Guida al ransomware: cos’è, come si prende e come rimuoverlo

I ransomware sono i prìncipi delle minacce informatiche. Un tipo di cyber attacco estremamente redditizio per chi lo attua e che – anche per questo – è molto cresciuto in questi ultimi anni.

Lo conferma il Rapporto Clusit 2021: i ransomware nell’anno 2018 rappresentavano il 23% di tutti i malware, nel 2019 sono diventati quasi la metà (46%) e nel 2020 sono arrivati al 67%. In pratica sono ransomware i due terzi degli attacchi.

Che cosa sono i ransomware: significato

Con la parola ransomware viene indicata una classe di malware che rende inaccessibili i dati dei computer infettati e chiede il pagamento di un riscatto, in inglese ransom, per ripristinarli.

Tecnicamente sono trojan horse crittografici e hanno come unico scopo l’estorsione di denaro, attraverso un sequestro di file, che mediante la cifratura li rende inutilizzabili.

Al posto del classico sfondo vedremo comparire un avviso che sembra provenire dalla polizia o da un’altra organizzazione di sicurezza e propone un’offerta.

In cambio di una password in grado di sbloccare tutti i contenuti, intima di versare una somma di denaro abbastanza elevata (in genere erano sotto i 1.000 dollari fino a qualche anno fa, ma negli ultimi anni sono saliti anche fino a milioni di dollari): in genere il riscatto viene richiesto in criptovaluta (Bitcoin, ma non solo).

Per questo motivo i ransomware rappresentano un attacco che si rivela pressoché immediatamente, perché l’obiettivo dei cyber criminali è quello di batter cassa.

In questo senso si differenzia dai più sofisticati attacchi APT (Advanced Persistent Threat), il cui scopo è quello di persistere nel sistema attaccato il più a lungo possibile.

Come fare a pagare il riscatto? Dietro all’industria del ransomware non ci sono semplici hacker, ma vere e proprie organizzazioni criminali che hanno raggiunto un alto livello di efficienza ed organizzazione: quindi, dopo averci criptato tutti i file, faranno comparire nel computer attaccato una schermata dove vengono date dettagliate istruzioni (spesso in buon italiano) per pagare il riscatto, in genere attraverso la rete TOR (cioè nel Dark Web).

E poiché un buon servizio di customer care è alla base di ogni business di successo, alcuni attaccanti si sono attrezzati con chat in real time: poiché pagare il riscatto potrebbe non risultare semplice, i cybercriminali spesso offrono un servizio di assistenza al “cliente”, con le indicazioni per eseguire il pagamento e talvolta – bontà loro – anche uno spazio per trattare il prezzo da pagare.

Come si prende un ransomware

Le e-mail di phishing (che ci invitano a cliccare su un determinato link o a scaricare un certo file) continuano ad essere la modalità più diffusa, che sfrutta la scarsa attenzione e la mancanza di consapevolezza degli utenti.

Spesso il messaggio di posta elettronica viene mascherato in modo che risulti inviato da qualcuno di cui ci fidiamo, ad esempio un collega di lavoro (con la tecnica nota come “spoofing”). In altri casi, cybercriminali sfruttano vulnerabilità presenti nei vari programmi – come Java o nei diversi sistemi operativi.

In quest’ultimo caso, il software malevolo si propaga in maniera autonoma senza che l’utente debba compiere alcuna azione.

I vettori d’infezione utilizzati dai ransomware sono sostanzialmente i medesimi usati per gli altri tipi di attacchi malware:

1. Il più diffuso, perché purtroppo continua a funzionare molto bene, sono le email di phishing: attraverso questa tecnica, che sfrutta il social engineering (ingegneria sociale) vengono veicolati oltre il 75% dei ransomware. A tutti noi sarà capitato di ricevere email da spedizionieri, o con false bollette allegate. Sono evidentemente e-mail di phishing, ma le statistiche ci dicono che nel 10% dei casi questi messaggi vengono aperti dagli utenti ed addirittura, secondo il Verizon Data Breach Investigation Report, in circa il 2-5% dei casi vengono cliccati anche gli allegati o i link presenti nelle email permettendo così l’infiltrazione del malware.
2. Attraverso la navigazione su siti compromessi: il cosiddetto “drive-by download” (letteralmente: scaricamento all’insaputa) da siti nei quali sono stati introdotti, da parte di attaccanti che sono riusciti a violare il sito o che hanno realizzato appositamente siti fake simili ad altri più noti, exploit kit che sfruttano vulnerabilità dei browser, Java o altri. I cybercriminali compromettono ed infettano (con JavaScript, HTML, exploit) i siti visitati dalle potenziali vittime. In questo caso muta lo scenario poiché è la vittima ad andare nel sito infetto e non l’attaccante a sollecitarne la visita attraverso una email. Si presentano, per esempio come banner pubblicitari o pulsanti che ci invitano a cliccare. A quel punto verremo indirizzati su siti malevoli, diversi dall’originale, ove avverrà il download del malware.
3. Usando un supporto rimovibile, per esempio una chiavetta USB contenente il software malevolo. Questa tecnica si chiama “baiting” (esca) e – così come le email di phishing – fa leva sul fattore umano e sulla curiosità delle persone. In pratica viene lasciato incustodito in un luogo comune (ingresso dell’azienda, mensa, parcheggio ecc.) un supporto di memorizzazione come una chiavetta USB o un hard disk contenenti malware (che si attiveranno appena l’oggetto sarà collegato al computer). E la curiosità umana fa sì che in molti casi questa esca (bait) funzioni e la persona inserisca la chiavetta sconosciuta nel proprio computer.
4. All’interno (in bundle) di altri software che vengono scaricati: per esempio programmi gratuiti che ci promettono di “crackare” software costosi (spesso anche videogiochi) per utilizzarli senza pagare. È una pratica che oggi è diventata assai pericolosa, perché il crack che andremo a scaricare sarà un eseguibile (.exe) dentro il quale ci potrebbe essere anche una brutta sorpresa. Nei primi mesi del 2021 si segnalano campagne di ransomware che vengono veicolati attraverso versioni craccate (quindi gratuite) di noti programmi a pagamento, soprattutto Microsoft Office e Adobe Photoshop CC.
5. Attacchi attraverso il desktop remoto (RDP: Remote Desktop Protocol, posizionato in genere sulla porta 3389): sono attacchi con furto di credenziali (per accedere ai server attraverso RDP e prenderne il controllo. I computer ed i server con RDP attivo ed esposti in rete sono soggetti ad attacchi mirati ad ottenere le credenziali di accesso (in genere con attacchi di tipo brute force). Una volta ottenuto l’accesso al sistema, il cyber criminale potrà eseguire varie operazioni, quali: furto di credenziali e dati e – appunto – iniezione del ransomware.
6. Attraverso lo sfruttamento di vulnerabilità. Citiamo solo due casi molto famosi: il celebre WannaCry del maggio 2017 (che utilizzava la vulnerabilità del protocollo Windows Server Message Block versione 1.0 (SMBv1) e l’attacco del marzo 2021 che ha utilizzato vulnerabilità di Microsoft Exchange Server (il software che aziende e organizzazioni in tutto il mondo utilizzano per gestire email e calendari) per distribuire ransomware dopo la compromissione dei server. Microsoft ha assegnato a questa nuova famiglia di ransomware il nome Win32/DoejoCrypt.A. (o anche, più semplicemente, DearCry). L’attacco sembra partito dal gruppo di cyber criminali cinesi denominato Hafnium e sfrutta le vulnerabilità zero-day di Microsoft Exchange per infiltrarsi nei server Exchange locali delle vittime, accedendo alle caselle di posta elettronica delle aziende per sottrarne il contenuto e per iniettare malware.

PC Cyborg: il primo ransomware della storia

Era il 1989, quando quello che viene considerato il primo ransomware della storia ha fatto il suo debutto. Battezzato “PC Cyborg”, perché i pagamenti erano diretti a una fantomatica “PC Cyborg Corporation”, il malware bloccava il funzionamento del computer giustificandolo attraverso la presunta “scadenza della licenza di un non meglio specificato software”. Si chiedevano 189 dollari per far tornare tutto alla normalità. Era realizzato da Joseph Popp. Fu diffuso a un congresso sull’Aids, mediante floppy disk infetti consegnati ai partecipanti: inserendo il floppy disk il virus si installava e criptava i file.

Questo ransomware ebbe una diffusione estremamente limitata, perché poche persone usavano un personal computer, internet era una rete per soli addetti ai lavori (quindi si trasmetteva via floppy disk), la tecnologia di criptazione era limitata e i pagamenti internazionali erano molto più macchinosi. Da quel momento in avanti questi virus hanno fatto passi da gigante, diventando sempre più sofisticati: le chiavi crittografiche utilizzate sono sempre più difficile da decifrare, e il messaggio che ci avverte del blocco del pc compare nella lingua del malcapitato, grazie a tecniche equiparabili alla geolocalizzazione.

Ransomware: un po’ di storia ed evoluzione dei virus del riscatto

Dopo la breve parentesi del 1989, l’esplosione dei ransomware comincia nel 2012 e da allora non si è più fermata: per i cybercriminali si è rivelata sempre più redditizia e i nuovi ransomware si sono moltiplicati: nel solo anno 2016 sono state create 62 nuove “famiglie” di ransomware e di queste 47 (pari al 75%) sono state sviluppate da cybercriminali russi. Vediamo un po’ di storia dei ransomware più famosi:

• Cryptolocker: 2013. Creato dal famoso hacker russo Evgeniy Mikhailovich Bogachev, inventore anche del malware Zeus e su cui FBI ha posto una taglia di 3 milioni di dollari. Con vari aggiornamenti, continua a colpire ancora oggi.
• CryptoWall: inizio 2014.
• CTB-Locker: metà 2014. Ha migliaia di varianti.
• TorrentLocker: febbraio 2014.
• Ransom32: fine dicembre 2015.
• TeslaCrypt: febbraio 2015. A maggio 2016 gli autori hanno rilasciato la chiave Master Key ed hanno chiuso il progetto.
• Locky: febbraio 2016 (via macro in file Word).
• CryptXXX: inizio 2016 (attraverso pagine Web compromesse)
• Petya: marzo 2016, con le sue numerose varianti, tra le quali GoldenEye.
• Cerber: marzo 2016.
• PokemonGo: agosto 2016. Nella richiesta di riscatto si presentava con l’immagine di Pokemon, allora molto di moda.
• Popcorn: fine 2016 (dilemma: pagare o diffonderlo?).
• WannaCry (maggio 2017): il più veloce a propagarsi, grazie ad una vulnerabilità di Windows.
• NotPetya (giugno 2017): probabilmente quello che ha creato i danni maggiori a livello mondiale.
• Bad Rabbit (ottobre 2017)
• GandCrab, Ryuk (2018)
• LockerGoga (2019) famoso per aver pesantemente colpito gli impianti industriali del colosso dell’alluminio Norsk Hydro
• Anatova e MegaCortex (2019)
• Maze (2019), che ha inaugurato la “double Extorsion” (la doppia estorsione).

Tipi ed esempi di ransomware

CryptoLocker – TorrentLocker

Nel 2017 due ransomware hanno fatto molto parlare di sé. Il primo è CryptoLocker, trojan comparso nel 2013 e perfezionato nel maggio dello scorso anno, che infetta i computer con sistema operativo Windows.

Si presenta come un allegato zip che contiene un file eseguibile (anche se sembra un word o un pdf). Adottando un metodo di camuffamento si presenta tramite un allegato di tipo ZIP, che contiene un file eseguibile.

È famoso al punto che spesso si parla di “Cryptolocker” per definire un ransomware. Compare a settembre 2013, cripta i file con estensione .encrypted, attraverso un algoritmo “forte” come AES (Advanced Encryption Standard). La richiesta di riscatto è di 300/600 euro (in bitcoin), da pagarsi attraverso la rete Tor su siti .onion (nel Dark web).

Generalmente si diffonde attraverso un allegato di posta elettronica che sembra provenire da istituzioni legittime. Si presenta come un allegato zip che contiene un file eseguibile (anche se sembra un word o un pdf).

Adottando un metodo di camuffamento si presenta tramite un allegato di tipo ZIP, che contiene un file eseguibile. Il file non è visibile come “.exe” perché l’attaccante sfrutta il fatto che i sistemi Windows non mostrano di default le estensioni dei file e un contenuto così creato viene visualizzato come “.pdf”, nonostante sia un eseguibile, inducendo gli utenti ad aprirlo ed eseguirlo.

Una volta installato, il malware inizia a cifrare i file del disco rigido e delle condivisioni di rete mappate localmente con la chiave pubblica e salva ogni file cifrato in una chiave di registro.

CryptoWall

Appare nel 2014 in aprile, l’estensione dei file è varia, utilizza l’algoritmo (a doppia chiave o assimmetrico) RSA-2048 e richiede un riscatto di 500/1000 USD (in Bitcoin).

CTB-Locker (Curve Tor Bitcoin Locker)

È stato uno dei più diffusi a partire da luglio 2014. Utilizza un’estensione causale, ma di 7 caratteri, con crittografia AES e riscatto di 1-2 bitcoin, ovviamente da pagare via rete TOR.

TeslaCrypt

Comparso a febbraio 2014, dalla versione 1.0 è arrivato fino alla versione 4.0. Poi a maggio 2016 gli autori hanno rilasciato la chiave Master Key ed hanno chiuso il progetto. Ma fino al quel momento è stato quello che ha realizzato il maggior fatturato: nei primi 5 mesi del 2016 ha avuto una diffusione del 35% di tutti i ransomware. Utilizzava l’algoritmo AES con richiesta di riscatto pari a 500/1000 USD.

Locky

Febbraio 2016, in genere attraverso macro in file Word. Utilizzava una doppia crittografia: l’algoritmo (a doppia chiave o asimmetrico) RSA-2048 e quello simmetrico AES-128. Richiedeva un riscatto di 0,5-1 Bitcoin.

Petya / NotPetya

Petya/NotPetya è un ransomware del quale si sono poi create versioni: la prima, appunto, è Petya, mentre la seconda è NotPetya. Le vediamo nel dettaglio qui di seguito.

Petya

La prima versione, con schermata rossa risale a marzo 2016. Poi sono seguiti le versioni: Petya.B (schermata verde) a maggio 2016, la Petya.C (ancora verde) a luglio 2016, e la Petya.D “GoldenEye” (schermata gialla) a dicembre 2016. Oltre a cifrare i file, cifrava (è il primo caso) anche la Master Boot Record (MBR) del disco rendendo impossibile anche l’avvio del computer, con algoritmo Salsa20. Richiesta di riscatto di 0,99 bitcoin. Prendeva di mira soprattutto gli utenti aziendali poiché veniva distribuito tramite email di spam che fingevano di contenere domande di assunzione.

NotPetya (o EternalPetya)

Esplode in modo violento martedì 27 giugno 2017. Sfrutta, come WannaCry, la vulnerabilità di Windows SMB e l’exploit creato da NSA (EternalBlue) per propagarsi nelle reti aziendali. Il riscatto richiesto è di 300 USD, si diffonde soprattutto in Ucraina, ma l’Italia risulta il secondo paese più colpito.

È ritenuto il più distruttivo cyberattacco mai compiuto e sembra provenire dalla Russia. Vengono colpiti tra gli altri: il colosso danese dei trasporti navali, Moller-Maersk, che dichiara danni per 250-300 milioni di dollari, la Merck (settore farmaceutico), che subisce interruzione delle operazioni a livello mondiale, la Reckitt Benckiser che denuncia minori vendite per circa 110 milioni di sterline, TNT Express (danni per 300 milioni), la multinazionale del settore alimentare Mondelēz International, che ha avuto 1.700 server e 24.000 computer bloccati (danno 84 milioni di dollari).

Popcorn

Compare a fine 2016 ed ha una caratteristica che dimostra l’evoluzione del “marketing” dei ransomware. In pratica per riavere i propri file (la richiesta di riscatto è di 1 bitcoin e ci sono 6 giorni per pagare) viene “consigliato” di inviare un link infetto ad altre persone: se almeno due pagheranno, “tu riavrai i tuoi file gratis”. Una vera e propria istigazione a delinquere! I cybercriminali si dichiarano “studenti siriani” e dicono di farlo per acquistare “cibo e medicine”.

WannaCry

Un altro attacco che ha occupato le cronache internazionali si chiama WannaCry. Il 12 maggio 2017 il virus ha inchiodato i computer di mezzo mondo, grazie a una falla che si trovava nell’SMB Server di Windows: un “buco” noto e anche già “tappato” dall’azienda di Redmond con una cosiddetta patch, la numero MS17-010. I computer infettati, quindi, non avevano installato l’ultimo aggiornamento

Molti ricercatori del settore hanno considerato WannaCry “un attacco di proporzioni mai viste”. Kaspersky Lab, firma illustre nel mondo della sicurezza informatica, ha registrato più di 45mila attacchi in 74 nazioni, incluse Russia, Cina, Italia, India, Egitto e Ucraina. Ma c’è chi alza le stime a 150 Paesi mentre Europol, agenzia dell’Unione europea impegnata nel contrasto alla criminalità, ha parlato di “un attacco senza precedenti che richiede indagini internazionali”.

Uno dei più colpiti, in termini di conseguenze, è stato il Regno Unito dove il “colpo” informatico ha bloccato 25 ospedali, mandando in crisi il sistema sanitario britannico (NHS).

SamSam

Comparso nel 2016, con varie versioni, probabilmente dall’Iran. Molti attacchi mirati negli Stati Uniti (Atlanta, ospedale Hancock Health, ecc.), con riscatti spesso superiori a 50.000 dollari. Invece delle tecniche di phishing, utilizza il Remote Desktop Protocol (RDP). Nella versione 3 la nota di riscatto si chiama SORRY-FOR-FILES.html. Ha incassato più di 6 milioni di dollari.

Bad Rabbit

Ottobre 2017. Travestito da programma di installazione di Adobe Flash, Bad Rabbit si diffonde tramite il “download drive-by” su siti web compromessi. Cifra i file ed il disco fisso.

GandCrab

Un ransomware multimilionario comparso ad inizio 2018. Sfrutta le macro di Microsoft Office, VBScript e PowerShell per evitare il rilevamento e utilizza un modello di ransomware-as-a-service (RaaS). Europol e Bitdefender hanno trovato il decryptor e GanCrab è stato disinnescato, ricomparendo tuttavia come REvil.

Ryuk

Il ransomware Ryuk è stato responsabile di più di un terzo di tutti gli attacchi ransomware nel 2020, con stima di incassi pari 150 milioni di dollari. Comparso ad agosto 2018, è attribuito al gruppo hacker Wizard Spider di lingua russa. Si infiltra attraverso email di phishing con allegato contenente macro malevole ed utilizza malware quali Trickbot, BazaLoader ed Emotet come dropper. Si concentra principalmente su bersagli importanti: grandi aziende, ospedali, comuni e le organizzazioni governative/militari principalmente negli Stati Uniti, ma anche nel Regno Unito e in Canada.

Richiede un riscatto elevato, tipicamente nell’ordine dei milioni (da 15 a 50 bitcoin). Il più delle volte, questi pagamenti sono stati comunicati utilizzando un account ProtonMail e richiesti sotto forma di bitcoin. Ha una crittografia forte (RSA4096 e AES-256) per la quale non è stato trovato nessun decryptor.

Maze

È rilevato per la prima volta intorno a maggio 2019 e ha aumentato esponenzialmente l’attività all’inizio del 2020. Utilizzando documenti di phishing Microsoft Word ed Excel con macro.

Alla fine del 2020, Maze ha iniziato a fornire il suo payload ransomware dall’interno di una macchina virtuale (VM) come mezzo per eludere il rilevamento. Questa tecnica innovativa è stata osservata per la prima volta in RagnarLocker e permette al ransomware di distribuirsi come una VM su quasi tutti i dispositivi che infetta.

Nel 2020, le richieste di riscatto di Maze sono state in media di 4,8 milioni di dollari, un aumento significativo rispetto alla richiesta media di riscatto di 847.344 dollari per tutte le famiglie di ransomware nel 2020. La comunicazione diretta con gli operatori avveniva attraverso un sito web Tor.

Nel novembre 2020, gli attori di Maze hanno annunciato il loro ritiro dalla scena del ransomware. Tuttavia, più probabilmente il gruppo si è semplicemente frazionato in gruppi minori, tra i quali il  ransomware Egregor, che ha iniziato ad emergere poco prima di questo annuncio. Queste azioni seguono un modello simile a quello del gruppo ransomware GandCrab, che ha annunciato il ritiro nel maggio 2019, per poi tornare sotto il nome REvil.

Maze è stato il “pioniere” della doppia estorsione, poi utilizzata anche da molti altri ransomware quali NetWalker (uno dei più attivi), RagnarLocker, DoppelPaymer e Sodinokibi (alias REvil).

La doppia estorsione è una tecnica particolarmente subdola per forzare la vittima a pagare il riscatto, anche se questa dispone di un backup utilizzabile. La minaccia usata è quella di esporre i dati – che sono stati esfiltrati prima della cifratura – su un sito pubblico o sul dark web. Questo rischia di avere un impatto pesante per l’azienda attaccata, che si troverà a dover denunciare un data breach, con tutte le implicazioni anche nei confronti del GDPR.

Il primo caso noto di doppia estorsione ad opera di Maze risale al 2019: è stata colpita Allied Universal, una grande società di sicurezza americana. Quando le vittime si sono rifiutate di pagare un riscatto di 300 Bitcoin (circa 2,3 milioni di dollari), gli attaccanti hanno minacciato di usare informazioni sensibili esfiltrate dai sistemi di Allied Universal, nonché email e certificati di nomi di dominio rubati per una campagna di spam che impersonava Allied Universal.

Per dimostrare la loro tesi, i cybercriminali di Maze hanno pubblicato un campione dei file rubati, tra cui contratti, cartelle cliniche, certificati di cifratura e altro ancora. In un post successivo su un forum russo di hacking, gli aggressori hanno inserito un link a quello che secondo loro era il 10% delle informazioni rubate e una nuova richiesta di riscatto superiore del 50%.

Recentemente si sono registrati casi importanti di ransomware con doppia estorsione anche in Italia. Sono stati colpiti: Enel (circa 5 Terabyte di dati relativi alle centrali elettriche pubblicati nel Dark Web nel 2019), Campari e via dicendo.

L’evoluzione dei ransomware e le nuove tecniche d’attacco

I cyber criminali fanno ricerca e sviluppo, come una normale azienda.

Di fronte alle misure difensive adottate dalle aziende, hanno evoluto le loro tecniche, alzando il livello degli attacchi.

Le nuove tendenze che stiamo registrando in questi ultimi anni sono:

• Meno attacchi opportunistici. Nei primi anni dei ransomware (2013-2017 circa) si assisteva soprattutto alla “pesca a strascico”: obbiettivi non mirati e riscatti in genere bassi, mediamente sotto i 1.000 dollari.
• Oggi assistiamo ad attacchi più mirati, con i cybercriminali che preparano l’attacco con attività di OSINT, hacker, ispezionano la rete della vittima per disattivarne le protezioni ed individuare i punti di accesso.
• Di conseguenza è molto aumentata la somma richiesta per il riscatto. Il riscatto medio pagato è passato da 115.123 dollari nel 2019 a 312.493 dollari nel 2020 (+171% anno su anno). Dal 2015 al 2019, la richiesta più elevata è stata di 15 milioni di dollari, mentre nel 2020 ha raggiunto i 30 milioni di dollari. (Fonte: “Unit 42 Ransomware Threat Report 2021” di Palo Alto Networks). Nel 2021 si è toccato il “record” di 50 milioni di dollari richiesto alla società ACER, uno dei maggiori produttori mondiali di computer.
• È apparsa la Double Extortion
• Viene usata la tecnica di far riavviare i computer infettati nella modalità provvisoria di Windows, limitando così le funzionalità di sicurezza.
• Si esegue il ransomware dall’interno di una macchina virtuale (VM) che viene creata su tutti i dispositivi che si intende attaccare.

Come proteggersi dai ransomware: tre punti chiave

• La miglior protezione è la prevenzione. Il primo passo da fare è aggiornare sempre sia il nostro antivirus che il sistema operativo. Ancora meglio implementare sistemi di protezione e rilevamento avanzati (IDS, IPS, EDR).
• Vitale è anche il backup dei dati, cioè copie funzionanti e recenti (non è così scontato, purtroppo) dei propri file. Il backup dei dati aziendali deve essere un’attività pianificata secondo la “security by design” e non può essere affidata alla “buona volontà” di un operatore. Dovrà prevedere sempre la “ridondanza”: non una sola copia di backup, ma almeno tre copie secondo la basilare regola 3-2-1. In pratica: tre copie di ogni dato che si vuole conservare, di cui due copie “onsite” ma su storage differenti (HD, NAS, Cloud ecc.)  e una copia “off-site” (in sito remoto) su Cloud, nastri e via dicendo. In questo modo, se il ransomware dovesse infettare il sistema, una copia dei dati rimarrebbe protetta, dandoci l’opportunità di ripristinarli all’occorrenza. Altrettanto importante è la protezione del backup, che deve essere isolato e non accessibile da un qualsiasi utente collegato in rete. Abbiamo casi di backup non protetto sul quale il Ransomware è riuscito ad accedere ed a criptare i dati. A quel punto la vittima si trova alla mercé dell’attaccante.
• Se si viene attaccati, le buone pratiche dicono che non bisogna mai pagare il riscatto. Ma rivolgersi a un’azienda che si occupa di sicurezza informatica. Ecco un approfondimento però sulle valutazioni da fare se pagare o no in caso di attacco ransowmare.

Protezione da ransomware: cosa non fare mai

Nonostante la virulenza e la diffusione dei ransomware, ci sono semplici regole pratiche che ci possono aiutare ad evitarli. Le elencheremo qui in sintesi:

• Non aprire mai gli allegati di email di dubbia provenienza. Nel dubbio è consigliabile chiedere al mittente se quella email è autentica!
• Fare attenzione alle email provenienti anche da indirizzi noti (potrebbero essere stati hackerati secondo una modalità di falsificazione nota come “spoofing”).
• Abilitare l’opzione “Mostra estensioni nomi file” nelle impostazioni di Windows: i file più pericolosi hanno l’estensione .exe, .zip, js, jar, scr, ecc. Se questa opzione è disabilitata non riusciremo a vedere la reale estensione del file e potremmo essere tratti in inganno.
• Disabilitare la riproduzione automatica (“autorun”) di chiavette USB, CD/DVD e altri supporti esterni e, più in generale, evitare di inserire questi oggetti nel nostro computer se non siamo certi della provenienza. Questa modalità di attacco si chiama “baiting”: consiste nell’utilizzare un’esca per una persona in grado di accedere ad un determinato sistema informatico (una sorta di cavallo di Troia). Oggi questa minaccia è diventata reale, per questo in alcune aziende vengono stabiliti policy molto restrittive, con la disabilitazione delle porte USB dei computer in dotazione agli utenti. In questo modo la porta USB potrà essere utilizzata per collegare un mouse, ricaricare uno smartphone, ma non sarà in grado di trasmettere e ricevere dati. In altri casi – più frequenti – non si arriva a questo tipo di restrizione (che gli utenti faticano ad accettare e comprendere). È sempre e comunque opportuno formare gli utenti sull’uso attento dei supporti rimovibili, rendendoli consapevoli dei rischi che comportano.
• Disabilitare l’esecuzione di macro da parte di componenti Office (Word, Excel, PowerPoint). Gli allegati Office armati con macro malevola rappresentano oggi una delle tecniche d’attacco più diffusa. L’abilitazione delle macro consentirà alla macro attivarsi automaticamente, attivando il processo di infezione del ransomware.
• Aggiornare sempre i sistemi operativi ed i browser. In generale è buona regola installare sempre e subito le “patch” (gli aggiornamenti) di sicurezza che ci vengono proposti dai produttori dei software che abbiamo installati.
• Utilizzare – quando possibile – account senza diritti da amministratore: se viene violato un account con privilegi ed accessi di amministratore, l’attaccante potrà utilizzare gli stessi privilegi per compiere più azioni e fare maggiori danni. Viceversa, un utente non-amministratore ha privilegi limitati e le stesse limitazioni si trasferiranno in mano all’attaccante
• Installare servizi Antispam efficaci ed evoluti, che implementino i protocolli SPF, DKIM e DMARC. Non riusciranno a bloccare tutte le email di phishing, ma i migliori riescono a raggiungere un’efficienza, comunque, superiore al 95%.
• Fare attenzione all’utilizzo del Remote Desktop Protocol (RDP): rappresenta una porta esposta in rete, che – se non necessaria – andrà chiusa. Qualora dovessimo utilizzarla (particolarmente in questi momenti ove lo smart working da remoto è così frequente) dovremo proteggere questo accesso con password forti e possibilmente con doppia autenticazione.
• Implementare soluzioni di tipo “User Behavior Analytics” (UBA) sulla rete aziendale (analisi anomalie traffico web) con sistemi IDS, IPS ed EDR. Questi strumenti rappresentano oggi la protezione più avanzata contro i ransomware. È noto, infatti, che questi malware presentano una serie di comportamenti tipici (accesso/scrittura a cartelle di sistema, collegamento a server esterni per il download dei file di criptazione, ecc.). Gli UBA analizzano perciò il comportamento di ciascun computer dell’azienda e sono in grado di capire se si stanno verificando eventi “anomali” (quali per esempio un traffico dati superiore alla media, l’accesso ad indirizzi IP classificati come malevoli, l’accesso e la scrittura in cartelle di sistema che non dovrebbero essere utilizzate). Alla rilevazione di eventi anomali e sospetti, possono isolare il computer incriminato e bloccare (quantomeno circoscrivere) l’attacco.
• Implementare l’uso di Sandboxing: questi strumenti sono in genere presenti nei sistemi UBA (di cui al punto precedente) e consentono di analizzare in un ambiente isolato (appunto la “sandbox”) i file sospetti in entrata.
• Assicurarsi che i plugin che si utilizzano (Java, ecc.) siano sempre aggiornati. Questi plugin – è noto – rappresentano una via d’ingresso preferenziale per la maggior parte dei cyber attacchi. Averli sempre aggiornati riduce le vulnerabilità di cui sono affetti (anche se non le elimina completamente). Da precisare che Adobe Flash Player è stato abbandonato da Adobe a fine 2020, tuttavia risulta ancora utilizzato su numerosi siti “legacy”. Quindi sarà bene mantenere Flash disabilitato (o ancor meglio disinstallato) ed utilizzarlo solo nei casi di reale necessità” e con massima attenzione.
• Fare sempre attenzione prima di cliccare su banner (o finestre pop-up) in siti non sicuri. Come ho già spiegato, i ransomware ci possono colpire non solo attraverso il phishing, ma anche visitando siti che sia stati “infettati”, con la modalità definita “drive-by download”.
• Attivare una procedura di Backup dei propri dati. Questa – come abbiamo già spiegato – è una misura fondamentale: se nonostante tutto un ransomware riesce a colpirci, l’unica salvezza è aver i propri dati salvati in un altro luogo. Ed è importante che il backup venga eseguito spesso ed in modo completo. In assenza di un backup rimane solo l’opzione di pagare il riscatto.
• Ed infine, non dimentichiamo mai che l’anello più debole della sicurezza è rappresentato dal Fattore Umano. Fondamentale quindi fare formazione e informazione agli utenti affinché non cadano nelle trappole del “phishing”, il vettore più usato per questo tipo di attacchi; nella pratica, il fattore umano e l’awareness (consapevolezza) degli utenti vengono troppo spesso sottovalutate.

Cosa fare se siamo stati colpiti da un ransomware

In questa malaugurata ipotesi (ma potrebbe sempre accadere), le opzioni sono sostanzialmente quattro:

1. Ripristinare i file da un backup (la soluzione migliore, l’unica che dovrebbe prendere in considerazione un’azienda ben organizzata).
2. Cercare un “decryptor” in rete per decriptare i file (funziona solo in alcuni casi).
3. Non fare nulla e perdere i propri dati.
4. Pagare il Riscatto (“Ransom”).

Vediamole più in dettaglio.

Ripristinare i file da un backup

È la soluzione migliore, l’unica che dovrebbe essere presa in considerazione se abbiamo operato con attenzione e ci siamo organizzati con una corretta politica di salvataggio periodico dei nostri dati.

Ovviamente, per fare un ripristino è necessario avere una copia di backup che sia disponibile, recente e funzionante.

Anche nello scenario peggiore di mancanza di un backup, conviene fare un’indagine approfondita che ci potrebbe far recuperare copie dei file più importanti.

Potremmo recuperarli dal cloud (tutti i cloud prevedono il “versionamento” dei file, quindi si può recuperare una versione precedente, non cancellata dal ransomware.

Se siamo in possesso di un backup utilizzabile, occorre però procedere ad una bonifica della macchina (o delle macchine) infettate, prima del ripristino dei dati.

La bonifica, per essere efficace e sicura, dovrebbe prevedere una formattazione completa delle macchine infettate. Solo a questo punto si può procedere al ripristino dei dati dal backup.

Cercare un “decryptor” in rete per decriptare i file

La grande proliferazione delle varietà di ransomware nel corso di questi ultimi anni ha fatto sì che i maggiori vendor di sicurezza mondiali abbiamo cercato di trovare gli “antidoti” a questi malware. Ed in alcuni casi ci sono anche riusciti: per alcune versioni di ransomware meno efficienti sono stati realizzati (e resi disponibili in rete) programmi e tool in grado di recuperare i file crittografati.

Si tratta comunque di procedure non elementari e spesso complesse, che raramente hanno successo con i ransomware più recenti e meglio realizzati. Dopo tutto, anche gli hacker leggono gli stessi blog e forum di sicurezza e aggiornano i loro prodotti per renderli inattaccabili ai decrypter.

Per esempio: le prime versioni di Petya avevano punti deboli nella chiave di cifratura e questo permetteva di ricavare la chiave crittografica. Nelle versioni successive gli hacker hanno chiuso questa falla.

Anche il ransomware TeslaCrypt (uno dei più diffusi fino al 2016) aveva delle debolezze che permettevano di recuperare la chiave privata con alcuni tools appositi (TeslaDecoder, TeslaCrack, ecc.). Dalla versione 3.0 di TeslaCrypt questo difetto è stato eliminato e la crittografia AES 256 bit ha reso impossibile qualsiasi recupero della chiave di decriptazione.

Quindi questa opzione ha basse probabilità di successo (praticamente nessuna se la cifratura è stata fatta con algoritmi di crittografia forte come AES 256, Salsa20 o altri), ma può valere comunque la pena di tentare una ricerca in rete.

Segnalo a questo scopo l’utilissimo sito No More Ransom!. È stato creato nel 2016 dal National High Tech Crime Unit della polizia olandese, dall’ European Cybercrime Centre dell’Europol, e da due aziende di sicurezza informatica, Kaspersky Lab e McAfee, con l’obiettivo di aiutare le vittime del ransomware a recuperare i loro dati criptati, senza dover pagare i criminali. Facendo una ricerca nel sito, o caricandovi un nostro file criptato, potremo trovare (se esiste!) il decryptor per decifrare – gratuitamente – i file.

Nella ricerca dell’antidoto che possa recuperare i nostri file, facciamo attenzione ai falsi decryptor!

Nella rete si trova di tutto, anche chi sfrutta gli utenti presi dal panico a seguito di un ransomware.

È quello che hanno fatto, per esempio, nel 2020 i creatori del Trojan Zorab: offrivano un’utility che sembrava decifrare i file colpiti dal ransomware STOP/Djvu, ma in realtà li ricifrava una seconda volta. Dopodiché visualizzava un messaggio in cui invitava la (doppia) vittima a contattare i criminali per il pagamento del riscatto per ottenere la chiave di decodifica.

E questa strategia sembra aver avuto un certo successo: il ransomware STOP Djvu, molto diffuso negli ultimi anni, non prende di mira le aziende ma gli utenti domestici, perché distribuito all’interno di crack per software e videogiochi (quindi uno dei vettori d’infezione che abbiamo precedentemente indicato). E questi utenti, meno esperti, potrebbero essere più facilmente ingannati da un falso decryptor offerto in rete.

Non fare nulla e perdere i propri dati

Non è una scelta entusiasmante e quasi mai la si può fare, soprattutto per un’azienda. A meno che i dati criptati non siano veramente di scarsa importanza. Anche se dovessimo optare per questa soluzione, consiglio comunque di:

• Togliere dalla macchina il disco con i file compromessi e metterlo da parte: potrebbe succedere che in futuro qualcuno riesca a trovare il decryptor per decifrare quei nostri file, che potrebbero essere recuperati. Potrebbero passare mesi, ma potrebbe accadere.
• Oppure (per lo stesso motivo) fare un backup dei file crittografati e poi bonificare comunque la macchina.

Pagare il Riscatto

È ovviamente la soluzione peggiore, quella alla quale non si dovrebbe mai arrivare: se paghiamo alimentiamo la criminalità e la rendiamo ancora più ricca e forte. Ma anche pagando non si ha nessuna garanzia di riavere i propri dati: ricordiamoci sempre che dall’altra parte ci sono dei criminali.

Come ho detto precedentemente, anche pagando esiste almeno un 20% di probabilità che non ci venga data la chiave di decriptazione. Se comunque si decide di pagare il riscatto, i passi da fare sono in genere questi (con piccole varianti a seconda del tipo di malware che ci ha colpito):

• Leggere le istruzioni che ci sono state inviate con la richiesta di riscatto: serve per capire qual è l’importo richiesto (quasi sempre in Bitcoin, una criptovaluta non tracciabile) e – soprattutto – quanto tempo abbiamo per pagare prima che i nostri file siano persi definitivamente (in genere i cybercriminali fissano una scadenza di circa 72 ore, comunque mai molto lunga).
• Acquistare i Bitcoin per il pagamento: individuare un sito che faccia “exchange” di questa valuta. Ce ne sono molti e sono pubblici (cioè non illegali). È importante scegliere un exchange affidabile e serio, perché ne esistono molti di dubbia reputazione.
• Aprire un account presso il sito prescelto: si tratta in pratica di un conto elettronico (wallet) dove saranno depositati i Bitcoin acquistati.
• Poiché il pagamento viene richiesto attraverso la rete TOR (una “darknet” che garantisce la navigazione completamente anonima) occorre installare un browser TOR (qui le istruzioni per farlo: https://www.cybersecurity360.it/soluzioni-aziendali/tor-cose-e-come-usarlo-in-sicurezza-per-navigare-nel-dark-web/ ): lo si può scaricare direttamente dal sito: http://www.torproject.org. Si usa in modo del tutto simile ad un browser normale (è derivato da Firefox).
• Con TOR bisogna accedere al sito indicato dagli hacker nella richiesta di riscatto: i siti della rete TOR non sono indicizzati in Google e sono raggiungibili solo se si conosce l’esatto indirizzo, che è molto complesso. Questo è un esempio di indirizzo TOR: 7yulv7filqlrycpqrkrl.onion.
• Pagare il riscatto: questo significa trasferire i BTC dal proprio Bitcoin wallet a quello degli hacker. Per raggiungerlo in genere è sufficiente seguire le istruzioni poste sul sito. Il wallet su cui eseguire il pagamento è identificato da un “wallet ID”, costituito da una lunga serie di numeri e lettere come questo: 19eXu88pqN30ejLxfei4S1alqbr23pP4bd. Questo codice traccia il pagamento in forma solo alfanumerica, quindi rende quasi impossibile risalire al nome dell’intestatario del wallet.
• Dopo aver trasferito i BTC sul conto degli hacker, riceveremo un altro codice (ancora una lunga serie di numeri e lettere) che rappresenta la conferma della transazione.

Ora aspettiamo e speriamo: entro qualche ora (il tempo necessario perché la transazione sia stata processata dai sistemi) dovremmo ricevere un file con la chiave privata di decriptazione, oppure un file eseguibile che procederà a decriptare i file, in pratica il decryptor. Affinché la decodifica dei file sia completa, occorre che manteniamo collegati tutti i dispositivi e dischi che erano connessi al momento dell’infezione (altrimenti qualche file potrebbe non venire decriptato).

Per approfondimenti su uno degli autori di questo articolo consulta il sito giorgiosbaraglia.it