Di Shaun Stockman, Direttore senior dello sviluppo commerciale per le Americhe, Ontrack
Ci viene posta spesso questa domanda, solitamente da chi ha appena trovato una richiesta di riscatto al posto del proprio file server. È possibile recuperare i file crittografati? Sì, a volte. Non sempre. Dipende da cosa abbia crittografato i dati, da cosa sia rimasto a disposizione prima dell’attacco e dalla rapidità con cui il team sia intervenuto non appena si è accorto che qualcosa non andava.
Dedico gran parte del mio tempo al settore del recupero dati in questo ambito, collaborando con compagnie assicurative e team di incident response quando il danno è già stato fatto. Vorrei quindi illustrare quali sono i fattori che determinano effettivamente se i file crittografati possono essere recuperati, invece di fornire i soliti consigli che si trovano in un post sul blog di cinque minuti.
La maggior parte dei ransomware odierni non intacca l’hardware. Scorre tra i file e le cartelle e li crittografa sul posto, solitamente in modo rapido, a volte bloccando decine di migliaia di file nel giro di pochi minuti. L’autore dell’attacco detiene l’unica chiave, o almeno così sostiene. Senza quella chiave, o senza una soluzione alternativa, i dati sottostanti sono ancora lì. Sono semplicemente codificati.
Un disco crittografato non è un disco danneggiato. I file, la struttura delle cartelle: la maggior parte rimane intatta sotto lo strato di crittografia. Questo è diverso da un disco con una scheda di controllo bruciata o un file system danneggiato, e cambia il modo in cui si presenta il recupero.
È importante anche il tipo di crittografia con cui si ha a che fare, poiché il ransomware non è l’unica fonte di crittografia. Molte delle unità che esaminiamo avevano già la crittografia attiva prima che l’attacco avvenisse. BitLocker su un portatile Windows, un SSD autocrittografante con la chiave memorizzata sul chip del controller o la crittografia completa del disco su una flotta gestita da Dell o Sophos. Quando il ransomware si aggiunge a tutto ciò, ci si trova di fronte a due livelli anziché a uno solo, e il ripristino deve tener conto di entrambi. Le credenziali, le password di ripristino e i pacchetti di parole chiave del software di crittografia originale spesso sono importanti tanto quanto qualsiasi elemento legato al ransomware stesso.
Vorrei poter dire che esiste un trucco affidabile in questo caso, ma non ce n’è uno su cui si possa contare. Quello che posso dire è che succede più spesso di quanto la gente si aspetti. Le forze dell’ordine e i ricercatori di sicurezza hanno già sequestrato in passato database di chiavi provenienti da specifiche operazioni di ransomware, consentendo alle vittime di decriptare gratuitamente i propri file. Alcuni codici di ransomware presentano dei bug, puro e semplice, e tali bug possono lasciare una falla. E poiché gli autori degli attacchi spesso privilegiano la velocità rispetto alla meticolosità, crittografano i file in modo rapido e non uniforme, il che a volte lascia frammenti recuperabili o ci permette di risalire attraverso le istantanee di archiviazione per trovare copie integre sottostanti.
Abbiamo osservato questo fenomeno su sistemi come lo storage NetApp, dove il file system sottostante conserva più punti di coerenza nel tempo. In un caso, l’aggregato di un cliente era rimasto infetto per due settimane prima che qualcuno se ne accorgesse, e il team è comunque riuscito a risalire a quei punti per unire i dati non crittografati e ricostruire la maggior parte di ciò che era andato perso. Il nostro team ha documentato alcuni di questi casi di recupero da ransomware, se volete vedere quanto possano variare le situazioni.
Nulla di tutto ciò è garantito per un attacco specifico. Credo che questa sia la risposta onesta. Ogni variante di ransomware si comporta in modo diverso, e ciò che ha funzionato per il server SQL di un cliente potrebbe non essere applicabile al NAS di un’altra azienda.
Questa è la domanda a cui tutti vogliono una risposta, e capisco che le organizzazioni desiderino la via più rapida per il ripristino e il ritorno alla produzione, ma la mia opinione è che pagare dovrebbe essere l’ultima opzione, non la prima. Secondo il rapporto “2025 State of Ransomware” di Sophos, circa il 49% delle organizzazioni che hanno pagato il riscatto ha recuperato i propri dati, versando in media l’85% della richiesta iniziale. Tra tutte le organizzazioni che hanno subito la crittografia dei dati, il 97% alla fine li ha recuperati grazie a una combinazione di backup, decrittografia e ricostruzione, non solo tramite il pagamento.
Pagare il riscatto non è la rete di sicurezza che la gente crede che sia. Se si acquista una chiave, questa deve essere prima testata su una copia dei dati crittografati, mai sul sistema in produzione, perché una chiave errata può danneggiare ciò che resta con la stessa facilità con cui può ripristinarlo. Abbiamo approfondito questo compromesso nel nostro articolo sul se sia opportuno pagare il riscatto, e il calcolo varia per ogni organizzazione a seconda di ciò di cui è stato effettuato il backup.
In quasi tutti i casi di ripristino a cui ho assistito, i backup e le istantanee svolgono un ruolo più importante di qualsiasi tentativo di decrittografia. Il problema è che oggi il ransomware spesso prende di mira direttamente i backup, cancellandoli o crittografandoli a loro volta, o entrambe le cose, quindi il backup su cui si conta potrebbe essere già compromesso nel momento in cui qualcuno lo controlla.
Ecco perché i ripristini più rapidi tendono a verificarsi nei team che dispongono di backup offline o immutabili, ovvero quelli che il ransomware non è fisicamente in grado di raggiungere. Abbiamo messo insieme alcune linee guida pratiche su come affrontare un attacco ransomware che trattano questo argomento in modo più approfondito, compreso cosa controllare per primo prima di dare per scontato che anche il backup sia andato perso.
Non toccate i file crittografati né provate strumenti di decrittografia fai-da-te trovati online. Ciò potrebbe rendere più difficili o impossibili i futuri tentativi di ripristino, poiché molti decrittografi gratuiti sono progettati per una variante specifica e danneggerebbero qualsiasi altra cosa. Isolate i sistemi colpiti dalla rete in modo che l’infezione non si diffonda ulteriormente. Controlla i tuoi backup più recenti prima di dare per scontato che tutto sia andato perso, comprese le copie fuori sede o in air-gap, e prendi nota di eventuali password di ripristino o chiavi di crittografia legate al sistema originale, non solo al ransomware. E coinvolgete persone che hanno già affrontato situazioni simili, che si tratti del vostro team di risposta agli incidenti, della vostra compagnia assicurativa o di uno specialista nel recupero dei dati, prima che qualcuno decida se pagare o meno.
Le forze dell’ordine possono decriptare i miei file per me?
A volte. Le agenzie e i ricercatori di sicurezza hanno occasionalmente recuperato chiavi master da specifiche operazioni di ransomware e rilasciato strumenti di decrittografia gratuiti. Vale la pena segnalare l’attacco e verificare la presenza di corrispondenze nei database noti di strumenti di decrittografia, ma non è qualcosa su cui fare affidamento per ogni variante.
È illegale pagare un riscatto?
Negli Stati Uniti, il pagamento non è illegale nella maggior parte dei casi, sebbene possa comportare rischi legali se l’autore dell’attacco figura in un elenco di sanzioni. Prima di prendere questa decisione, consiglierei di consultare un consulente legale, piuttosto che affidarsi a un post su un blog, compreso il mio.
L’assicurazione contro i rischi informatici copre i costi del recupero dei dati?
Spesso sì, a seconda della polizza. Le spese di recupero sono una delle categorie più comuni di richieste di risarcimento relative al ransomware, il che spiega in parte perché gli assicuratori richiedano sempre più spesso di visionare i piani di backup e recupero prima di stipulare una polizza.
Il calcolo quantistico renderà più facile il recupero dai ransomware?
A lungo termine, forse. Il calcolo quantistico potrebbe indebolire alcuni degli attuali algoritmi di crittografia, ma si tratta di una considerazione per il futuro, non di qualcosa che aiuti a contrastare un attacco in corso in questo momento.
I vostri dati crittografati sono persi per sempre? Ho assistito a abbastanza recuperi, e a abbastanza vicoli ciechi, da sapere che la risposta onesta è “dipende”, e preferisco dirvelo piuttosto che promettere qualcosa che non posso garantire. Ciò che determina effettivamente l’esito viene deciso molto prima dell’attacco, nel modo in cui i backup vengono creati e testati. Vale la pena sistemare questa parte adesso, finché è ancora possibile.