Cos'è il ransomware?

Esistono diverse categorie di ransomware, tra cui gli "encryptor" , che si concentrano principalmente sul blocco dei file, e gli "screen locker", che impediscono l'accesso agli utenti mostrando loro solo una schermata di blocco. In entrambi i casi, alle vittime viene chiesto di pagare un riscatto, spesso in valute digitali come i Bitcoin, per riprendere il controllo dei propri dati o sistemi. 

È tuttavia importante osservare che il pagamento del riscatto non garantisce un recupero sicuro dei propri file. In alcuni casi, le vittime potrebbero non ricevere alcuna chiave di decrittazione o potrebbero trovare del malware aggiuntivo installato sui propri sistemi dopo il pagamento.

Il rischio associato al ransomware è cresciuto con l'emergere del Ransomware-as-a-Service (RaaS), un modello che consente a un maggior numero di individui di portare a termine questo tipo di attacchi. Inoltre, le versioni moderne di ransomware sono in grado di sfruttare le vulnerabilità del sistema per diffondersi in tutta l'organizzazione, trasformando un problema localizzato in una crisi più estesa che richiede un intervento immediato. 

Il Ransomware-as-a-Service (RaaS) ha democratizzato l'accesso al ransomware, rendendone possibile l'impiego anche a persone dalle competenze tecniche limitate. Questo modello funziona in modo molto simile ai servizi software tradizionali, fornendo gli strumenti per lanciare attacchi informatici sofisticati.

Nel modello del RaaS , ci sono due gruppi principali che lavorano fianco a fianco: i creatori del ransomware e i loro affiliati. I creatori realizzano il ransomware e i sistemi necessari per diffonderlo. Gli affiliati, reclutati online, sono responsabili della distribuzione del ransomware. Alcuni gruppi RaaS spendono anche ingenti somme di denaro per reclutare affiliati. Una volta entrati a far parte del sistema, questi affiliati possono lanciare le proprie campagne ransomware utilizzando l'infrastruttura esistente.

Dal punto di vista finanziario, il RaaS ha diversi modi per sostenersi economicamente. Gli affiliati possono pagare una quota periodica, effettuare un pagamento in un'unica soluzione o condividere i profitti con i creatori. Questo processo è spesso trasparente e viene gestito attraverso dashboard online, da cui gli affiliati possono monitorare metriche come il numero di infezioni e le entrate generate. I pagamenti avvengono solitamente tramite criptovalute come i Bitcoin, che assicurano un buon grado di anonimato.

Ciò che rende il RaaS ancora più difficile da combattere è la sua presenza nel dark web, dove opera come qualsiasi altro mercato basato sulla concorrenza. Proprio come i servizi software legali, le piattaforme RaaS possono proporre recensioni dei clienti, assistenza 24 ore su 24 e pacchetti di offerte. Utilizzano persino tecniche di marketing che imitano quelle delle aziende normali. 

Il mondo del ransomware sta cambiando rapidamente, diventando sempre più complicato con l'emergere di nuovi tipi di attacco. Comprendere queste diverse forme è fondamentale per predisporre una difesa robusta e flessibile contro i cyber-attacchi. 

Esistono inoltre diverse famiglie di ransomware, come WannaCryptor, Stop/DJVU e Phobos, ognuna delle quali con i propri tratti distintivi. Conoscere a fondo queste varianti aiuta a elaborare strategie specializzate di difesa più mirate ed efficaci. 

Di seguito è riportato un elenco dei tipi di ransomware più frequenti, classificati in base al loro modus operandi.

· Crypto Ransomware o Encryptor: un caposaldo dei toolkit dei criminali informatici, il Crypto Ransomware è specializzato nella crittografia di file e dati, spesso tramite algoritmi di cifratura avanzati. Questa tattica rende i dati inaccessibili fino a quando non viene applicata una chiave di decrittazione, solitamente ottenibile solo dietro un pagamento in criptovalute. In questa categoria, famiglie di ransomware come WannaCryptor sono assurte agli onori della cronaca a causa della loro portata e della gravità del loro impatto.

· Locker: incentrati sull'interazione con il sistema piuttosto che sull'integrità dei dati, i Locker inibiscono le funzionalità principali di un computer, spesso mostrando all'utente una schermata di blocco con una richiesta di riscatto. Anche se non criptano i dati, creano problemi più che tangibili. La famiglia di ransomware Phobos, ad esempio, è nota per utilizzare tattiche da Locker insieme ai metodi di crittografia.

· Scareware: agendo principalmente attraverso la manipolazione psicologica, gli Scareware si fingono dei software antivirus del tutto legittimi. Inondano gli utenti con avvisi incessanti su infezioni da malware inventate, spesso richiedendo il pagamento di fantomatici "servizi di rimozione". Alcune varianti avanzate prendono in prestito le tecniche dei Locker e possono anche bloccare i computer. Spesso gli Scareware sono la porta di ingresso usata dai tristemente noti truffatori dei finti servizi di assistenza.

· Doxware o Leakware: il Doxware rappresenta una minaccia maggiore: sequestra i dati sensibili e minaccia di renderli pubblici. La posta in gioco è resa ancora più grave dal potenziale rischio reputazionale. Occasionalmente, è possibile imbattersi in ransomware mascherati da messaggi provenienti forze dell'ordine, che spingono l'utente a pagare una multa per evitare inesistenti conseguenze legali. 

· Mobile Ransomware: con la crescente onnipresenza di smartphone e tablet nella nostra vita di tutti i giorni, gli attacchi Mobile Ransomware non si sono fatti attendere. Questi attacchi prendono di mira l'usabilità del dispositivo o i dati memorizzati su di esso, costringendo le vittime a pagare per ripristinarli.

· DDoS Extortion: nonostante non sia una forma convenzionale di ransomware, la DDoS Extortion sfrutta principi analoghi, costringendo le vittime a effettuare pagamenti in denaro per evitare disservizi o interruzioni. In questo caso, la minaccia consiste nel sovraccaricare una rete o un sito Web con un ingente afflusso di traffico, impedendogli temporaneamente di funzionare correttamente.

Per decrittare i file compromessi dal ransomware, avrai bisogno di uno strumento di decrittazione appropriato. Identifica la specifica variante di ransomware che sta colpendo il tuo sistema e consulta gli esperti di cybersecurity per sapere quali strumenti hai a disposizione. 

Molti di questi, come gli strumenti di bonifica da ransomware offerti da Bitdefender Labs, sono disponibili gratuitamente. Agire in modo rapido e deciso è fondamentale per prevenire l'ulteriore diffusione del ransomware, valutarne l'impatto e dare inizio alle procedure di bonifica.

Puoi usare il piano d'azione riportato di seguito come tabella di marcia per la bonifica in seguito a un attacco ransomware e rafforzare le tue difese sul lungo periodo. Illustra i passaggi chiave, dai segnali iniziali di un attacco all'analisi post-incidente, per aiutarti a ripristinare i sistemi colpiti e a rafforzare le tue misure di cybersecurity.

Isolamento e contenimento

La prima cosa da fare è limitare la capacità del malware di proliferare nella tua infrastruttura.

· Isola i dispositivi colpiti: scollega immediatamente l'hardware compromesso dalla rete, da Internet e da altri dispositivi connessi.

· Ferma la diffusione: interrompi ogni forma di connettività wireless (Wi-Fi, Bluetooth) e isola i dispositivi che mostrano un comportamento irregolare per evitare un'interruzione diffusa in tutta l'azienda.

Valutazione e identificazione: 

a questo punto, analizza a fondo l'impatto e l'origine dell'attacco per valutare le azioni successive da intraprendere.

· Valuta i danni: esamina i sistemi alla ricerca di file criptati o nomi di file anomali e raccogli le segnalazioni degli utenti che hanno problemi ad accedere ai file. Redigi un elenco completo dei sistemi compromessi.

· Individua il paziente zero: esamina le notifiche antivirus, le piattaforme EDR (Endpoint Detection and Response) e i lead human-generated, come le e-mail sospette, per individuare l'origine dell'infezione.

· Identifica la variante di ransomware: usa risorse per l'identificazione dei ransomware come Bitdefender Ransomware Recognition Tool o studia i dettagli della richiesta di riscatto per accertare il ceppo di ransomware con cui hai a che fare.nbsp. 

Obblighi di legge: 

dopo le risposte tecniche immediate, è di fondamentale importanza occuparsi delle responsabilità imposte dalla legge.

· Informa le autorità: segnala l'incidente alle forze dell'ordine competenti. Questa azione non solo può essere utile per il recupero dei dati, ma a volte è necessaria per rispettare leggi come il CIRCIA (USA) o il GDPR (UE).

Recupero e ripristino:

una volta gettate le basi, occorre spostare l'attenzione sul ripristino dei sistemi compromessi, e accertarsi che il malware sia stato completamente estirpato.

· Valuta i tuoi backup: se sono disponibili backup aggiornati, avvia il ripristino del sistema, assicurandoti che gli strumenti antivirus e anti-malware eliminino tutto ciò che resta del ransomware prima di procedere al ripristino del sistema.

· Ricerca opzioni di decrittazione: in caso non siano disponibili backup, valuta se utilizzare strumenti di decrittazione gratuiti come quelli già citati di Bitdefender. Assicurati che ogni traccia del malware sia stata estirpata prima di tentare di decrittare i dati.

Bonifica del sistema e aggiornamenti di sicurezza: 

una volta neutralizzate le minacce immediate, l'enfasi dovrebbe ora essere posta sull'identificazione dei punti deboli e sul miglioramento dell'architettura di cybersecurity.

· Estirpa la minaccia: conduci un'analisi delle root-cause, meglio se sotto la guida di un esperto di cybersecurity di fiducia, per identificare tutte le vulnerabilità del sistema e rimuovere completamente la minaccia dal tuo network.

· Dare priorità al ripristino: concentrati innanzitutto sul ripristino dei sistemi più critici, tenendo in considerazione il loro effetto sulla produttività e sui flussi di entrate.

Opzioni finali e pianificazione futura 

Man mano che procedi verso la normalizzazione, tieni d'occhio le strategie a lungo termine per mitigare la probabilità di attacchi futuri.

· Ripristino o ricostruzione: se non hai alcun accesso ai backup o alle chiavi di decrittazione, potrebbe essere inevitabile ripristinare il sistema alle impostazioni predefinite o ricrearlo da capo.

· Non farti più trovare impreparato:: tieni presente che le vittime di ransomware precedenti sono più a rischio di subire ulteriori attacchi. Pertanto, l'audit successivo all'incidente dovrebbe essere incentrato sui potenziali aggiornamenti di sicurezza per mitigare i rischi futuri.

In conclusione, un approccio coordinato e informato alla fase di recovery può contribuire a ridurre i danni e ad accelerare il ritorno alle normali attività.