Primo appuntamento di Feel Releases, con due notizie che sembrano non c'entrare nulla l'una con l'altra: il progetto di un nuovo installer per Ubuntu e l'analisi di KeRnSoMwArE, un ransomware italiano ancora in fase di test nel campione osservato.

L'idea della rubrica è ragionare sulle notizie, non elencarle. È anche un formato che sto provando, quindi i riscontri mi servono davvero.

Ubuntu ripensa l'installer

Le prime immagini colpiscono per un'interfaccia più pulita. Riconosco il lavoro sul design e faccio la domanda che mi faccio sempre: quanto l'aspetto aiuta davvero a usare il programma?

La proposta ufficiale del febbraio 2021 non riguarda solo la grafica. Comprende il lavoro su una base tecnologica più condivisa fra installazione desktop e server e su un nuovo frontend, che è la parte più interessante.

Siamo però a progetti e prototipi. Non trasformiamo ogni immagine o scadenza annunciata in una funzione già presente nella versione stabile.

Funzionalità e bellezza non si escludono

La mia preferenza va a un software reattivo, che regga anche su hardware diverso. Un'interfaccia piacevole non compensa un programma che non ti fa lavorare.

Detto questo, un design più curato non implica un consumo maggiore di risorse: da uno screenshot si giudica l'organizzazione visiva, non il peso del programma. Per quello servono prove.

Un buon installer dovrebbe rendere comprensibili soprattutto le decisioni che contano — disco, partizioni, conseguenze. L'estetica diventa utile quando aiuta a riconoscerle, non quando le rende più eleganti.

KeRnSoMwArE: che cosa è stato osservato

Il CERT-AGID pubblica l'analisi il 27 febbraio 2021, dopo la condivisione del campione da parte dei ricercatori. Il software usa percorsi di prova e non viene descritto come una campagna già attiva.

Il campione chiude alcuni processi, avvia un conto alla rovescia e cifra un file di esempio. La schermata chiede 300 dollari in Bitcoin entro due ore, ma manca l'indirizzo per il pagamento. E l'analisi precisa che, alla scadenza, l'azione di rimozione minacciata non era nemmeno implementata.

È la distinzione che conta: quello che una schermata minaccia e quello che il codice esegue sono due cose separate.

Cifratura robusta e implementazione difettosa

Qui c'è una lezione tecnica che vale oltre il caso: usare algoritmi noti non rende corretta l'implementazione. La combinazione fra cifratura dei dati e protezione delle chiavi è il punto in cui quasi tutti sbagliano.

L'analisi del campione mostra informazioni recuperabili dal codice. Questo però non trasforma i dettagli di un prototipo in una procedura per recuperare file colpiti da altri ransomware.

In particolare non riproporrei come regola generale l'idea di lasciare in esecuzione il malware. La gestione di un incidente dipende dal campione, dallo stato del sistema e dalla necessità di preservare prove e possibilità di recupero.

Un campione non descrive tutte le minacce

La notizia fa riflettere sull'interesse dei criminali per l'estorsione digitale. Non dimostra che i ransomware siano arrivati in Italia con la pandemia, né che ogni attacco dipenda dalla distrazione della vittima.

Messaggi ingannevoli, credenziali rubate, vulnerabilità e configurazioni sbagliate producono incidenti diversi. La formazione aiuta, ma deve stare insieme ad aggiornamenti, controllo degli accessi e copie recuperabili.

Il compito della divulgazione è tenere separate queste cose. Se trasformiamo ogni notizia in una minaccia indistinta, otteniamo un pubblico spaventato e meno capace di decidere: il peggior risultato possibile.

Che cosa collega le due notizie

Installer e ransomware sembrano lontanissimi. Li tiene insieme il rapporto fra quello che vedi sullo schermo e quello che il software fa davvero.

Un'interfaccia bella non dimostra efficienza; un conto alla rovescia non dimostra che le minacce siano implementate. In entrambi i casi conviene andare oltre l'impressione, leggere le fonti e riconoscere il limite di quello che sappiamo.