Ransomware: come entrano davvero nelle aziende

Chi vi attacca con un ransomware quasi certamente non ha scritto il software che userà. Lo ha noleggiato.

È la differenza principale fra il fenomeno di dieci anni fa e quello di oggi, e spiega perché continuare a leggere schede su singole famiglie di malware aiuta poco a proteggersi. Il malware è l’ultimo passaggio. Quello che conta per un’azienda è come si arriva fin lì.

Indice degli argomenti

1. Che cos’è un ransomware
2. Il modello ad affiliati e cosa cambia per voi
3. La cifratura è diventata secondaria
4. Le tre vie d’ingresso che contano
5. Cosa succede prima che ve ne accorgiate
6. Che cosa verificare sul vostro perimetro

Che cos’è un ransomware

Un ransomware è un programma che rende inaccessibili i dati di un sistema e chiede denaro per ripristinarli. Il nome unisce il termine inglese per riscatto alla desinenza che identifica i programmi malevoli.

La definizione è semplice, ma descrive solo l’effetto finale. Nella pratica di oggi quella cifratura è l’ultimo atto di un’operazione cominciata giorni o settimane prima, condotta da persone che stanno dentro la vostra rete e la stanno studiando. Il momento in cui i file diventano illeggibili è il momento in cui l’attaccante decide di farsi vedere, perché ha già ottenuto tutto quello che gli serviva.

Storicamente si distinguono due famiglie: quella che blocca l’accesso al dispositivo senza toccare i file, e quella che cifra i dati. La prima ha perso rilevanza da anni. Quando oggi si parla di ransomware in ambito aziendale, ci si riferisce alla seconda.

Il modello ad affiliati e cosa cambia per voi

La struttura economica che sostiene il fenomeno si chiama ransomware as a service, e assomiglia molto a un franchising. Un gruppo sviluppa e mantiene il software, l’infrastruttura di pagamento e il sito dove pubblicare i dati rubati. Altri soggetti, gli affiliati, ottengono gli accessi alle aziende e conducono gli attacchi, trattenendo una quota del ricavato. Il funzionamento di questo mercato l’abbiamo descritto nell’articolo su RaaS e sul modello di business.

Le conseguenze pratiche sono tre, e nessuna è ovvia.

La prima è che la competenza tecnica necessaria per colpirvi si è abbassata. L’affiliato non deve saper scrivere codice: deve saper entrare. La seconda è che lo stesso software viene usato da decine di soggetti con metodi completamente diversi, il che rende inutile studiare “come si comporta” una famiglia specifica. La terza è che la scelta delle vittime non risponde più a una strategia unitaria: ogni affiliato colpisce dove trova la porta aperta, e le aziende medie italiane sono un bersaglio comodo proprio perché nessuno le considera abbastanza interessanti da essere prese di mira.

Il ricambio dei gruppi è continuo. Ne emergono di nuovi ogni anno, come abbiamo visto raccontando l’ascesa di The Gentlemen, mentre altri spariscono dopo operazioni di polizia e riappaiono con un altro nome. Gli affiliati, nel frattempo, restano gli stessi e si spostano.

La cifratura è diventata secondaria

Fino a qualche anno fa la logica dell’attacco era lineare: i dati vengono cifrati, l’azienda paga per riaverli. Chi aveva copie funzionanti ripristinava e non pagava.

Gli attaccanti hanno risposto cambiando leva. Prima di cifrare qualsiasi cosa, copiano i dati verso l’esterno. Il riscatto non serve più solo a riottenere l’accesso, ma a evitare che quei dati vengano pubblicati. È la tecnica che va sotto il nome di doppia estorsione e che abbiamo esaminato parlando di leakware.

Questo ribalta un ragionamento che molte aziende fanno ancora. La capacità di ripristinare i sistemi risolve il problema della continuità operativa, e resta indispensabile. Non risolve il problema dei dati usciti, che a quel punto sono in mano a terzi e la cui diffusione fa scattare obblighi di notifica, responsabilità verso clienti e fornitori, e un danno reputazionale che non ha un interruttore.

Alcuni gruppi hanno aggiunto un terzo livello, contattando direttamente i clienti dell’azienda colpita per aumentare la pressione. L’evoluzione di LockBit mostra bene questa progressione.

Le tre vie d’ingresso che contano

La domanda utile non è quale ransomware vi colpirà, ma da dove entrerà. Le risposte sono poche e si ripetono.

Credenziali valide. È la via più frequente e la meno rumorosa. Le credenziali arrivano da violazioni di servizi terzi dove qualcuno aveva riusato la stessa password, oppure da malware che le raccoglie silenziosamente dai dispositivi: il funzionamento di quella catena l’abbiamo descritto parlando di infostealer. Un accesso remoto senza secondo fattore trasforma una password in circolazione in un ingresso legittimo alla rete interna, e per questo la configurazione della VPN aziendale è uno dei punti da verificare per primi.

Servizi esposti non aggiornati. Concentratori VPN, firewall, server di posta, gestionali pubblicati su internet. Quando esce una vulnerabilità critica su uno di questi prodotti, le scansioni di massa individuano i sistemi non aggiornati nel giro di ore. Non serve essere stati scelti: basta essere raggiungibili e indietro con le patch, come ha mostrato in modo esemplare la vicenda BlueKeep.

Posta elettronica. Resta rilevante, ma il suo peso è cambiato. Oggi serve più spesso a ottenere il primo appoggio che a consegnare direttamente il ransomware. Un messaggio costruito su misura porta a un file o a una pagina che raccoglie credenziali, e da lì riparte la prima delle tre vie. Il meccanismo è quello che abbiamo spiegato trattando il phishing.

Cosa succede prima che ve ne accorgiate

Fra il momento in cui qualcuno entra e il momento in cui i file diventano illeggibili passa del tempo. In quell’intervallo l’attaccante fa esattamente quello che farebbe un consulente al primo giorno di incarico: capisce com’è fatta la rete, quali sistemi contano, dove stanno i dati che valgono, quali utenze hanno privilegi elevati.

Questo ha una conseguenza che vale la pena rendere esplicita. Un attacco ransomware andato a segno non dimostra che il malware era sofisticato. Dimostra che la rete permetteva a un’utenza compromessa di raggiungere tutto. Una rete segmentata non impedisce l’ingresso, ma riduce quello che l’ingresso consegna, e trasforma un blocco totale in un blocco circoscritto.

È anche il motivo per cui la domanda più utile che potete farvi non riguarda il malware ma la vostra topologia: partendo da una postazione qualunque, con le credenziali di una persona qualunque, fin dove si arriva?

Che cosa verificare sul vostro perimetro

Le verifiche che spostano davvero il rischio sono poche e riguardano tutte il prima, non il dopo.

• Quali servizi della vostra rete rispondono a chi li interroga da internet, e con quale versione
• Se il secondo fattore di autenticazione è attivo su tutti gli accessi remoti o soltanto su alcuni
• Quante utenze con privilegi amministrativi esistono, e quante appartengono a persone che non lavorano più con voi
• Se la rete interna è segmentata o se una postazione compromessa raggiunge server, condivisi e apparati di gestione
• Quali fornitori hanno un accesso attivo, verso quali sistemi, e chi lo revoca quando il contratto finisce

Nessuna di queste domande riguarda il ransomware in quanto tale. Riguardano la superficie che un attaccante trova quando vi guarda da fuori, ed è per questo che la risposta arriva da una verifica tecnica e non da un prodotto da installare.