Differenze fondamentali tra virus informatici e Ransomware

Nel linguaggio quotidiano virus informatici e ransomware finiscono nella stessa frase, spesso come sinonimi. Sono entrambi malware, cioè programmi scritti per fare danno, ma si comportano in modo talmente diverso che confonderli porta a difendersi dalla cosa sbagliata.

La differenza che conta davvero, per un’azienda, non è di definizione. È che il primo si diffonde da solo e il secondo è guidato da una persona che sta dentro la vostra rete mentre lo fa.

1. Che cos’è un virus informatico
2. Che cos’è un ransomware
3. Come si propagano
4. Chi li guida
5. Che cosa cercano
6. Perché cambiano le difese
7. Che cosa verificare in azienda

Che cos’è un virus informatico

Il termine arriva dalla biologia e la metafora regge bene. Un virus informatico è un frammento di codice che non vive da solo: si attacca a un file eseguibile e sfrutta l’esecuzione di quel file per attivarsi e copiarsi altrove. Senza un ospite non fa nulla.

È una caratteristica che lo distingue dalle altre famiglie di malware, e che vale la pena tenere a mente perché genera altra confusione. I worm, per esempio, si propagano da soli attraverso la rete senza bisogno di agganciarsi a niente: sono una categoria diversa, anche se il linguaggio comune li chiama virus lo stesso.

Il primo esemplare, Creeper, risale al 1971 e nacque come esperimento per dimostrare che un programma autoreplicante era possibile. Quelli che hanno fatto danni veri sono arrivati dopo, e sono stati fenomeni di massa: Mydoom rallentò il traffico internet su scala globale, SoBig.F interruppe comunicazioni e servizi in diverse organizzazioni.

Va detto che il virus in senso stretto è oggi una categoria in declino. Il modello dell’infezione che si propaga da sola ha lasciato il posto a operazioni mirate, e la maggior parte del codice malevolo che arriva sulle postazioni aziendali appartiene ad altre famiglie, come abbiamo visto passando in rassegna i malware più pericolosi in circolazione.

Che cos’è un ransomware

Un ransomware è un programma che rende inaccessibili i dati e chiede denaro per ripristinarli. La radice inglese del nome indica proprio il riscatto.

Il primo risale al 1989 e fu opera di Joseph Popp: bloccava il computer simulando la scadenza di una licenza, e le vittime pagavano credendo di regolarizzare un servizio. Da allora la tecnica è cambiata completamente, e il punto merita attenzione perché è quello che viene raccontato peggio.

Oggi la cifratura dei file non è l’attacco: è la sua conclusione. Prima di quel momento qualcuno è entrato nella rete, spesso con credenziali valide ottenute altrove, e ci è rimasto per giorni o settimane a capire dove stanno i dati che contano. Abbiamo ricostruito questa sequenza nell’articolo dedicato a come il ransomware entra in un’azienda.

Cambia anche chi c’è dall’altra parte. Il software viene sviluppato da un gruppo e utilizzato da altri, gli affiliati, che si occupano di trovare le aziende in cui entrare e trattengono una quota del ricavato. È un mercato strutturato, che abbiamo descritto parlando di ransomware as a service, e che ha abbassato drasticamente le competenze necessarie per condurre un attacco.

Come si propagano

Qui sta la divergenza più netta.

Il virus si diffonde per conto proprio. Una volta rilasciato nessuno lo governa: si copia dove riesce, secondo le regole scritte nel suo codice, e chi lo ha creato non sa dove andrà a finire. La diffusione avviene attraverso file condivisi, supporti rimovibili, allegati aperti da persone che non sospettano nulla, come abbiamo descritto elencando i comportamenti che facilitano l’ingresso di un virus.

Il ransomware no. Arriva in azienda perché qualcuno ha trovato un modo per entrare, e le vie sono essenzialmente tre: credenziali valide finite in circolazione, un servizio esposto su internet e non aggiornato, oppure un messaggio di phishing che serve a ottenere il primo appoggio. Le credenziali, in particolare, vengono spesso raccolte in anticipo da programmi che le sottraggono silenziosamente dalle postazioni: il funzionamento di quella catena l’abbiamo spiegato parlando di infostealer.

Detto in modo diretto: il virus vi capita, il ransomware ve lo portano.

Chi li guida

Dalla propagazione discende tutto il resto. Un virus, dopo il rilascio, è autonomo: nessuno può fermarlo, redirigerlo o adattarlo a una vittima specifica. È codice che esegue istruzioni fisse.

Dietro un ransomware c’è invece una persona che sta lavorando in tempo reale. Osserva la rete, sceglie quali sistemi colpire e in quale ordine, individua le utenze con privilegi elevati, decide quando far scattare la cifratura. Se una difesa lo ostacola, prova un’altra strada.

Questo ha una conseguenza che cambia il modo di ragionare sulla protezione. Contro un programma automatico serve un controllo che riconosca quel programma. Contro una persona che si muove usando credenziali legittime e strumenti di amministrazione ordinari serve qualcosa di diverso: ridurre quello che un accesso consegna, perché il riconoscimento da solo non basta.

Che cosa cercano

Il virus punta al danneggiamento, alla sottrazione di informazioni o semplicemente alla propria diffusione. Molti esemplari storici non avevano un obiettivo economico chiaro, ed è uno dei motivi per cui la categoria ha perso terreno: non era redditizia.

Il ransomware ha invece un modello economico esplicito, ed è cambiato nel tempo. Per anni la leva è stata una sola, il ripristino dei file. Oggi la principale è un’altra: prima di cifrare qualsiasi cosa gli attaccanti copiano i dati verso l’esterno, e il riscatto serve a evitarne la pubblicazione. È la tecnica che va sotto il nome di doppia estorsione e che abbiamo esaminato parlando di leakware.

La differenza è pratica, non teorica. Un’azienda in grado di rimettere in piedi i propri sistemi risolve il problema della continuità operativa, ma non quello dei dati usciti, che a quel punto sono in mano a terzi con tutto ciò che ne consegue in termini di obblighi verso gli interessati e di rapporti con clienti e fornitori.

Perché cambiano le difese

Circola l’idea che l’antivirus fermi i virus e contro il ransomware non serva a nulla. È una semplificazione che porta fuori strada.

Gli strumenti di protezione degli endpoint riconoscono da tempo i comportamenti tipici della cifratura massiva, e in molti casi la bloccano. Il problema è un altro: quando l’attaccante entra con credenziali valide, per giorni non c’è niente da riconoscere. Non sta eseguendo codice sospetto, sta usando strumenti di amministrazione legittimi con un’utenza autorizzata. Il malware compare solo alla fine, quando ormai la ricognizione è completa.

Ecco perché le misure che spostano l’esito sono altre, e stanno tutte prima. Il secondo fattore sugli accessi remoti, che rende inutilizzabile una password rubata. L’aggiornamento dei servizi pubblicati su internet. E soprattutto la segmentazione della rete, che non impedisce l’ingresso ma limita quello che l’ingresso consegna: la differenza fra un blocco totale e un blocco circoscritto a un’area sta quasi sempre lì.

La crittografia, vale la pena notarlo, è lo stesso strumento su entrambi i fronti: protegge i vostri dati quando la usate voi, li rende inaccessibili quando la usa qualcun altro sui vostri sistemi.

Che cosa verificare in azienda

La distinzione fra le due minacce si traduce in verifiche diverse, e vale la pena tenerle separate.

• Contro la propagazione automatica: protezione aggiornata su tutte le postazioni, compresi i portatili che rientrano in sede saltuariamente, e controllo sui supporti rimovibili
• Contro l’ingresso guidato: quali servizi rispondono da internet e con quale versione
• Se il secondo fattore è attivo su tutti gli accessi remoti o soltanto su alcuni
• Quante utenze amministrative esistono e quante appartengono a persone non più in azienda
• Se una postazione compromessa raggiunge server, condivisi e apparati di gestione, oppure resta confinata

Le prime due voci coprono scenari diversi e nessuna sostituisce l’altra. Le ultime tre riguardano soltanto il secondo, ma sono quelle che decidono la gravità di un incidente quando accade.