capacità di auto- protezione delle migliori soluzioni di backup utilizzate negli ambienti aziendali disponibili per la prova.

Il test mira a controllare la sostenibilità dei processi e dei servizi dei prodotti contro gli attacchi tipici al software di sicurezza descritti di seguito, nonché l’auto-protezione del backup locale e dei file dei prodotti. Il ransomware può crittografare i file di configurazione e i file di backup locali che appartengono a un programma di backup disabilitando il ripristino dei file. Inoltre, una volta ottenuto l’accesso ai processi dell’agente o del server, l’utente autore dell’attacco può eliminare le copie di backup dei file non solo a livello locale, ma anche nel cloud per conto di una soluzione di backup.

Questo documento è un riepilogo del report di test delle soluzioni di backup aziendali e include la descrizione dell’ambiente di test, l’elenco delle soluzioni testate e delle relative versioni, la panoramica degli scenari di test, nonché i risultati e le conclusioni basati su questi risultati. Non classifichiamo le soluzioni testate e non assegniamo alcun premio, ma forniamo i risultati “così come sono” a solo scopo informativo.

 

Ambiente di test

I test sono stati condotti sulle macchine virtuali di:

  • Windows 8.1 SP1 32 bit build 9600

  • Windows 10 Enterprise 64 bit Build 16299

  • Windows Server 2012 R2 Standard 64 bit

    v. 6.3.9600 Build 9600

Abbiamo testato soluzioni di backup su piattaforme
a 32 e 64 bit perché le tecniche di iniezione di processo utilizzate negli scenari di test differiscono su queste piattaforme. Inoltre, le build di prodotto a 32 e 64 bit possono contenere una diversa serie di funzionalità, tra cui quelle di auto-protezione, e la loro implementazione può dipendere dall’architettura del sistema operativo.

 

Prodotti testati

Sono state testate le versioni più recenti dei seguenti prodotti disponibili al momento del test:

Nome prodotto

Componenti

Versione

Acronis Backup

Management Server

Agent

12.5 9010

12.5 9010

Arcserve

Unified Data Protection Server

Unified Data Protection Client

6.5.4175 Aggiornamento 2 Build 667

6.5.4175.791 v.r6.5

Veeam

Backup & Replication

Agent for Microsoft Windows

9.5 Aggiornamento 3

2.1.0.423

Veritas Backup Exec

Server

Agent Utility pour Windows

16.0 Rev. 1142

16.0 Rev. 1142-1632

 

Ogni prodotto è stato installato con le impostazioni predefinite e aggiornato prima dell’esecuzione del test.

 

Scenari dei test

La suite di test comprende 31 test che simulano attacchi a file di backup locali, file dei prodotti, processi, servizi e un cloud storage che mirano al blocco del servizio di backup e ripristino. La categoria di test “Protezione dei file dei prodotti” contiene semplici test volti a distruggere i file di backup e di applicazione rendendo impossibile il recupero dei dati crittografati da ransomware.

Il secondo gruppo di test “Protezione dei processi e dei servizi dei prodotti” è essenziale per l’auto-protezione poiché il malware può iniettare il codice dannoso in un agente di backup e agire per conto di una soluzione di backup ottenendo tutti i privilegi necessari per controllare i file di backup. Per volere di un aggressore, un processo dannoso può interrompere processi e servizi con conseguente blocco dell’applicazione di backup e ripristino

o eliminazione di file di backup per conto di una soluzione di backup. L’ultima serie di test è “Protezione del backup e del ripristino del cloud” ed è indirizzata alle interfacce di comunicazione con lo storage cloud. L’attacco di poisoning del DNS o l’uso improprio della CLI possono causare l’interruzione del servizio di backup del cloud.

 

Conclusioni

 

Lo scopo del test consisteva nel verificare le capacità di auto-protezione del software di backup per proteggere i relativi file, processi, servizi e cloud storage dagli scenari che possono essere potenzialmente eseguiti dal ransomware.

I risultati hanno mostrato che la maggior parte dei prodotti testati non è pronta in molti casi a contrastare gli attacchi di tipo ransomware consentendo a un potenziale aggressore di bloccare i backup dell’utente e disabilitare i servizi di backup e ripristino. Soltanto Acronis Backup ha mostrato buoni risultati con un tasso di efficacia dell’87% e dell’81% per prodotti a 32 bit e 64 bit, fornendo in modo analogo funzionalità complete di auto-protezione e sostenibilità dei servizi.

Scarica il reparto completo qui: Nio Guard Independent Study_IT

 

Articoli correlati:

Acronis Cyber Cloud Active Protection: Racconto di due attacchi di ramsoware

Acronis Data Cloud 7.7 | Backup locale

Acronis Data Cloud 7.7 | Tutte le novita’ della versione 7.7

Protezione dati moderna: La differenza e’ nel Cloud

Condividi


RSS

Piu’ articoli…

Categorie …

Tags

RSS CSIRT

RSS Dark Reading:

RSS Full Disclosure

  • Backdoor.Win32.NetBull.11.a / Remote Buffer Overflow Gennaio 19, 2021
    Posted by malvuln on Jan 19Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/80e98fdf726a3e727f3414bdbf2e86bb.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Backdoor.Win32.NetBull.11.a Vulnerability: Remote Buffer Overflow Description: Netbull listens on both TCP ports 23444 and 23445, sending a large string of junk chars causes stack corruption overwriting EDX register. Type: PE32 MD5:...
  • Email-Worm.Win32.Agent.gi / Remote Stack Buffer Overflow - (UDP Datagram) Gennaio 19, 2021
    Posted by malvuln on Jan 19Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/74e65773735f977185f6a09f1472ea46.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Email-Worm.Win32.Agent.gi Vulnerability: Remote Stack Buffer Overflow - (UDP Datagram) Description: Creates a service "Microsoft ASPI Manager" and listens on TCP ports 80, 81 and UDP 53. The service process is a […]
  • Constructor.Win32.SMWG.c / Insecure Permissions Gennaio 19, 2021
    Posted by malvuln on Jan 19Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/47e819a6ce3d5e93819f4842cfbe23d6.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Constructor.Win32.SMWG.c Vulnerability: Insecure Permissions Description: Description: SMWG - P2P VBS.sucke.gen worm generator by sevenC / N0:7 outputs its malicious VBS script granting change (C) permissions to authenticated users group. Type:...
  • Constructor.Win32.SMWG.a / Insecure Permissions Gennaio 19, 2021
    Posted by malvuln on Jan 19Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/07cd532823d6ab05d6e5e3a56f7afbfd.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Constructor.Win32.SMWG.a Vulnerability: Insecure Permissions Description: Win32.SMWG VBS.sucke.gen worm generator by sevenC / N0:7 outputs its malicious VBS script granting change (C) permissions to authenticated users group. Type: PE32 MD5:...
  • Newfuture Trojan V.1.0 BETA 1 / Insecure Permissions Gennaio 19, 2021
    Posted by malvuln on Jan 19Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/4f9376824718ff23a6238c877f73ff73.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Newfuture Trojan V.1.0 BETA 1 Vulnerability: Insecure Permissions Description: Newfuture by Wider is a remote access client and has a (Fast_sms) server component, it is written in spanish. On installation it […]
  • Backdoor.Win32.Mnets / Remote Stack Buffer Overflow - (UDP Datagram Proto) Gennaio 19, 2021
    Posted by malvuln on Jan 19Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/1e42493dcef54a62bc28e0a1338c1142.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Backdoor.Win32.Mnets Vulnerability: Remote Stack Buffer Overflow - (UDP Datagram Proto) Description: The backdoor listens for commands on UDP ports 2222 and 4444. Sending a mere 323 bytes we can overwrite the […]
  • Backdoor.Win32.Whgrx / Remote Host Header Stack Buffer Overflow Gennaio 19, 2021
    Posted by malvuln on Jan 19Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/eb6fd418cd3b52132ffb029b52839edf.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Backdoor.Win32.Whgrx Vulnerability: Remote Host Header Stack Buffer Overflow Description: The specimen listens on datagram UDP port 65000, by sending a specially crafted HTTP PUT request and specifying a large string of […]
  • Backdoor.Win32.Latinus.b / Remote Buffer Overflow Gennaio 19, 2021
    Posted by malvuln on Jan 19Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/9adffcc98cd658a7f9c5419480013f72.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Backdoor.Win32.Latinus.b Vulnerability: Remote Buffer Overflow Description: Malware listens on both TCP ports 11831 and 29559, by sending an HTTP OPTIONS request with about 8945 bytes we trigger buffer overflow and overwriting […]
  • Backdoor.Win32.Nucleroot.t - MaskPE 1.6 / File Based Buffer Overflow Gennaio 19, 2021
    Posted by malvuln on Jan 19Discovery / credits: Malvuln - malvuln.com (c) 20211 Original source: https://malvuln.com/advisory/170d3ccf9f036c552aef6690bf419b2e.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Backdoor.Win32.Nucleroot.t - MaskPE 1.6 Vulnerability: File Based Buffer Overflow Description: Description: MaskPE by yzkzero is a tool for implanting backdoors in existing PE files. The Backdoor tool doesnt properly check the […]
  • Backdoor.Win32.Nucleroot.bi - MaskPE 2.0 / File Based Buffer Overflow Gennaio 19, 2021
    Posted by malvuln on Jan 19Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/25e0570cc803cd77abc2268b41237937.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Backdoor.Win32.Nucleroot.bi - MaskPE 2.0 Vulnerability: File Based Buffer Overflow Description: MaskPE by yzkzero is a tool for implanting backdoors in existing PE files. The Backdoor tool doesnt properly check the files […]

Customers

Newsletter