Shaun Stockman, direttore senior dello sviluppo commerciale America presso Ontrack: "Collaboriamo con compagnie assicurative, team DFIR, IRT e reparti IT dopo che la richiesta di riscatto è già apparsa sullo schermo, quindi ho visto come si svolgono questi attacchi dal punto di vista del recupero più volte di quante ne possa contare."
Il ransomware non inizia con la crittografia. Quella è l’ultima fase e, quando la si nota, l’autore dell’attacco è solitamente già presente all’interno della rete da giorni o settimane. Vorrei illustrare cosa succede prima che lo schermo si blocchi, perché comprendere la sequenza degli eventi cambia il modo in cui si reagisce e modifica le opzioni di ripristino disponibili.
Ogni attacco ransomware inizia con un accesso iniziale, e questa fase è raramente spettacolare. Credo che la gente immagini un hacker geniale che supera un firewall in tempo reale, ma di solito si tratta di qualcosa di molto più banale: un dispositivo VPN non aggiornato, una porta di desktop remoto lasciata aperta su Internet o un dipendente che ha riutilizzato una password ottenuta tramite phishing.
Gli “initial access broker” hanno reso tutto questo ancora più comune. Si tratta di gruppi criminali la cui attività consiste esclusivamente nell’introdursi nelle reti per poi vendere tale accesso a chi gestisce il ransomware. Pertanto, la persona che entra in rete e quella che alla fine richiede il pagamento sono spesso due operazioni criminali distinte, che operano a pochi passi di distanza l’una dall’altra.
Una volta entrati, gli aggressori non toccano subito nulla di valore. Mappano la rete, individuano i controller di dominio, identificano i sistemi di backup e capiscono quali server contengono i dati la cui perdita causerebbe il danno maggiore. Questa fase di ricognizione può durare da poche ore a qualche mese, a seconda di come opera il gruppo e della rapidità con cui viene individuato.
La maggior parte di ciò che accade in questa fase sembrerebbe del tutto normale a un occhio inesperto. L’autore dell’attacco accede con credenziali valide e rubate. Sta navigando nelle unità condivise proprio come farebbe qualsiasi dipendente. Questo è uno dei motivi per cui il rilevamento è così difficile. Non sembra ancora esserci nulla di anomalo. I sistemi funzionano ancora, i file si aprono ancora e non c’è motivo per cui qualcuno possa sospettare che qualcun altro stia già agendo all’interno della rete decidendo cosa prendere per primo.
È qui che un singolo portatile infetto si trasforma in una crisi a livello aziendale. Gli aggressori utilizzano l’accesso ottenuto per muoversi lateralmente, ovvero saltano da una macchina all’altra, aumentando i privilegi man mano che procedono fino a ottenere il controllo delle credenziali di amministratore di dominio. Da lì, possono accedere praticamente a qualsiasi cosa sulla rete.
Questa fase è anche quella in cui gli aggressori prendono di mira specificamente i backup. Ho visto casi in cui il malware ha preso di mira nastri di backup e snapshot prima ancora di toccare i dati primari, perché un’azienda in grado di ripristinare i dati dal backup non ha motivo di pagare. Cancellare o corrompere per primi i backup è un’azione deliberata. Si tratta di una mossa calcolata: privare delle opzioni prima ancora di formulare la richiesta.
Se volete farvi un’idea di come si presenta effettivamente la situazione una volta che un’organizzazione si rende conto di ciò che sta accadendo, la nostra guida su come affrontare un attacco ransomware illustra passo dopo passo cosa è necessario fare nelle prime ore, dall’isolamento dei dispositivi al ricorso a un consulente legale.
Questa è la parte che è cambiata di più negli ultimi anni. Gli aggressori ora sottraggono i dati prima ancora di crittografare qualsiasi cosa. Copiano silenziosamente i file sensibili sui propri server e solo una volta completata la copia attivano la crittografia che vi impedisce l’accesso.
Si tratta della cosiddetta “doppia estorsione”, ed è il motivo per cui la valutazione relativa al pagamento è diventata molto più complessa. Anche se si dispone di backup integri e non si ha affatto bisogno della chiave di decrittografia, l’autore dell’attacco è comunque in possesso dei dati. Può minacciare di pubblicarli o venderli e, in alcuni casi, di segnalarli alle autorità di regolamentazione. Tale minaccia non scompare solo perché avete ripristinato i vostri sistemi. Direi che questo è il cambiamento più significativo nel modo in cui operano questi gruppi, ed è il motivo per cui «abbiamo dei backup» non è più la risposta completa a un attacco ransomware.
Abbiamo già scritto in precedenza della decisione che le organizzazioni devono affrontare in questo contesto, e se valga la pena pagare il riscatto raramente è una semplice questione di sì o no. Alcuni aggressori non forniscono uno strumento di decrittazione funzionante nemmeno dopo il pagamento. Alcune varianti, in particolare i “wiper”, non sono progettate affatto per restituire i dati.
Una volta che compare la richiesta di riscatto, la maggior parte delle persone presume che la battaglia sia finita: o si paga o non si paga, e in entrambi i casi i dati sono persi a meno che non compaia una chiave di decrittazione. Ma non è proprio così. La crittografia non distrugge sempre i dati in modo così completo come gli autori dell’attacco vorrebbero far credere e, a seconda di come si comporta il malware e di quali sistemi di archiviazione sono stati coinvolti, possono esserci percorsi per recuperare i dati che non coinvolgono affatto l’autore dell’attacco.
Ho lavorato a casi in cui nastri di backup danneggiati erano ancora recuperabili, e ad altri in cui i volumi cancellati su sistemi di archiviazione NetApp potevano essere riportati indietro nel tempo alle versioni non crittografate utilizzando i punti di coerenza del file system stesso. Non esistono due casi uguali, ed è proprio per questo che una decisione affrettata di pagare o di cancellare tutto e ricominciare da zero può precludere opzioni di cui non sapevate nemmeno di disporre. Abbiamo documentato alcuni di questi recuperi, se volete vedere come avvengono nella pratica.
Capisco perché l’istinto sia quello di cancellare le unità interessate e ricostruire tutto da zero. Sembra la mossa più sicura. Ma quell’istinto può distruggere proprio le prove di cui un tecnico di recupero o un investigatore forense ha bisogno per lavorare. Prima di reinstallare o riformattare qualsiasi cosa, chiedete un secondo parere su ciò che è recuperabile. Potrebbe costarvi un giorno o due, ma cancellare tutto prima vi fa perdere completamente questa possibilità.
Se sei tu a ricevere la chiamata quando si verifica un evento del genere, che tu faccia parte di un team IT, di un gruppo DFIR o del settore assicurativo incaricato di valutare un sinistro, la sequenza sopra descritta dovrebbe guidare le tue prime mosse. Isola immediatamente i sistemi compromessi, ma non cancellare nulla e conserva i dati crittografati e qualsiasi richiesta di riscatto esattamente come li hai trovati. Quindi coinvolgi uno specialista prima di prendere una decisione definitiva sul pagamento; tale valutazione può rivelare percorsi di recupero che cambiano l’intera decisione.
Per quanto tempo gli aggressori rimangono all’interno di una rete prima di distribuire il ransomware? Varia molto, ma è comune un tempo di permanenza che va da diversi giorni a qualche settimana. Alcuni gruppi agiscono più rapidamente, specialmente quando acquistano l’accesso da un broker di accesso iniziale anziché effettuare autonomamente la ricognizione.
Il pagamento del riscatto garantisce il recupero dei dati? No. Alcune vittime non ricevono mai una chiave di decrittazione funzionante anche dopo aver pagato, e la doppia estorsione comporta che i dati rubati possano comunque riapparire in seguito, indipendentemente dal pagamento.
È possibile recuperare i dati senza pagare il riscatto? Spesso sì. Dipende dalla variante del ransomware e dai sistemi di archiviazione colpiti, oltre che dal fatto che i backup siano stati distrutti solo parzialmente. Questo è esattamente il tipo di valutazione che uno specialista nel recupero dati dovrebbe effettuare prima di prendere qualsiasi decisione in merito al riscatto.
Perché gli autori degli attacchi prendono di mira innanzitutto i backup? Perché un’azienda con backup intatti non ha alcun motivo finanziario per pagare. Distruggere o crittografare i backup sin dall’inizio elimina questa opzione e aumenta la pressione a negoziare.
I gruppi di ransomware continuano a perfezionare la loro strategia, ma la sequenza in sé non è cambiata. Ciò che è cambiato è la quantità di potere che gli aggressori accumulano prima ancora che ci si accorga della loro presenza, ed è proprio per questo che la prima ora è così importante.