Ransomware: la guida completa

Che cos'è il ransomware?

Il ransomware è una forma di software dannoso usato per bloccare l'accesso ai dati e ad un sistema informatico o per rendere pubblici online i dati della vittima. L'hacker chiede un riscatto alla vittima, promettendo - non sempre in modo veritiero - di ripristinare l'accesso ai dati non appena ricevuto il pagamento di quanto richiesto.

La vera opportunità per gli hacker si è presentata con l'introduzione dei Bitcoin: grazie a questa criptovaluta i cyber criminali possono estorcere facilmente denaro dalle loro vittime bypassando i canali tradizionali e senza essere in alcun modo tracciati.

L'attacco ransomware inizia quando un software dannoso viene scaricato su un dispositivo come laptop, smartphone o computer desktop. Il software dannoso viene normalmente scaricato a causa di un errore dell'utente o a causa della mancanza di protocolli di sicurezza adeguati.

Tipi di ransomware più ricorrenti e famosi:

Phishing

Il sistema di consegna più comune per il ransomware è lo spam di phishing: allegati che arrivano nell'e-mail di una vittima, mascherati da file di cui possono fidarsi. Secondo una ricerca di una società di ricerca sulla sicurezza (Trend Micro), il 91% degli attacchi informatici e la conseguente violazione dei dati iniziano con un'e-mail di spear-phishing.

Una volta che l'allegato è stato scaricato e aperto, il malware può assumere il controllo del computer della vittima, crittografando alcuni file dell'utente. Quando ciò accade, l'unico modo in cui i file possono essere decrittografati è attraverso una chiave matematica conosciuta solo dall'aggressore.

Ci sono stati anche casi in cui il malware visualizza un messaggio in cui si afferma che "Windows" dell'utente è bloccato. L'utente è quindi incoraggiato a chiamare un numero di telefono "Microsoft" e immettere un codice a sei cifre per riattivare il sistema. Il messaggio afferma che la telefonata è gratuita, ma ciò non è vero. Mentre è al telefono chiamando il falso "Microsoft", l'utente accumula costi per le chiamate interurbane.

Doxware

Un altro tipo di malware è chiamato leakware o doxware. Con questo tipo di malware l'hacker minaccia di rilasciare dati sensibili salvati sull'hard disk della vittima a meno che non venga pagato un riscatto. Questi malware sono spesso utilizzati per colpire email e documenti word, ma ci sono stati anche casi di attacchi verso dispositivi mobile in cui sono stati resi noti messaggi privati, immagini ed elenchi di contatti dai telefoni degli utenti.

Doxware è riconosciuto come un malware più efficace del ransomware, in quanto alla possibilità di ottenere denaro dalla vittima. Nel caso di attacco ransomware, infatti, è possibile mantenere backup separati dei dati che non sono più accessibili. In caso di un attacco doxware, invece, una volta l'hacker ha ottenuto l'accesso a informazioni che la vittima non vuole che siano rese pubbliche, c'è poco da fare se non pagare.

Anatova

Una nuova forma di ransomware nata a inizio 2019 è Anatova. Questo nuovo tipo estremamente avanzato di ransomware si traveste da icona di un gioco o di un'applicazione per indurre l'utente a scaricarlo. Il malware adatta rapidamente e utilizza tecniche di evasione e diffusione per impedirne la scoperta. Grazie al suo design modulare, può incorporare funzionalità aggiuntive che gli consentono di contrastare i cosiddetti metodi anti-ransomware. Fortunatamente, il team di McAfee Advanced Threat Research ha scoperto questa nuova famiglia di ransomware all'inizio del 2019 prima che diventasse una minaccia significativa.

Dharma

Nata come variante di CrySiS, il ransomware Dharma è in circolazione dal 2018, ma i criminali informatici continuano a rilasciarne nuove varianti, che sono impossibili da decifrare.

GandCrab

Questo ransomware utilizza la crittografia AES e rilascia un file chiamato "GandCrab.exe" nel sistema. GandCrab sceglie come bersaglio consumatori e aziende con PC che utilizzano  Microsoft Windows. Il 31 maggio 2019, i cyber criminali dietro a GandCrab hanno comunicato che avrebbero interrotto i loro attacchi GandCrab sostenendo di aver ricevuto oltre $2 miliardi di riscatti e preferendo quindi mandare il ransomware "in pensione".

Emotet

Dalla sua nascita nel 2014, Emotet ha preso di mira principalmente le banche: intrufolandosi nei computer delle vittime, ruba informazioni sensibili e private. Emotet è passato attraverso una varietà di versioni, evolvendosi in ransomware in grado di eludere il rilevamento anche da parte di alcuni sistemi anti-malware. Fin dal suo primo attacco, Emotet ha rubato accessi bancari, dati finanziari e portafogli Bitcoin a privati, aziende ed enti governativi in ​​Europa e negli Stati Uniti.

Usando funzionalità simili a worm per diffondersi ad altri computer, gli hacker di solito introducono Emotet tramite e-mail di spam - fatte per sembrare legittime e con l'uso di un linguaggio allettante per indurre la vittima a fare clic sul collegamento.

Secondo il Dipartimento per la Sicurezza interna degli Stati Uniti, Emotet è uno dei malware più costosi e distruttivi. Il costo stimato dell'attacco Emotet medio è superiore a $1 milione per eliminarlo.

Ryuk

Ryuk si rivolge specificamente alle grandi organizzazioni per un elevato ritorno finanziario. Secondo CrowdStrike, tra agosto 2018 e gennaio 2019, Ryuk ha guadagnato oltre 705,80 bitcoin in 52 transazioni per un valore totale di $3.701.893,98. Il suo primo attacco risale al periodo natalizio del 2018 contro le operazioni di Tribune Publishing. All'inizio, la società pensava che l'attacco fosse solo un'interruzione del server, ma ben presto è stato chiaro che si trattava del ransomware Ryuk.

Una variante del ransomware Ryuk prende di mira le grandi imprese per un ROI elevato. Questi attacchi su larga scala implicano la personalizzazione dettagliata dei malware per adattarsi al meglio ai singoli bersagli, aumentando l'efficacia dell'attacco. La "caccia alla selvaggina grossa" richiede quindi molto più lavoro da parte dell'hacker. Normalmente questi attacchi vengono lanciati in più step: la prima fase potrebbe essere un attacco di phishing incentrato sull'infezione di una rete aziendale con malware per mappare il sistema e identificare le risorse cruciali da prendere di mira. Le fasi due e tre saranno invece una serie di estorsioni e attacchi / richieste di riscatto.

Devo pagare il riscatto del ransomware?

Se pensi che pagare un riscatto per ottenere l'accesso ai tuoi dati sia già abbastanza grave, ricorda che esistono anche altri costi da sostenere per i danni provocati da un attacco. Tra questi:

• Danno e distruzione (o perdita) dei dati
• Perdita di produttività
• Interruzione post-attacco del normale svolgimento dell'attività
• Indagini forensi
• Ripristino e cancellazione dei dati e dei sistemi degli ostaggi
• Danno alla reputazione
• Formazione dei dipendenti in risposta diretta agli attacchi

Se si tiene conto di quanto sopra, non c'è da meravigliarsi se si prevede che i danni da ransomware possano salire notevolmente e in modo progressivo nei prossimi anni. 

Quando si parla con esperti di criminalità informatica, la maggior parte esorta a non pagare i riscatti poiché il finanziamento di attacchi di ransomware aiuterà solo a creare più ransomware.

Tuttavia, molte organizzazioni si oppongono a questo consiglio soppesando il costo dei dati crittografati rispetto al riscatto richiesto. Nel 2019, negli Stati Uniti, il 45% delle aziende colpite da ransomware ha pagato i propri aggressori. 

Ma perché?!

Sebbene venga ampiamente suggerito di non pagare il riscatto, tale rifiuto potrebbe non essere il miglior modus operandi per l'azienda stessa. Ciò accade quando esiste la possibilità che l'azienda possa perdere in modo permanente l'accesso a dati vitali, incorrere in multe da parte delle autorità di regolamentazione o chiudere del tutto l'attività. La scelta tra pagare un riscatto relativamente modesto e restare in attività o rifiutarsi di pagare non è facile.

In alcuni casi di attacchi ransomware, il riscatto richiesto è spesso "conveniente" per entrambe le parti: abbastanza vantaggioso per l'hacker, abbastanza economico per la vittima rispetto a quanto dovrebbe pagare per ricostruire i propri dati persi. A volte vengono offerti sconti se la vittima paga entro un determinato periodo di tempo, ad es. 3 giorni.

Alcune aziende stanno accumulando riserve di Bitcoin appositamente per il pagamento dei riscatti. Ciò è particolarmente evidente nel Regno Unito, dove le organizzazioni sembrano più propense a pagare gli hacker. Secondo Gotham Sharma, amministratore delegato di Exeltek Consulting Group, "Circa un terzo delle aziende britanniche di medie dimensioni riferisce di avere a disposizione Bitcoin per rispondere alle emergenze di ransomware quando le altre opzioni non possono essere immediatamente esaurite".

icon

Come prevenire un attacco ransomware

Le varianti di ransomware prendono di mira diverse realtà aziendali e di business. I bersagli con un più elevato rischio di attacco sono i sistemi di assistenza sanitaria, le istituzioni finanziarie e le agenzie governative. Coloro che sono a rischio dovrebbero prendere precauzioni per ridurre e diminuire gli effetti di un attacco.

Una delle policy di protezione più importanti che l'azienda dovrebbe mettere in atto è quella di disporre di un piano di disaster recovery. In sua assenza le conseguenze potrebbero essere molto gravi. Secondo la National Archives and Records Administration, il 93% delle aziende che subiscono perdite di dati e tempi di inattività per dieci o più giorni dichiarano bancarotta entro 12 mesi.

Un piano di disaster recovery descrive diverse attività da implementare per riprendere il lavoro rapidamente in caso di disastro, come ad esempio un attacco ransomware. Una parte fondamentale del piano di business continuity di un'azienda dovrebbe consentire un ripristino IT rapido ed efficace oltre alla prevenzione da possibili perdite di dati. 

Di seguito alcuni suggerimenti:

1. Assicurati di disporre di backup aggiornati: in questo modo, se succede qualcosa, il ripristino dei file da un backup è il modo più veloce per riottenere l'accesso ai dati.
2. Preparati testando regolarmente i backup. Le organizzazioni devono avere familiarità con ciò che viene archiviato negli archivi di backup e garantire che i dati più critici siano accessibili nel caso in cui il ransomware miri ai backup stessi.
3. Implementa policy di sicurezza. Utilizza versioni software antivirus e antimalware e monitora costantemente per prevenire le infezioni.
4. Sviluppa criteri IT che limitino le infezioni su altre risorse connesse alla rete. Le aziende dovrebbero mettere in atto misure di sicurezza, di modo che se un dispositivo viene infettato da ransomware, questo non si espanda su tutta la rete.
5. Investi nella formazione degli utenti, in modo che tutti i dipendenti possano individuare un potenziale attacco. Assicurati che i dipendenti siano a conoscenza delle migliori pratiche per evitare di scaricare accidentalmente ransomware o aprire la rete a estranei.
6. Assicurati di attivare la scansione e i filtri dei contenuti sui tuoi server di posta. Scansiona ogni e-mail in entrata per minacce note e blocca tutti i tipi di allegati che potrebbero rappresentare una minaccia.

Il supporto di Ontrack alle aziende colpite da ransomware

In Ontrack, monitoriamo costantemente oltre 300 diversi tipi di ransomware. I ransomware cambiano e si sviluppano continuamente, quindi vogliamo essere sicuri di studiare al meglio tutte le loro evoluzioni. Conoscere i ransomware e le loro forme aumenta le possibilità di recuperare i dati persi a seguito di un attacco.

Al momento i nostri specialisti hanno la capacità di intervenire su oltre 130 tipi di ransomware. Solo un paio di anni fa questa cifra era pari a 6, quindi abbiamo fatto molta strada!

Quando si tratta di dati inaccessibili, è sempre meglio contattare un esperto. Se ti trovi sotto attacco ransomware, contatta un esperto come Ontrack che potenzialmente ha la capacità di aiutarti a darti la possibilità di accedere nuovamente ai tuoi dati.

Di seguito alcuni esempi di casi di recupero dati ransomware che abbiamo completato con successo.

• Attacchi ransomware server: tape di backup cancellati
• Ontrack grazie alla tecnologia NetApp risolve un caso di attacco ransomware
• Database di un ospedale recuperati dopo attacco ransomware
• Recupero dati ransomware da tape VBK - Server e sistemi NAS