Ecco una guida chiara e semplice su cosa fare in caso di attacco ransomware, dato che la maggior parte delle persone prende decisioni sotto pressione e non ha il tempo di documentarsi al volo.
1. Isolare i sistemi colpiti
Scollegate immediatamente i computer infetti dalla rete. Staccate il cavo di rete o disattivate il Wi-Fi; non limitatevi a spegnere il computer. Lo spegnimento può cancellare la memoria volatile di cui i team forensi avranno bisogno in seguito e non impedirà al ransomware di aver già raggiunto le unità condivise o i backup ancora collegati alla rete.
2. Verificare che si tratti effettivamente di un ransomware e identificarne la variante
Cercate la richiesta di riscatto, le modifiche alle estensioni dei file ed eventuali messaggi sulla schermata di blocco. Strumenti come ID Ransomware o una rapida ricerca del testo della richiesta di riscatto possono indicarvi con quale variante avete a che fare. Questo è importante perché per alcune varianti esistono strumenti di decrittografia noti, mentre altre si comportano in modo diverso in termini di ciò che crittografano e di come si diffondono.
3. Attivate il vostro Incident Response Plan
Coinvolgi il tuo team di risposta agli incidenti e coinvolgi tempestivamente i consulenti legali e la dirigenza. Se disponi di un’assicurazione contro i rischi informatici, questo è anche il momento di contattare il tuo assicuratore, poiché molte polizze richiedono la notifica entro un determinato lasso di tempo e prevedono fornitori preferenziali per le analisi forensi e le trattative.
4. Conservate le prove prima di toccare qualsiasi altra cosa
Acquisite immagini dei sistemi compromessi o, come minimo, salvate i log prima di iniziare le operazioni di riparazione. Questo passaggio viene troppo spesso tralasciato perché si vuole agire in fretta, ma senza prove si perde la possibilità di comprendere come l’autore dell’attacco sia riuscito a penetrare nel sistema, e tali prove potrebbero essere necessarie per le richieste di risarcimento assicurativo o per le forze dell’ordine.
5. Segnalare l’incidente
Un attacco ransomware va comunicato all'Agenzia per la Cybersicurezza Nazionale - ACN tramite il suo CSIRT Italia.
Dal sito del CSIRT Italia puoi compilare il modulo di segnalazione e ricevere supporto tecnico per il contenimento e il ripristino dei servizi. Se la tua organizzazione rientra nel perimetro NIS2, la notifica è obbligatoria: preallarme entro 24 ore, notifica entro 72 ore e relazione finale entro un mese.
Anche se non sei obbligato, la segnalazione volontaria è consigliata: aiuta l'ACN a monitorare la minaccia e può portare assistenza concreta. Consulta la Guida alla notifica degli incidenti al CSIRT Italia
6. Verifica i tuoi backup
Verifica se i tuoi backup sono effettivamente integri e se al momento dell’attacco erano scollegati o isolati (air gap). Questo è solitamente il passaggio che determina l’esito dell’intero processo di ripristino. Se i backup sono integri, hai una reale possibilità di ripristino senza dover pagare nessuno. Se invece erano collegati alla rete e sono stati crittografati a loro volta, le tue opzioni si riducono notevolmente.
7. Decidete con attenzione se pagare il riscatto
In questo caso eviterei una decisione affrettata. Pagare non garantisce di ottenere una chiave di decrittazione funzionante e può contrassegnarvi come un bersaglio disposto a pagare di nuovo. Non pagare potrebbe comportare una ricostruzione più lunga. Si tratta di una decisione che deve essere presa congiuntamente dalla dirigenza, dall’ufficio legale e, spesso, dalle forze dell’ordine, non qualcosa da decidere da soli alle 2 del mattino. Ontrack ha trattato i pro e i contro in modo più approfondito, se volete approfondire l’argomento (dovremmo pagare il riscatto).
8. Ricostruire e ripristinare da sistemi puliti
Cancella i dati dai computer colpiti e ricostruisci il sistema a partire da immagini di cui è garantita la correttezza, quindi ripristina i dati dai backup di cui hai verificato l’integrità. Dai la priorità ai sistemi più importanti per la sicurezza e il fatturato, e ricostruisci in un ambiente segmentato in modo da non ricollegare nulla alla rete attiva finché non ne sia stata confermata la pulizia.
9. Eseguire una scansione completa prima di ricollegare i sistemi
Eseguite scansioni complete alla ricerca di malware sui sistemi ripristinati prima che tornino in rete. Non affrettate questo passaggio. Se agite troppo in fretta, potreste reinfezionare un ambiente che avete appena ripulito.
10. Analizzate l’accaduto e colmate le lacune
Una volta che la situazione si è stabilizzata, effettuate un'adeguata analisi post-incidente. Individuate il punto di ingresso, che si tratti di phishing, di una porta RDP esposta o di una vulnerabilità non corretta, e risolvete quella specifica lacuna. Aggiornate il vostro piano di risposta agli incidenti sulla base di ciò che avete effettivamente appreso, non solo di ciò che dicono i manuali.
Alcune considerazioni sincere: i tempi di ripristino variano notevolmente a seconda della qualità dei backup e della rapidità con cui si isola la minaccia, quindi esito a promettere un numero specifico di giorni. Se state affrontando un incidente in corso in questo momento, i passaggi da 1 a 5 sono quelli su cui agire immediatamente; tutto il resto può seguire una volta che la situazione è sotto controllo.
Fonti: