Il ransomware è un tipo virus informatico che blocca l’accesso degli utenti ai sistemi informatici e crittografa i file, offrendo agli aggressori il controllo su qualsiasi informazione personale memorizzata sui dispositivi delle vittime. I criminali informatici minacciano quindi le vittime di bloccare l’accesso ai loro file/computer o di esporre i loro dati sensibili a meno che non paghino un riscatto
Gli attacchi ransomware non solo possono interrompere l’accesso alla rete, bloccare le operazioni interne e danneggiare la reputazione di un’azienda, ma possono anche provocare ulteriori attacchi perché i criminali informatici giustamente vedranno la tua organizzazione come vulnerabile. Loro minacciano quindi di divulgare, distruggere o trattenere informazioni sensibili a meno che non venga pagato un riscatto.
Gli attacchi ransomware possono prendere di mira i dati archiviati sui sistemi informatici (locker ransomware) o sui dispositivi (ransomware). In entrambi i casi, dopo il pagamento del riscatto, gli aggressori di solito forniscono alle vittime una chiave di decrittazione o uno strumento per sbloccare i propri dati o dispositivo, sebbene ciò non sia garantito.
Indice dei contenuti
Come funziona il ransomware
Il ransomware, come qualsiasi altro malware, irrompe nelle reti utilizzando tipi tradizionali di attacchi:
- E-mail e messaggi in messenger con collegamenti sospetti, metodi di social engineering (Baiting, Honey Trap, Scareware), phishing e siti dannosi.
- Vulnerabilità del protocollo del software e del desktop remoto. Con il passaggio al lavoro remoto e la dipendenza dal software desktop remoto, il numero di e-mail dannose è aumentato del 600% solo nei primi mesi della pandemia. Allo stesso modo, mentre le organizzazioni passano ai sistemi di archiviazione ibridi, vengono esposte le vulnerabilità associate all’archiviazione cloud.
Senza l’uso di una politica di segmentazione della rete, gli aggressori sono liberi di vagare per la rete, infettando endpoint e server e chiedendo un riscatto per riottenere l’accesso ai tuoi dati.
Gli attacchi e-mail, che consentono al ransomware di entrare in una rete, sono difficili da fermare. Gli aggressori possono indurre anche gli utenti esperti a fare clic su un collegamento previsto o su una foto che si presume provenga da qualcuno conosciuto.
Il modo più comune in cui i criminali infettano i file di dati è inviando e-mail con collegamenti o allegati dannosi su cui i dipendenti fanno clic, avviando inconsapevolmente un attacco. Queste potrebbero essere e-mail inviate a milioni di potenziali vittime o messaggi mirati a una persona specifica in un’organizzazione specifica. Quest’ultimo è solitamente combinato con metodi di ingegneria sociale, con l’aiuto dei quali i criminali informatici raccolgono in anticipo le informazioni necessarie sulla vittima.
Dopo un attacco riuscito, gli aggressori informano le loro vittime che i loro dati sono crittografati. Per accedere alla chiave di decrittazione, la vittima deve effettuare un pagamento immediato, spesso in criptovaluta, che oscura l’identità dell’aggressore. Saprai di essere vittima di un ransomware se sul desktop appare una finestra pop-up o un file readme.txt
Come il ransomware entra nel tuo computer
I modi più comuni per installare ransomware sono:
- utilizzando il phishing;
- inserendo malware su un sito web.
Una volta installato, il virus crittografa le informazioni memorizzate sul computer della vittima o blocca il normale funzionamento del computer visualizzando un messaggio sullo schermo che richiede il pagamento di un determinato importo per decrittografare i file e ripristinare il sistema. Nella maggior parte dei casi, il messaggio di richiesta di trasferimento di denaro viene visualizzato quando l’utente riavvia il computer dopo che si è verificata un’infezione.
Come difendersi dai ransomware?
In generale, la migliore difesa è la prudenza. Puoi seguire alcune linee guida per ridurre al minimo il rischio di essere vittima di un simile attacco. Ecco le regole di protezione contro il ransomware:
Creare backup offline. Sebbene i normali backup su cloud e virtuali siano utili, se non si esegue il backup dei dati offline, si corre il rischio di perderli. Ciò significa eseguire regolarmente il backup in un luogo sicuro, conservare più copie e monitorare che i backup corrispondano all’originale.
Migliora le capacità del tuo staff. Aumentare la consapevolezza sul ransomware è uno dei compiti fondamentali per migliorare la sicurezza informatica in un’azienda. Allo stesso tempo, è importante condurre regolarmente briefing generali e personali, perché è sufficiente che un dipendente riduca la vigilanza affinché l’intera organizzazione venga compromessa.
Regola la visualizzazione dell’estensione del file. Prima di tutto, i dipendenti devono essere addestrati a non fare doppio clic sui file eseguibili (file .exe), indipendentemente dalla loro provenienza. Tuttavia, Windows nasconde le estensioni dei file per impostazione predefinita, rendendo gli eseguibili dannosi come ransom.doc.exe simili a un documento di Word denominato ransom.doc. Pertanto, l’impostazione delle estensioni in modo che vengano sempre visualizzate contribuirà notevolmente a contrastare questo tipo di minacce.
Imposta i filtri antispam. I criminali informatici inviano milioni di e-mail dannose a organizzazioni e utenti casuali, ma un filtro antispam efficace che si adatta costantemente alle nuove minacce può impedire a più del 99% di tali messaggi.
Blocca i file eseguibili. Filtrare i file .exe dalle e-mail può impedire che determinati file dannosi vengano aperte. Ma tieni presente che questo non è l’unico modo affidabile per proteggersi dal ransomware. Il fatto è che il ransomware viene sempre più inviato sotto forma di file JavaScript.
Blocca i file JavaScript. Il ransomware viene distribuito in archivi zip contenenti file JavaScript dannosi. Di solito sono mascherati da file di testo con nomi come readme.txt.js e sono spesso visti semplicemente come readme.txt ma con un’icona di script per il file di testo. Puoi chiudere questa vulnerabilità semplicemente disabilitando Windows Script Host.
Mantieni aggiornato il tuo software. Questa è una delle principali misure di sicurezza. Tutto il software deve essere aggiornato, poiché gli aggiornamenti includono quasi sempre le ultime patch di sicurezza per affrontare le vulnerabilità scoperte in precedenza.
Visita NoMoreRansom.org, un sito creato dalle forze dell’ordine e dalle società IT di sicurezza che lavorano sulle minacce ransomware. Il sito Web offre strumenti di decrittazione gratuiti per gli utenti infetti, nonché consigli preventivi.
Tipi ed esempi di ransomware
Ransomware è un termine generico che copre molti diversi tipi di malware. Tuttavia, hanno tutti una cosa in comune: minacciare te o i tuoi dati con estorsioni. Gli attacchi più pericolosi sono stati effettuati da WannaCry, Petya, Cerber, Cryptolocker e Locky ransomware. Ecco i diversi tipi di ransomware che devi conoscere:
Cryptolocker è un virus destinato a tutte le versioni di Windows, inclusi Windows XP, Windows Vista, Windows 7 e Windows 8. Si tratta di un nuovo tipo di virus estremamente pericoloso. Come altri virus mendicanti, CryptoLocker blocca, in questo caso crittografa, le informazioni sul disco rigido e ti chiede di pagare per potervi accedere nuovamente. Una novità per tali virus è stata l’aggiunta di un limite di tempo per il riscatto: gli utenti hanno tre giorni per pagare $ 300, € 300 o 2 bitcoin prima che la chiave di crittografia venga “distrutta per sempre” e le informazioni vengano perse per sempre. Per sentire l’inevitabilità della punizione, viene visualizzato un timer, che conta il tempo fino alla distruzione della chiave.
WannaCry (2017). Un attacco informatico globale che ha infettato oltre 300.000 computer in 4 giorni. WannaCry è stato distribuito tramite un exploit noto come EternalBlue e progettato per i sistemi operativi Microsoft Windows (la maggior parte dei computer interessati utilizzava Windows 7). L’attacco è stato interrotto grazie alle patch di emergenza rilasciate da Microsoft. Esperti di sicurezza statunitensi hanno affermato che la Corea del Nord è stata coinvolta nell’attacco, ma non è stata fornita alcuna prova.
Bad Rabbit (2017). Un ransomware distribuito come un falso aggiornamento di Adobe Flash scaricato da siti Web compromessi. La maggior parte dei computer infetti si trovava in Russia e l’infezione dipendeva dall’installazione manuale del file .exe. Il costo della decrittazione all’epoca era di circa $ 280 (0,05 BTC).
Locky (2016). Locky è stato più popolare nel 2016, ma non si è fermato nel 2017. Generalmente distribuito via e-mail come ricevuta di pagamento, contenente un file infetto come allegato. Nel 2016, l’Hollywood Presbyterian Medical Center è stato infettato da Locky e costretto a pagare 40 BTC ($ 17.000 all’epoca) per ripristinare l’accesso ai sistemi informatici dell’ospedale.
Il virus Petya è conosciuto anche con altri nomi: Petya.A, PetrWrap, NotPetya, ExPetr. Una volta entrato nel computer, scarica un ransomware da Internet e cerca di colpire una parte del disco rigido con i dati necessari per avviare il computer. Se ci riesce, il sistema emette una “schermata blu della morte”. Dopo il riavvio, viene visualizzato un messaggio di controllo del disco rigido che richiede di non spegnere l’alimentazione. Pertanto, il virus ransomware finge di essere un programma di sistema per il controllo del disco, crittografando i file con determinate estensioni. Al termine del processo, viene visualizzato un messaggio sul blocco del computer e informazioni su come ottenere una chiave digitale per decrittografare i dati. Il virus Petya richiede un riscatto, solitamente in bitcoin.
GrandCrab (2018). È successo per la prima volta nel gennaio 2018, dove 50.000 vittime di ransomware in meno di un mese prima che fosse fermato dalle autorità rumene insieme a Bitdefender ed Europol (utilizzando un toolkit gratuito per il recupero dei dati). GrandCrab è stato diffuso tramite e-mail di malvertising e phishing, è stato il primo ransomware noto che richiedeva un riscatto nella criptovaluta DASH. L’estorsione iniziale variava da $ 300 a $ 1.500.
LockerGoga. Il 18 marzo 2019, Norsk Hydro, uno dei maggiori produttori mondiali di alluminio, è stata attaccata da un ransomware. Tutti gli impianti sono stati isolati con successo, i processi sono stati trasferiti al controllo manuale ove possibile. Il ripristino dell’infrastruttura non è ancora stato completato e i singoli impianti di produzione (ad esempio, estrusione di profili in alluminio) funzionano ancora a metà capacità.
Regole per rispondere a un attacco ransomware
I seguenti passaggi possono aiutarti a gestire e mitigare gli attuali attacchi ransomware:
1. Isolamento
Il primo passo per combattere il ransomware è isolare i sistemi infetti dal resto della rete. Arrestare questi sistemi e scollegare il cavo di rete. Disattiva il Wi-Fi. I sistemi infetti devono essere completamente isolati da altri computer e dispositivi di archiviazione sulla stessa rete.
2. Identificazione
Quindi scopri che tipo di malware ha portato all’infezione dei computer. Spetta al team di risposta agli incidenti, al personale IT o ai consulenti di terze parti determinare il tipo di ransomware e sviluppare un piano per affrontare l’infezione nel modo più efficace.
3. Notifica della minaccia alle autorità di regolamentazione
A seconda delle conseguenze dell’incidente e delle disposizioni legali applicabili, l’incidente dovrebbe essere segnalato alle autorità di regolamentazione.
4. Rimozione malware
Rimuovi il malware dai sistemi infetti per prevenire ulteriori danni e la diffusione del virus.
5. Recupero dati
Dopo aver soppresso l’attacco, procedere al processo di ripristino. Il pagamento del riscatto è una delle opzioni. Forse gli aggressori sono nobili ladri e ti daranno le chiavi necessarie per decifrare i dati. L’opzione migliore è ripristinare dall’ultimo backup disponibile.
