Perché un worm di 16 anni fa tormenta ancora le reti aziendali
Nel novembre 2008 un worm chiamato Conficker iniziò a diffondersi nelle reti Windows di tutto il mondo. Sfruttava una vulnerabilità critica del servizio Server di Windows (MS08-067) e nel giro di pochi mesi infettò una stima di 9-15 milioni di macchine, diventando una delle più grandi botnet mai registrate.
Microsoft rilasciò una patch di emergenza settimane prima della comparsa della prima variante. Eppure eccoci qui, a quasi due decenni di distanza, con Conficker ancora rilevato su centinaia di migliaia di sistemi nel mondo. Per le PMI europee che gestiscono infrastrutture legacy non è una lezione di storia. È una minaccia attuale.
Come si diffonde Conficker e perché non vuole morire
Conficker usa tre vettori di infezione che restano efficaci ovunque esistano sistemi obsoleti. Primo, sfrutta la vulnerabilità di buffer overflow MS08-067 in Windows XP, Vista, Server 2003 e Server 2008. Secondo, si diffonde tramite chiavette USB sfruttando la funzione autorun. Terzo, attacca a forza bruta le password deboli degli amministratori sulle condivisioni di rete.
Ognuno di questi vettori prospera negli ambienti in cui i sistemi non vengono aggiornati con regolarità, e questo descrive più organizzazioni di quante i responsabili IT vorrebbero ammettere. I rapporti Fortinet sul panorama delle minacce dal 2022 al 2024 collocano costantemente Conficker tra le cinque botnet più rilevate al mondo, con centinaia di migliaia di rilevamenti per ogni periodo di riferimento.
I sistemi legacy sono la causa di fondo
Il motivo per cui Conficker persiste è semplice: milioni di macchine nel mondo usano ancora sistemi operativi per cui Microsoft ha interrotto il supporto da anni. Windows XP è arrivato a fine vita nell’aprile 2014. Windows Server 2003 l’ha seguito nel luglio 2015. Questi sistemi non riceveranno mai più una patch di sicurezza.
In molti casi le aziende non possono semplicemente aggiornare. Il software che gira su queste macchine (che controlli una linea di produzione, gestisca apparecchiature di diagnostica per immagini o faccia funzionare un terminale di cassa) può essere certificato solo per una specifica versione del sistema operativo. Aggiornare il sistema operativo può voler dire sostituire l’intero stack applicativo e a volte anche l’hardware.
Si crea così un circolo vizioso. La macchina non può essere aggiornata, Conficker la infetta, il personale IT la ripulisce e il worm la reinfetta in pochi giorni, attraverso la stessa vulnerabilità non corretta o la chiavetta USB di un collega.
I settori più a rischio
Conficker non è distribuito in modo uniforme tra i settori. Si concentra dove i sistemi Windows legacy sono più radicati.
Sanità e dispositivi medici
Ospedali e cliniche in tutta Europa gestiscono ancora apparecchi per risonanza magnetica, TAC e pompe per infusione che funzionano con Windows XP Embedded. Un rapporto Forescout del 2024 sulla sicurezza di OT e IoT ha indicato Conficker come il malware legacy più diffuso emerso dalle verifiche di rete nelle strutture con sistemi Windows più vecchi, presente in circa una scansione su cinque.
Per le organizzazioni sanitarie soggette alla direttiva NIS2 dell’UE, un’infezione Conficker attiva è insieme un rischio di cybersicurezza e una responsabilità sul piano della conformità.
Manifattura e sistemi di controllo industriale
I sistemi SCADA, i controllori logici programmabili e le workstation di ingegneria nelle fabbriche girano spesso su Windows XP o Server 2003. Queste macchine stanno di solito in reti isolate, il che dà agli operatori una falsa sensazione di sicurezza. Ma la propagazione di Conficker via USB fa sì che l’air gap non sia la barriera che sembra.
La CISA ha più volte incluso Conficker nei suoi avvisi ICS-CERT come uno dei malware più frequenti negli ambienti di tecnologia operativa.
Piccole aziende con infrastrutture invecchiate
Molte PMI europee, in particolare nell’Europa meridionale e orientale, usano ancora workstation e server che non vengono sostituiti da oltre dieci anni. Vincoli di budget, la mentalità del “se funziona non toccarlo” e la mancanza di personale IT dedicato contribuiscono tutti al problema. Queste aziende spesso non sanno nemmeno di essere infette finché il worm non provoca rallentamenti evidenti della rete o non fa scattare avvisi da parte del provider internet.
Cosa fa davvero Conficker alla tua rete
Pur non avendo mai distribuito un payload devastante, il worm è tutt’altro che innocuo. Un’infezione attiva causa diversi problemi che incidono direttamente sull’operatività.
Genera un traffico di rete considerevole mentre cerca altre macchine vulnerabili e comunica con la propria infrastruttura di comando e controllo usando un algoritmo di generazione dei domini che interroga fino a 50.000 nomi di dominio al giorno. Questo da solo può peggiorare sensibilmente le prestazioni di rete, soprattutto nelle piccole reti tipiche delle PMI.
Disattiva Windows Update e blocca l’accesso ai siti dei produttori di sicurezza, impedendo alla macchina infetta, e a volte ad altre macchine della rete, di scaricare patch o definizioni antivirus. Indebolisce inoltre la sicurezza degli account attaccando le password a forza bruta, con il rischio di bloccare gli utenti legittimi.
Forse l’aspetto più critico: un’infezione Conficker attiva segnala a qualsiasi aggressore che scansiona la tua rete che i tuoi sistemi non sono aggiornati e sono gestiti male. È un invito aperto.
Passi pratici per le PMI europee
Affrontare il rischio Conficker non richiede un budget enorme, ma richiede una valutazione onesta e azioni deliberate.
Fai l’inventario dei sistemi. Non puoi proteggere ciò che non conosci. Individua ogni macchina della rete, il suo sistema operativo e il livello di patch. Presta particolare attenzione ai sistemi embedded, ai terminali di cassa e a qualsiasi apparecchiatura collegata a processi produttivi o sanitari.
Isola ciò che non puoi aggiornare. Se una macchina deve restare su Windows XP o Server 2003, mettila in una rete segmentata senza accesso a internet e con regole firewall rigide. Disattiva l’autorun USB tramite group policy su ogni macchina dell’organizzazione.
Disattiva i servizi non necessari. Il servizio Server sfruttato da MS08-067 non serve su ogni workstation. Ridurre la superficie di attacco è una delle difese più efficaci a disposizione.
Monitora il traffico di rete. Anche un monitoraggio di rete di base può rilevare i caratteristici pattern di scansione e le query DNS di Conficker. Molti strumenti open source possono segnalare questa attività senza investimenti significativi.
Pianifica la migrazione. I sistemi legacy sono debito tecnico accumulato. Con normative come NIS2 e GDPR, è sempre più difficile giustificare davanti ai regolatori l’uso di sistemi operativi non più supportati. Costruisci una tempistica e un budget realistici per sostituire i sistemi a fine vita, partendo da quelli che trattano dati sensibili o sono raggiungibili da internet.
La vera lezione di Conficker
La persistenza di Conficker non è la storia di un malware particolarmente astuto. Il worm sfrutta una vulnerabilità che era stata corretta prima ancora che comparisse. Ogni infezione esistente oggi è il risultato di una patch mai applicata, di un sistema mai aggiornato o di una rete mai segmentata a dovere.
Per le PMI di tutta Europa il messaggio è chiaro: la cybersicurezza non riguarda solo la difesa dall’ultimo exploit zero-day. A volte la minaccia più pericolosa nella tua rete è una che circola dal 2008, diffondendosi in silenzio attraverso i sistemi che ti sei dimenticato di aggiornare.