[Aggiornamento del 6 giugno 2018 con elenco di dispositivi notevolmente espanso]
Quando si usano strumenti informatici come quelli di eHealth è importante rendersi conto che questi devono costantemente interagire con l’ambiente che li circonda: in particolare sono spesso connessi alla rete wireless attraverso la quale scambiano numerosi messaggi ed informazioni, talvolta di natura molto privata. Quindi l’aspetto della sicurezza informatica, anche chiamata cyber security, ricopre un ruolo essenziale per poter utilizzare i suddetti strumenti con fiducia e senza intoppi.
È recente (23 maggio 2018) l’allarme lanciato da Cisco Talos e successivamente dall’FBI riguardo la scoperta di un malware progettato per installarsi su svariati router wireless casalinghi e da ufficio, chiamato VPNFilter, in grado sia di rubare dati che di disabilitare completamente un router, quando riceve un comando dall’esterno.
Un aggiornamento dei ricercatori del 6 giugno 2018 ha poi ampliato di molto l’elenco dei dispositivi vulnerabili e ha spiegato che VPNFilter è ancora più potente di quello che si pensava originariamente, con un modulo che attacca anche i PC…
In questo articolo vedremo cos’è VPNFilter, perché è così pericoloso, quali contro-misure adottare contro di esso e cosa è stato fatto per renderlo meno pericoloso.
I lettori più interessati ai dettagli specifici possono continuare a leggere, mentre gli altri possono saltare direttamente alle conclusioni e raccomandazioni finali…
Indice
- Che Cos’è VPNFilter?
- Chi Ha Creato VPNFilter?
- Quali Dispositivi Possono Essere Infettati da VPNFilter?
- Come Funziona VPNFilter?
- Come Difendersi da VPNFilter?
- Conclusioni e Raccomandazioni
Che Cos’è VPNFilter?
Cisco Talos ha scoperto lo scorso anno e monitorato il comportamento di un malware (ossia di un software dannoso contenente un virus/worm), chiamato VPNFilter, che sfrutta delle vulnerabilità di svariati router wireless per installarsi sui dispositivi e rimanere presente anche in caso di reboot (ossia spegnimento e riaccensione, o reset).
È un malware particolarmente ingegnoso e complesso: è modulare e multistadio, ossia è diviso in tre ”pezzi” che gli permettono di essere uno dei pochi esempi di malware per dispositivi IoT (Internet of Things) che può sopravvivere a un riavvio. Inoltre, come vedremo, ciò lo rende molto versatile e quindi pericoloso.
Si stima che abbia infettato approssimativamente da 500.000 a 1 milione di router in 54 paesi nel mondo, inclusi alcuni modelli di costruttori molto noti come Linksys, Netgear, MikroTik e TP-link oltre che NAS (Network-Attached Storage, ossia dischi connessi in rete) di QNAP.
Aggiornamento del 6 giugno: Anche modelli di Asus, D-Link, Huawei, Ubiquiti, Upvel e ZTE sono risultati vulnerabili. I ricercatori di Cisco Talos stimano che almeno altri 200.000 router nel mondo siano a rischio di infezione da parte di VPNFilter.
Il malware può essere utilizzato per raccogliere dati su utenti ignari e lanciare attacchi verso altri dispositivi facendosi passare per un utente legittimo.
Alcune sue varianti possono anche distruggere permanentemente i dispositivi infettati con un singolo comando, sovrascrivendo in maniera irreparabile porzioni del firmware (ossia del software di fabbrica) del dispositivo.
Le infezioni hanno colpito almeno 54 paesi e si stima che si siano lentamente diffuse a partire dal 2016. I ricercatori Cisco Talos sono riusciti a monitorarle per diversi mesi.
Gli attacchi sono tuttavia aumentati drasticamente nelle ultime tre settimane prima della pubblicazione del report, tra cui due importanti assalti ai dispositivi situati in Ucraina.
Il picco di attacchi, combinato con la pericolosità del malware, ha spinto Cisco a pubblicare la relazione il 23 maggio 2018 prima che la ricerca potesse essere completata.
Chi Ha Creato VPNFilter?
Il primo a dare la notizia è stato il sito Daily Beast il quale ha annunciato che l’FBI è convinta che VPNFilter sia stato creato da un gruppo molto avanzato di hacker russi chiamato Fancy Bear (anche noto come “Sofacy Group”, “apt28,” “sandworm,” “x-agent,” “pawn storm,” e “sednit”).
I sospetti si erano già concentrati su un possibile coinvolgimento di gruppi russi, dal momento che il report di Cisco Talos aveva menzionato che VPNFilter contiene una funzione identica a quella trovata nel malware noto come BlackEnergy. BlackEnergy è stato utilizzato in una serie di attacchi che sono stati ricondotti a gruppi di hacker russi, tra cui uno nel dicembre 2016 che ha causato un’interruzione di corrente in Ucraina.
Il gruppo Fancy Bear è lo stesso che si era infiltrato nella rete del Democratic National Committee e della campagna elettorale di Hillary Clinton durante l’elezione presidenziale del 2016.
Quali Dispositivi Possono Essere Infettati da VPNFilter?
I ricercatori durante il periodo in cui hanno monitorato il malware hanno potuto accertare che almeno i seguenti dispositivi e software sono sicuramente vulnerabili (lista aggiornata il 6/6):
Modelli Asus:
RT-AC66U (annunciato il 6/6)
RT-N10 (annunciato il 6/6)
RT-N10E (annunciato il 6/6)
RT-N10U (annunciato il 6/6)
RT-N56U (annunciato il 6/6)
RT-N66U (annunciato il 6/6)
Modelli D-Link:
DES-1210-08P (annunciato il 6/6)
DIR-300 (annunciato il 6/6)
DIR-300A (annunciato il 6/6)
DSR-250N (annunciato il 6/6)
DSR-500N (annunciato il 6/6)
DSR-1000 (annunciato il 6/6)
DSR-1000N (annunciato il 6/6)
Modelli Huawei:
HG8245 (annunciato il 6/6)
Modelli Linksys:
E1200
E2500
E3000 (annunciato il 6/6)
E3200 (annunciato il 6/6)
E4200 (annunciato il 6/6)
RV082 (annunciato il 6/6)
WRVS4400N
Modelli Mikrotik:
CCR1009 (annunciato il 6/6)
CCR1016
CCR1036
CCR1072
CRS109 (annunciato il 6/6)
CRS112 (annunciato il 6/6)
CRS125 (annunciato il 6/6)
RB411 (annunciato il 6/6)
RB450 (annunciato il 6/6)
RB750 (annunciato il 6/6)
RB911 (annunciato il 6/6)
RB921 (annunciato il 6/6)
RB941 (annunciato il 6/6)
RB951 (annunciato il 6/6)
RB952 (annunciato il 6/6)
RB960 (annunciato il 6/6)
RB962 (annunciato il 6/6)
RB1100 (annunciato il 6/6)
RB1200 (annunciato il 6/6)
RB2011 (annunciato il 6/6)
RB3011 (annunciato il 6/6)
RB Groove (annunciato il 6/6)
RB Omnitik (annunciato il 6/6)
STX5 (annunciato il 6/6)
Modelli Netgear:
DG834 (annunciato il 6/6)
DGN1000 (annunciato il 6/6)
DGN2200
DGN3500 (annunciato il 6/6)
FVS318N (annunciato il 6/6)
MBRN3000 (annunciato il 6/6)
R6400
R7000
R8000
WNR1000
WNR2000
WNR2200 (annunciato il 6/6)
WNR4000 (annunciato il 6/6)
WNDR3700 (annunciato il 6/6)
WNDR4000 (annunciato il 6/6)
WNDR4300 (annunciato il 6/6)
WNDR4300-TN (annunciato il 6/6)
UTM50 (annunciato il 6/6)
Modelli NAS di QNAP:
TS251
TS439 Pro
Altri dispositivi NAS che girano il software QTS
Modelli TP-Link:
R600VPN
TL-WR741ND (annunciato il 6/6)
TL-WR841N (annunciato il 6/6)
Modelli Ubiquiti:
NSM2 (annunciato il 6/6)
PBE M5 (annunciato il 6/6)
Modelli Upvel:
Ancora sconosciuti (annunciato il 6/6, ma senza essere in grado di determinare quali modelli siano colpiti)
Dispositivi ZTE:
ZXHN H108N (annunciato il 6/6)
Si tratta di router wireless abbastanza comuni e di dispositivi di memorizzazione (NAS) usati da uffici e hobbisti.
Tuttavia non è chiaro quale meccanismo/meccanismi VPNFilter utilizzi per violare questi dispositivi. Si presume lo faccia sfruttando vulnerabilità note e si approfitti anche di quegli utenti poco attenti che non cambiano le password preconfigurate di fabbrica.
In ogni caso, è da presumersi che VPNFilter possa in qualche modo attaccare tutti i dispositivi similari che utilizzano firmware basato su Busybox e Linux. (Si veda sotto per le raccomandazioni del caso…)
Come Funziona VPNFilter?
VPNFilter è un malware modulare molto sofisticato che è composto da tre stadi.
Stadio 1 di VPNFilter
Il primo stadio infetta i dispositivi descritti sopra (e forse anche altri non ancora identificati) usando tecniche attualmente (maggio 2018) non ben note.
Il suo scopo è di connettersi successivamente ad un server su Internet controllato da un aggressore per farsi inviare un secondo pezzo di malware più ampio e pericoloso.
Espleta questo compito di nascosto lanciando un “innocente” download (ossia scaricamento) di un’immagine da Photobucket.com ed estraendo un indirizzo IP (ossia l’indirizzo del server dell’aggressore) camuffato come coordinate della fotografia.
The #VPNFilter EXIF to IPv4 C2 mechanism analysed: https://t.co/IcX3u3doiL pic.twitter.com/zFFJ5NleTV
— Kaspersky (@kaspersky) May 26, 2018
Nel caso in cui non riesca a scaricare l’immagine da Photobucket.com, allora prova a contattare il server di controllo toknowall.com.
Se fallisce anche questo contatto, lo stadio 1 si mette semplicemente in ascolto aspettando di essere contattato con uno specifico messaggio da un aggressore.
Fa questo memorizzando il suo indirizzo pubblico ottenuto da api.ipify.org, e quindi rendendosi persistente anche dopo un riavvio.
Ciò lo rende particolarmente pericoloso e potenzialmente deleterio.
Stadio 2 di VPNFilter
Lo stadio 2, se installato, è molto versatile ed esegue la raccolta di file, esegue comandi, estrae dati, ecc.
Alcune versioni dello stadio 2 possiedono addirittura una funzione di autodistruzione per rendere il dispositivo inutilizzabile a comando.
I ricercatori ritengono però che lo stadio 2 sia comunque così sofisticato da permettere comunque la disabilitazione completa del dispositivo anche senza la specifica funzione di autodistruzione a comando.
Ciò consentirebbe agli degli hacker di disabilitare l’accesso a Internet per centinaia di migliaia di persone in tutto il mondo o in una regione specifica, a seconda dell’obiettivo scelto.
Stadio 3 di VPNFilter
Lo stadio 3 consiste in vari moduli opzionali che possono essere scaricati per gli scopi più disparati: ad esempio un modulo è uno sniffer, ossia un software per la raccolta del traffico che passa attraverso il dispositivo infettato (come credenziali web, password in chiaro, ecc.).
Un obiettivo primario di questo modulo sembrerebbero essere le reti industriali che usano particolari protocolli di comunicazione.
Un altro modulo serve per comunicare in modo criptato con il “dark web”, ossia quella parte del contenuto “oscuro” di Internet che richiede speciali software per accedervi.
I ricercatori Cisco Talos ritengono che altri moduli possano essere ancora scoperti e che il malware possa consentire agli hacker di nascondersi utilizzando i dispositivi infettati come punti apparentemente legittimi per connettersi a degli obiettivi finali.
In poche parole, i dispositivi infettati diventano i nodi di una botnet, ossia possono venir sfruttati in massa dagli hacker come strumento di attacco informatico.
Aggiornamento del 6/6: Nuovi Pericolosi Moduli dello Stadio 3 di VPNFilter
Con il nuovo report Cisco Talos ha annunciato la scoperta di due nuovi moduli dello stadio 3 precedentemente sconosciuti ai ricercatori.
Un modulo di VPNFilter chiamato dstr serve a compensare la mancanza della funzione di autodistruzione in alcune versioni del malware. Può essere scaricato sul dispositivo infettato per aggiungere la funzione di distruzione per specifici usi: ad esempio, si ritiene che questa funzione aggiuntiva possa servire al malware per “dileguarsi” e non lasciare traccia in caso di analisi da parte di tecnici informatici.
Questo modulo, quando eseguito, rimuove prima il malware dal dispositivo e poi procede a cancellare la flash memory e distruggere tutti i file con il comando “rm -rf / *”. Quindi fa ripartire il dispositivo che diventa a quel punto inutilizzabile perché privato di tutti i file necessari per funzionare.
Ancora più inquietante è il secondo nuovo modulo scoperto, chiamato ssler (e pronunciato “Esler”).
Questo pezzo di malware è in grado di eseguire un sofisticato attacco di tipo man-in-the-middle (MITM) sul traffico Web in ingresso al dispositivo infetto.
In parole semplici, questo modulo è in grado di frapporsi tra due dispositivi che si parlano (ad esempio un PC e il server di una banca) attraverso il router infetto e di mettersi in ascolto su ciò che si dicono, anche quando dovrebbero usare la crittografia.
Gli hacker infatti possono utilizzare questo modulo ssler per:
- cercare di ingannare i dispositivi (PC e server) facendo credere loro che debbano evitare di usare la crittografia quando si contattano e vogliono parlare l’uno con l’altro
- inserire informazioni false e potenzialmente nocive nel traffico che passa per il router
- rubare dati sensibili in chiaro (come password) dal traffico ed inviarli ai server controllati dagli hacker
- alterare surrettiziamente il contenuto di siti web presentando informazioni fasulle agli utenti connessi al router
Craig Williams, senior technology leader di Cisco Talos, ha detto ad Ars Technica che:
“But it appears [attackers] […] can manipulate everything going through the compromised device. They can modify your bank account balance so that it looks normal while at the same time they’re siphoning off money and potentially PGP keys and things like that. They can manipulate everything going in and out of the device.”
“Ma sembra che [gli aggressori] […] possano manipolare tutto ciò che passa attraverso il dispositivo compromesso. Possono modificare il saldo del tuo conto bancario in modo che sembri normale mentre allo stesso tempo stanno sottraendo denaro e potenzialmente chiavi PGP [un tipo di chiavi di crittografia N.d.R.] e cose del genere. Possono manipolare tutto ciò che entra ed esce dal dispositivo. “
Come Difendersi da VPNFilter?
La buona notizia è che il 23 maggio 2018 l’FBI ha annunciato di aver sequestrato il server chiave utilizzato nell’attacco: ToKnowAll.com. Anche le immagini “ponte” sono state rimosse da Photobucket.com.
Il sequestro ha significato lo smantellamento del mezzo primario e secondario per inviare gli stadi 2 e 3 ai dispositivi infettati, lasciando a questi solo un terzo ripiego basato sull’invio di pacchetti speciali a ciascun dispositivo infetto.
The Justice Department today announced an effort to disrupt a global botnet of hundreds of thousands of infected home and office (SOHO) routers and other networked devices under the control of a group of actors known as the “Sofacy Group” (also known as “apt28,” “sandworm,” “x-agent,” “pawn storm,” “fancy bear” and “sednit”). The group, which has been operating since at least in or about 2007, targets government, military, security organizations, and other targets of perceived intelligence value.
Impossessarsi di questo tipo di server è una contromisura dell’FBI (chiamata dai tecnici “sinkholing”) per poter monitorare tutti i dispositivi che cercano di collegarsi ad esso e così scoprire tutti i dispositivi infettati. Lo scopo è di comunicare questa lista alle autorità ed enti competenti per poter raggiungere e notificare tutti gli utenti che hanno un dispositivo compromesso.
Tuttavia i ricercatori rimangono cauti e avvisano che in teoria i dispositivi infettati potrebbero essere di nuovo colpiti se gli aggressori fossero in possesso dei loro indirizzi e li ricontattassero direttamente uno per uno per scaricare gli stadi 2 e 3.
Cosa Consigliano FBI, Cisco e Altri Esperti Contro VPNFilter?
Il 25 maggio l’FBI ha rilasciato il seguente comunicato che consiglia le misure di difesa da adottare:
DEFENSE
The FBI recommends any owner of small office and home office routers reboot the devices to temporarily disrupt the malware and aid the potential identification of infected devices. Owners are advised to consider disabling remote management settings on devices and secure with strong passwords and encryption when enabled. Network devices should be upgraded to the latest available versions of firmware.
Esse sono:
- Far ripartire (reboot o restart) il proprio router domestico o in ufficio per cancellare, se presenti, gli stadi 2 e 3 che NON possono sopravvivere ad un riavvio (quindi vengono cancellati). Presumibilmente a quel punto, il malware contatterà il server ToKnowAll.com sequestrato dall’FBI e verrà rilevato e rintracciato.
- Disabilitare la funzione di remote management (ossia gestione remota) del router, se abilitata (anche il costruttore Netgear per alcuni suoi router ha suggerito lo stesso, vedi figura sotto)
- Assicurarsi di usare sempre le tecniche di crittografia più sicure (ad esempio usare https invece di http per accedere ai dispositivi nel browser, e configurare la crittografia wireless raccomandata dal costruttore)
- Assicurarsi di aver cambiato le password predefinite e configurato delle password robuste sui propri dispositivi. Per aiutare in questo compito abbiamo pubblicato una guida apposita: Come Aumentare la Sicurezza del Telefono Cellulare (che si applica anche ai router per la parte di scelta delle password)
- Aggiornare i dispositivi all’ultima versione del firmware disponibile, per rimuovere potenziali vulnerabilità note che lo stadio 1 possa sfruttare per (re-)installarsi.
- Aggiornamento del 6/6: Assicurarsi di connettersi dai propri PC a siti che usano esclusivamente la crittografia con il protocollo https (anche chiamato SSL). Una tecnologia che serve ad ottenere questo risultato e che alcuni siti usano (insieme con altre simili) è chiamata HTTP Strict Transport Security (HSTS). Sfortunatamente non tutti i siti la utilizzano perché preferiscono continuare ad usare il protocollo http (in chiaro, ossia non criptato) quando si connettono a dispositivi (relativamente poco moderni) che non sono in grado di criptare il traffico. In questo secondo caso, diventa facile per VPNFilter ingannarli e convincerli a usare una comunicazione in chiaro.
Figura della funzione di remote management disabilitata su router Netgear:
Inoltre, dal momento che non sono noti tutti i tipi di dispositivi potenzialmente compromessi da VPNFilter, i funzionari dell’FBI hanno suggerito per precauzione che gli utenti di TUTTI i router di fascia consumer, non solo quelli noti elencati sopra, si proteggessero.
Ecco il comunicato dell’FBI tradotto con questo aspetto evidenziato:
L’FBI consiglia a qualsiasi proprietario di router domestici e per piccoli uffici di riavviare i dispositivi per interrompere temporaneamente il malware e facilitare la potenziale identificazione dei dispositivi infetti. Si consiglia ai proprietari di considerare la disattivazione delle impostazioni di gestione remota sui dispositivi e di proteggerli con password e con livelli di crittografia avanzata, quando abilitata. I dispositivi di rete devono essere aggiornati alle ultime versioni disponibili del firmware.
I funzionari del Dipartimento di Giustizia hanno aggiunto:
I proprietari di dispositivi SOHO e NAS che potrebbero essere infettati dovrebbero riavviare i loro dispositivi il prima possibile, eliminando temporaneamente il malware di secondo stadio e facendo in modo che il malware di primo stadio sul proprio dispositivo inviti istruzioni. Sebbene i dispositivi rimarranno vulnerabili alla reinfezione con il malware di secondo stadio mentre sono connessi a Internet, questi sforzi massimizzano le opportunità di identificare e rimediare l’infezione in tutto il mondo nel tempo disponibile prima che gli [hacker] di Sofacy apprendano la vulnerabilità nella loro infrastruttura di comando e controllo.
Per gli utenti che vogliono liberarsi completamente del malware, sia Cisco che Symantec consigliano di eseguire un ripristino della configurazione di fabbrica, un processo che in genere prevede di tenere premuto con una graffetta un pulsante nella parte posteriore del dispositivo per cinque o dieci secondi.
Sfortunatamente, questo tipo di processo cancella tutte le impostazioni di configurazione memorizzate, quindi gli utenti dovranno riconfigurare le impostazioni (ad esempio da un file di backup di configurazione) una volta riavviato il dispositivo.
Conclusioni e Raccomandazioni
Non esiste un modo semplice per determinare se un router è stato infettato dal pericoloso malware chiamato VPNFilter.
L’FBI e gli altri esperti hanno consigliato a tutti i proprietari di router consumer (ossia per uso domestico e per piccolo ufficio) e di NAS (ossia Network-Attached Storage) di seguire al più presto almeno le seguenti raccomandazioni:
- riavviare il dispositivo
- aggiornare il firmware alla versione più recente disponibile
- modificare le password predefinite
- disabilitare l’amministrazione remota
Nella maggior parte dei casi ciò non dovrebbe richiedere più di 15 minuti.
Una contromisura più efficace, ma più lunga, è di seguire il consiglio che Cisco Talos e Symantec hanno dato di eseguire un ripristino delle impostazioni di fabbrica, per rimuovere in modo permanente tutto il malware, incluso lo stadio 1. Ciò però comporta la perdita della configurazione che deve essere reinserita a mano o da file di backup.
Ovviamente rimangono validi tutti gli altri consigli elencati sopra, oltre al consiglio generico di assicurarsi sempre che i siti con informazioni confidenziali a cui ci si connette usino esclusivamente il protocollo https.
Purtroppo, però, non è ancora stato determinato se l’esecuzione della versione di firmware più recente e la modifica delle password predefinite prevengano del tutto le infezioni.
Cisco e Symantec hanno ipotizzato che gli hacker sfruttino vulnerabilità note, e quindi anche già corrette. Tuttavia è anche possibile che utilizzino vulnerabilità non ancora risolte. In questo secondo caso bisognerà attendere ulteriori patch (ossia aggiornamenti con contromisure) dai vari costruttori.
Ciò significa che almeno gli utenti dei dispositivi elencati sopra (in realtà tutti gli utenti, per sicurezza) dovrebbero non solo seguire le raccomandazioni dell’FBI ma anche rivolgersi al produttore del proprio dispositivo per un consiglio più specifico.
I ricercatori di Cisco hanno infatti esortato sia i consumatori che le aziende a prendere sul serio la minaccia di VPNFilter.
Craig Williams, senior technology leader di Cisco Talos, ha detto ad Ars Technica che:
“I’m concerned that the FBI gave people a false sense of security,” Williams said. “VPNFilter is still operational. It infects even more devices than we initially thought, and its capabilities are far in excess of what we initially thought. People need to get it off their network.”
“Sono preoccupato che l’FBI abbia dato alle persone un falso senso di sicurezza“, ha detto Williams. “VPNFilter è ancora operativo. Infetta ancora più dispositivi di quanto pensassimo inizialmente, e le sue capacità sono di gran lunga superiori a quanto inizialmente pensavamo. Le persone devono rimuoverlo dalla rete. “
Questo blog terrà i suoi lettori informati in caso di sviluppi ulteriori ed aggiornamenti.
Per imparare di più sull’importanza delle nuove tecnologie mediche in rapida evoluzione, e per un elenco di riferimenti ad esempi ed applicazioni pratiche in cui si utilizza l’eHealth per salvare vite o migliorare la salute, consigliamo il lettore di partire dalla pagina dedicata: Cos’è l’ e-Health (Digital Health), che abbiamo aggiornato ed espanso recentemente. Ulteriori approfondimenti e spunti sono disponibili in articoli come l’Editoriale: eHealth per Salvare Vite, Cosa sono Meltdown e Spectre? Facciamo Chiarezza Una Volta per Tutte. e Come Aumentare la Sicurezza del Telefono Cellulare.
Volete rimanere aggiornati sull’affascinante mondo dell’e-health? E continuare a leggere di come la salute digitale dopo aver segnato l’inizio di una rivoluzione epocale nel fare medicina e nel curare i pazienti evolverà in futuro? Di come la digital health (ad esempio con la mobile health) possa entrare ogni giorno nelle case di tutti e fornire importanti ausili per prendersi maggior cura del nostro bene più prezioso, ossia la nostra salute? Allora iscrivetevi alla nostra newsletter!
Che Ne Pensate di VPNFilter?
Che cosa ne pensate della minaccia del malware VPNFilter? E della sicurezza dei dispositivi informatici in generale? Avete delle domande che vi possiamo aiutare a rispondere? O dei commenti o dei suggerimenti che possono essere utili a noi o agli altri lettori? Se sì, per favore condivideteli nella sezione dei commenti qui sotto!