Come proteggerti dal ransomware

L’esplosione del Ransomware

Negli ultimi anni, gli attacchi ransomware sono diventati più numerosi, colpendo aziende in tutto il mondo.
Si stima che durante il 2021 nel mondo si sia verificato un attacco ransomware ogni 11 secondi! Due anni prima, nel 2019, c’era stato un attacco ogni 14 secondi.
Secondo CyberEdge (vedi fig. 1), la percentuale di organizzazioni vittime di ransomware è aumentata dal 55,1% nel 2018 al 68,5% nel 2021.

Nei nostri articoli precedenti abbiamo già evidenziato come gli attacchi ransomware si siano molto evoluti negli ultimi anni, rispetto ai primi anni dalla loro comparsa (intorno al 2013-2017).

Oggi, esistono aziende di cybercriminali organizzate, dotate di molte risorse, che producono malware. Il loro modello di business può essere paragonato a quello delle migliori aziende “tradizionali” e possono condurre attività di R&S per creare ransomware sempre più sofisticati e aggressivi.

Figura 1 – Crescita degli attacchi ransomware negli ultimi quattro anni

Le tecniche di attacco sono cambiate (TTP: tattiche, tecniche e procedure), sempre più sofisticate e simili a quelle degli attacchi APT (Advanced Persistent Threat).
Dobbiamo quindi considerare la possibilità che il ransomware possa colpire la nostra azienda. Di conseguenza, il dubbio non è “se” l’attacco avrà luogo, ma solo “quando” avverrà.

Per ogni azienda, la prevenzione non è quindi l’unica cosa vitale.

Come proteggersi dal ransomware: misure di rimediazione post-attacco

Se sullo schermo del nostro computer appare un’immagine come questa, significa che un ransomware ci ha colpito e ora ci sta presentando – come un verdetto finale – una richiesta di riscatto. Quindi, come proteggersi dal ransomware? Cosa possiamo fare adesso, senza farci prendere dal panico e dalla disperazione?

Quando questo messaggio appare (di solito è un file immagine o in formato .txt), significa che il ransomware ha già terminato la crittografia dei nostri file. I dati sono stati sequestrati e ora devi decidere cosa fare. In questo caso sfortunato, hai essenzialmente quattro opzioni:

• Ripristinare i file da un backup: questa è la soluzione migliore e in realtà l’unica che dovrebbe essere considerata da un’azienda ben organizzata.
• Cercare un decrittatore online per decrittare i file.
• Non fare nulla e perdere i tuoi dati.
• Pagare il riscatto.

Analizziamoli più in dettaglio.

Ripristino dei file da un backup

È la soluzione migliore ed è disponibile se abbiamo lavorato attentamente e gestito un corretto salvataggio ricorrente dei dati. Infatti, per poter ripristinare i dati, è necessario avere una copia di backup che sia:

• Disponibile,
• Recente,
• Funzionante,
• Protetta (quindi, che non possa essere attaccata dal ransomware stesso).

Ho voluto evidenziare questi quattro prerequisiti poiché ci troviamo troppo spesso in aziende che – in piena emergenza ransomware, con computer bloccati – non hanno certezza dello stato del backup fino a quando non iniziano ad esaminarlo. E allora scoprono che: è incompleto (alcune cartelle non sono state copiate), non è aggiornato (da tempo non viene fatto…) e altri casi simili, che purtroppo si sono veramente verificati.

Ma oggi il rischio maggiore è che un attacco malware possa anche crittografare il backup.
Infatti, gli attacchi sono diventati molto più mirati e sofisticati: i criminali informatici sono consapevoli che molto probabilmente le vittime hanno creato un backup che renderà il loro attacco inefficace. Ecco perché il ransomware di ultima generazione, prima di scoprire la crittografia dei dati, analizza il sistema i cui dati sono stati violati. L’obiettivo è proprio trovare il backup e crittografarlo anche lui, così da privare la vittima della contromisura più importante e capire come proteggersi dal ransomware.

Se si raggiunge questo punto, l’azienda attaccata sarà indifesa di fronte al ransomware, senza più strumenti di difesa.
Come proteggersi dal ransomware che tenta di crittografare anche il backup?
Ovviamente, con la fondamentale regola del Backup 3-2-1: 3 copie di tutto ciò che vuoi preservare.
Di queste: 2 copie on-site su diverse ubicazioni di archiviazione (HD, NAS, Cloud,…) e sempre una copia in un sito remoto in modo che sia off-site e offline (ad esempio su unità nastro scollegate dalla rete).
E inoltre, imposta sempre la procedura di backup in modo che le copie di backup non siano accessibili online, ad eccezione del software che si occupa del backup stesso. Nessun altro utente deve avere accesso al backup!

Se possediamo un backup utilizzabile, tuttavia devi prima pulire il motore (o i motori) infetti, prima di recuperare i dati. Il recupero può avvenire tramite scansione antivirus per assicurarsi che il software dannoso sia stato rimosso, ma questo non è un sistema abbastanza sicuro, quindi non lo suggeriamo.
Per essere sicuri al 100% che non rimangono tracce di alcun tipo di malware, suggeriamo una formattazione completa dei computer attaccati. Solo allora puoi procedere con il recupero dei dati dal backup su un’installazione pulita. Ovviamente, questo richiede tempo ed è il motivo per cui ogni ransomware causa downtime all’interno di un’azienda.

Alla ricerca di un “decrittatore” online per decrittare i file

La grande proliferazione di varietà di ransomware negli ultimi anni ha significato che i principali fornitori globali di sicurezza hanno cercato di trovare “antidoti” efficaci contro questi malware. E in alcuni casi ci sono riusciti: per alcune versioni meno recenti di ransomware – o le più rudimentali – sono diventati disponibili online programmi e strumenti (decrittatori) in grado di recuperare i file crittografati.
Tuttavia, non sono procedure elementari e sono spesso complesse e raramente hanno successo con i ransomware più moderni e ben costruiti. Dopotutto, anche gli hacker leggono gli stessi blog e forum di sicurezza e aggiornano i loro prodotti per renderli inattaccabili dai decrittatori.

Menzioniamo alcuni casi popolari: le prime versioni di Petya avevano punti deboli nella loro crittografia e questo ha permesso alle vittime di recuperare la chiave di decrittazione. Nelle versioni successive, gli hacker hanno rimediato a questo difetto. Anche il ransomware TeslaCrypt (uno dei più diffusi nel 2016) aveva vulnerabilità che permettevano alle vittime di recuperare la chiave privata utilizzando alcuni strumenti dedicati (TeslaDecoder, TeslaCrack, ecc.). Dalla versione 3.0 di TeslaCrypt in poi, questo difetto è stato eliminato e la crittografia AES256 ha reso impossibile qualsiasi tipo di recupero della chiave di decrittazione.
Quindi, questa opzione ha scarse possibilità di successo (praticamente zero se la crittografia utilizza algoritmi forti come AES256, Salsa20 o altri), ma potrebbe comunque valere la pena cercare online.
A questo scopo, ti rimando al sito estremamente utile “No More Ransom!” website.

È stato creato nel 2016 dall’Unità nazionale di criminalità tecnologica della polizia olandese (la famosa Politie), dal Centro europeo per la criminalità informatica di Europol e da due aziende di sicurezza informatica, Kaspersky Lab e McAfee, con l’obiettivo di aiutare le vittime di ransomware a recuperare i loro dati crittografati senza dover pagare i criminali. Oggi, conta diversi altri partner qualificati.
Attraverso una ricerca sul sito web, o caricando due dei file crittografati sulla pagina dedicata Crypto Sheriff saremo in grado di ottenere il decrittatore gratuitamente (se esiste!) per decrittare il file.
È anche possibile – e lo consigliamo – indicare l’URL della pagina web o l’indirizzo bitcoin o onion che appare nella richiesta di riscatto.

Non consigliamo assolutamente di cercare il decrittatore sul web attraverso altri canali: potresti avere brutte sorprese! Online, ci sono siti web che affermano di poter recuperare documenti crittografati da ransomware, ma in realtà li crittografano una seconda volta.
E poi chiedono un riscatto per fornire lo “strumento di decrittazione”. Sfruttano il bisogno delle persone, confermando che non c’è etica negli attacchi di criminalità informatica.
Un caso famoso è ZORAB, che promette di fornire la soluzione per il ransomware STOP Djvu, ma in realtà ri-crittografa i file e cambia la loro estensione in .ZRB.

Non fare nulla e perdere i tuoi dati

Non è certo una soluzione preferita e quasi mai può essere la strada giusta, soprattutto in un’azienda, a meno che i dati crittografati non abbiano davvero poca importanza. Anche se potremmo optare per questa soluzione, consigliamo però di:

• estrarre dalla macchina il disco con i file compromessi e metterlo da parte: qualcuno in futuro potrebbe essere in grado di trovare il decrittatore per i nostri file, che potrebbero quindi essere recuperati. Potrebbero passare mesi, ma potrebbe accadere…
• Oppure (per lo stesso motivo) creare un backup dei file crittografati, conservarli da qualche parte e poi recuperare la macchina.

Pagare il riscatto…

Dal punto di vista etico, è di gran lunga la peggiore soluzione, quella che non dovrebbe mai essere raggiunta: pagando alimentiamo il crimine e lo rendiamo ancora più ricco e forte. C’è un ulteriore aspetto da considerare: se paghiamo, invieremo ai criminali il messaggio che siamo vulnerabili e disponibili a pagare, quindi…dovremmo aspettarci altri attacchi! Sappiamo che chi paga una volta ha almeno l’80% di probabilità di essere attaccato una seconda volta.
Pagare ti restituisce i tuoi dati?
Non c’è garanzia che i tuoi dati verranno restituiti: ricorda sempre che dall’altra parte ci sono alcuni criminali.

Tuttavia, per una politica di “reputazione del marchio”, è preferibile che questi criminali ci restituiscano i nostri file, altrimenti la loro “reputazione” sarebbe danneggiata e le aziende non pagherebbero più.
Questa è quello che accade nella maggior parte dei casi, ma c’è almeno il 20% di probabilità che, anche dopo aver pagato, i tuoi dati non siano più disponibili. Secondo il recente rapporto Sophos “The State Of Ransomware 2022“, questa percentuale è aumentata al 40% nell’ultimo anno.

La mancanza di recupero dei dati può accadere non solo per disonestà da parte dei criminali, ma anche per altri motivi, come:

• un errore nel pagamento;
• un pagamento inferiore a quello richiesto (un errore facile da fare: la vittima non ha considerato la commissione sulla transazione durante l’acquisto dei Bitcoin);
• il sito della Dark web per il pagamento non può più essere raggiunto (è stato chiuso dalla polizia);
• il decrittatore non funziona: è quello che è accaduto a Colonial Pipeline con DarkSide a maggio 2021.

Se, nonostante tutto, decidi di pagare il riscatto, questi sono di solito i passaggi da seguire (con alcune variazioni a seconda del tipo di ransomware che ci ha colpito):

• Leggere le istruzioni che sono state inviate insieme alla richiesta di riscatto: è necessario capire come contattare i criminali, quale importo stanno richiedendo, quasi sempre in Bitcoin, e – soprattutto – quanto tempo abbiamo per pagare prima che i nostri file vengano definitivamente cancellati (generalmente i criminali informatici fissano una scadenza di circa 72 ore, o comunque non molto lunga).
• Acquistare i bitcoin (o altre criptovalute) per il pagamento: identificare un sito web dove è possibile “scambiare” questa valuta. Utilizzare solo siti web di cambio la cui reputazione sia provata. Ce ne sono molti online e sono assolutamente legali, ma ci sono anche siti web fraudolenti ed è importante evitarli attentamente.
• Aprire un account sul sito web scelto: significa un portafoglio elettronico dove verranno depositati i Bitcoin acquistati.
• Poiché il contatto con il criminale informatico di solito avviene via dark web, attraverso la rete Tor in modo da garantire l’anonimato, dovrai installare un browser Tor: puoi scaricarlo direttamente da questo sito web.
• Solo attraverso il browser Tor (e non via Chrome, Firefox o Safari) possiamo accedere al sito web identificato dagli hacker: i siti web nella rete Tor si trovano sulla Dark web, non sono indicizzati su Google e possono essere raggiungibili solo se conosci l’indirizzo esatto, che di solito è molto complesso. Ecco un esempio di indirizzo Tor: 7yulv7filqlrycpqrkrl.onion.
• Pagare il riscatto: significa trasferire denaro dal tuo portafoglio Bitcoin a quello dell’hacker. Per raggiungerlo, di solito è sufficiente seguire le istruzioni fornite dal criminale informatico. Il portafoglio al quale devi trasferire il denaro è identificato da un “ID portafoglio”, che consiste in una lunga stringa di numeri e lettere come questa: 19eXu88pqN30ejLxfei4S1alqbr23pP4bd (è come un IBAN bancario). Questo codice traccia il pagamento utilizzando solo numeri, rendendo così quasi impossibile risalire al nome del proprietario del portafoglio. Dopo aver trasferito i bitcoin sull’account dell’hacker, riceveremo un altro codice (di nuovo, una lunga stringa di numeri e lettere), che rappresenta la conferma della transazione.
• Aspetta e spera…: entro alcune ore (il tempo necessario affinché la transazione sia elaborata dai sistemi) dovremmo ricevere un file con la chiave di decrittazione, oppure un file eseguibile (il decryptor), che decifrerà i file. Per permettere la decrittazione dei file, dovrai mantenere collegati tutti i dispositivi e i dischi che erano collegati quando si è verificata l’infezione, altrimenti alcuni file potrebbero non essere decifrati.

Di solito, viene inviato un file “decryptor”, ovvero un file che eseguirà l’inverso del percorso che il ransomware ha crittografato. Il decryptor include una chiave di decrittazione (in alcuni casi viene inviata separatamente). Non sempre funziona bene: è un programma e potrebbe essere stato impostato in modo errato… qualcosa che è già accaduto, come nel caso della Colonial Pipeline menzionato sopra!

Attenzione: il decryptor non rimuove il trojan, decifra solo i dati. Pertanto, devi eliminare il malware utilizzando altri strumenti antimalware, o meglio ancora formattando completamente tutti i computer infetti.

Ci sono alcuni rischi che non dovrebbero essere trascurati:
Il decryptor potrebbe includere altri trojan (non è un caso frequente, ma non possiamo essere certi che non accadrà).
Per le estorsioni effettuate in seguito ad attacchi “manuali” (cioè non opportunisti) c’è il rischio aggiuntivo che l’importo aumenti, quindi che i criminali informatici aumentino le loro richieste: può accadere se si rendono conto di aver colpito bersagli importanti come grandi aziende o ospedali. È accaduto, ad esempio, al Kansas Heart Hospital a Wichita (Kansas): dopo aver ricevuto il riscatto, gli hacker hanno fornito solo accesso parziale ai dati crittografati e hanno chiesto un pagamento aggiuntivo per decriptare i dati rimanenti. L’ospedale ha rifiutato di pagare un secondo riscatto (maggio 2016).

Ransomware e GDPR

Nei momenti che seguono un attacco ransomware, è facile perdere la lucidità mentale.
Tuttavia, non dobbiamo dimenticare che tale attacco molto probabilmente ha comportato una violazione dei dati (una perdita e/o compromissione dei dati) e devi capire come proteggerti dal ransomware. Se i dati compromessi includono dati personali (cosa altamente probabile), l’azienda deve notificare all’autorità di controllo la violazione dei dati che l’ha colpita.

Questa è la richiesta dell’articolo 33 del GDPR, che obbliga anche le aziende a notificare dell’attacco “senza ingiustificato ritardo e, ove fattibile, entro 72 ore da quando ne sono venute a conoscenza […] a meno che la violazione dei dati personali non sia improbabile che comporti un rischio per i diritti e le libertà delle persone fisiche“.
Questa è un’obbligazione di legge che non dobbiamo dimenticare, al fine di evitare le sanzioni previste dal GDPR.

Come proteggerti dal ransomware con la soluzione FlashStart

Il filtro DNS di FlashStart è veloce, affidabile e sempre aggiornato. Protegge da tutti gli attacchi di Malware, Botnet, Ransomware e Phishing.

Definire un piano strategico per capire come proteggerti dal ransomware è fondamentale.

Applicando l’Intelligenza Artificiale alla Sicurezza Informatica, adotterai innanzitutto un sistema automatico per aggiornare le blacklist utilizzate dal filtro DNS. Con oltre 1,7 miliardi di siti web attivi e più di 200 mila nuovi domini aggiunti in media ogni giorno, una categorizzazione che utilizza sistemi avanzati è fondamentale per garantire un elevato livello di protezione.

Con oltre 190 milioni di siti web già stati revisionati, ai quali ogni giorno aggiungiamo le nuove analisi che seguono le visite degli utenti in tutto il mondo, FlashStart offre un’intelligenza innovativa ed efficace sulle minacce informatiche (malware, ransomware, botnet, phishing, ecc.) e ti aiuta a capire come proteggerti dal ransomware, permettendoti di personalizzare facilmente i contenuti a cui gli utenti finali possono accedere, in base alle esigenze di aziende, istituzioni educative e famiglie.

Introducendo il concetto di DNS Intelligence, l’algoritmo di intelligenza artificiale consente un’accelerazione della raccolta dati su DNS, domini e contenuti, “imparando” dalle analisi dei siti web e prevedendo quali altri potrebbero essere a rischio di blocco. In questo modo, la qualità del filtro migliora e i cosiddetti falsi negativi vengono evitati, quindi siti web considerati pericolosi per errore.

Per definire bene la giusta strategia per capire come proteggerti dal ransomware, la scelta del tipo di filtro DNS è importante e devi considerare tre aspetti: distribuzione, latenza e l’aggiornamento continuo delle tabelle di controllo.
Ad esempio, FlashStart è distribuito globalmente attraverso una rete Anycast di data center situati in vari continenti che permettono connessioni istantanee.
Le minacce web vengono aggiunte in tempo reale alle liste disponibili nel cloud e i client usufruiscono di un servizio di protezione costantemente aggiornato. Non da ultimo, FlashStart offre assistenza 24/7 in inglese, italiano e spagnolo.

L’autore

Giorgio Sbaraglia, ingegnere, è un consulente e formatore sui temi della sicurezza informatica e della privacy.

Tiene corsi di formazione su questi argomenti per numerose importanti aziende italiane, tra cui ABIFormazione e la 24Ore Business School.
È il coordinatore scientifico del Master “Cybersecurity and Data Protection” della 24Ore Business School.
È membro del Comitato Scientifico CLUSIT (Associazione Italiana per la Cybersecurity) e Innovation Manager certificato da RINA.
Ricopre posizioni di DPO (Data Protection Officer) in aziende e Associazioni Professionali.

È autore dei seguenti libri:

• “GDPR kit di sopravvivenza” – “GDPR survival kit” (Edito da goWare),
• “Cybersecurity kit di sopravvivenza. Il web è un luogo pericoloso. Dobbiamo difenderci!” – “Cybersecurity survival kit. The web is a dangerous place. We must defend ourselves!” (Edito da goWare),
• “iPhone. Come usarlo al meglio. Scopriamo insieme tutte le funzioni e le app migliori” – “iPhone. How to use it to its full potential. Let’s discover together all the functions and best apps” (Edito da goWare).

Collabora con CYBERSECURITY360 una rivista online specializzata del gruppo Digital360 focalizzata su Cybersecurity.

Scrive anche per ICT Security Magazine, per Agenda Digitale e per la rivista CLASS.

Puoi attivare la protezione FlashStart® Cloud su qualsiasi tipo di router e firewall per proteggere i dispositivi desktop, mobile e i dispositivi IoT sulle reti locali.