Come si manifesta un ransomware sul pc

La schermata con la richiesta di riscatto è l’ultimo atto, non il primo.

Quando compare, l’infezione è in corso da giorni o settimane e la cifratura è già terminata. Tutto quello che si poteva notare è successo prima, ed è il motivo per cui vale la pena sapere come si manifesta un ransomware nelle fasi che precedono il blocco.

1. Perché i segnali arrivano prima
2. La fase di ingresso
3. La ricognizione silenziosa
4. La preparazione
5. La cifratura
6. Quando la schermata compare

Perché i segnali arrivano prima

L’immagine comune dell’attacco è quella di un file aperto per errore che cifra il computer nel giro di pochi minuti.
Descrive una parte del fenomeno, quella opportunistica e automatizzata, ma non quella che colpisce le aziende.

Negli attacchi condotti da persone, che sono la maggioranza dei casi aziendali, fra l’ingresso e la cifratura passa un intervallo che può durare settimane.
In quell’intervallo qualcuno è dentro la rete e la sta studiando. Il meccanismo completo lo abbiamo descritto nell’approfondimento su come il ransomware entra in un’azienda.

La conseguenza pratica è che i segnali esistono, ma non assomigliano a quello che ci si aspetta.
Non c’è un avviso, non c’è un rallentamento improvviso, non c’è nulla che somigli a un allarme. Ci sono anomalie piccole, ciascuna delle quali ha anche una spiegazione banale.

La fase di ingresso

Il primo accesso avviene per tre vie ricorrenti.

Le credenziali valide sono la più frequente. Arrivano da violazioni di servizi terzi dove qualcuno aveva riusato la stessa password, oppure da programmi che le raccolgono dalle postazioni, come descritto parlando di infostealer. Con quelle in mano nessuno deve forzare niente: si collega.

I servizi esposti e non aggiornati sono la seconda. Quando esce una vulnerabilità critica su un prodotto di accesso remoto, le scansioni automatiche individuano le installazioni indietro nel giro di ore.

Il messaggio di posta resta rilevante ma ha cambiato ruolo. Oggi serve più spesso a ottenere il primo appoggio che a consegnare direttamente il ransomware: un allegato inatteso o una pagina di phishing che raccoglie credenziali e da lì si torna alla prima via.

In questa fase non si manifesta nulla. Nessun sintomo, nessuna anomalia visibile.
È la ragione per cui la difesa qui è preventiva e non reattiva.

La ricognizione silenziosa

Una volta dentro, chi conduce l’attacco fa esattamente quello che farebbe un consulente al primo giorno: capisce com’è fatta la rete, quali sistemi contano, dove stanno i dati che valgono, quali utenze hanno privilegi elevati.

È la fase più lunga e la più difficile da notare, perché avviene con strumenti di amministrazione legittimi e utenze autorizzate. Non c’è codice sospetto da riconoscere.

Qualche traccia però la lascia, e sta nei registri più che sullo schermo.

• Accessi effettuati in orari insoliti
• Connessioni da indirizzi geografici che non corrispondono a nessun dipendente
• Tentativi di autenticazione falliti su sistemi che quell’utenza non usa mai
• Un account che improvvisamente accede a condivisioni che non ha mai aperto.

Chi ha un sistema di correlazione degli eventi può intercettarli ed è il lavoro descritto parlando di SIEM.
Chi non ce l’ha, e sono la maggioranza delle aziende medie, in questa fase non vede niente.

La preparazione

Prima di cifrare qualsiasi cosa, chi attacca prepara il terreno. Ed è qui che cominciano le anomalie percepibili.

Il primo movimento è la copia dei dati verso l’esterno. Serve alla doppia estorsione, la tecnica descritta parlando di leakware: il riscatto non si chiede più solo per restituire i file, ma per non pubblicarli. Il trasferimento di grandi quantità di dati produce un consumo di banda in uscita che non corrisponde all’attività ordinaria, soprattutto di notte.

Il secondo è la neutralizzazione di quello che potrebbe interferire. Copie di sicurezza raggiungibili dalla rete, servizi di protezione degli endpoint, sistemi di ripristino automatico. Quando un antivirus si disattiva da solo su più macchine, o un servizio di sistema smette di funzionare senza motivo, quello è un segnale che merita una verifica immediata.

Il terzo è l’estensione dei privilegi, che abbiamo descritto parlando di privilege escalation: da un’utenza qualunque si arriva a un’utenza amministrativa, e da lì a tutto il resto. La comparsa di nuovi account amministrativi che nessuno ha creato è uno dei pochi segnali inequivocabili di questa fase.

La cifratura

Questa è la fase rapida, e quando comincia è tardi per fermarla.

Viene quasi sempre avviata di notte, nei fine settimana o durante le festività, perché il momento di minor presidio è quello che garantisce di completare l’operazione senza interruzioni. Un’azienda che chiude il venerdì sera scopre l’attacco il lunedì mattina, con tutto già fatto.

I segni sono inequivocabili. I file cambiano estensione, aggiungendone una che non appartiene a nessun programma conosciuto. I documenti smettono di aprirsi. Compaiono file di testo nelle cartelle, con le istruzioni per il pagamento: sono le note di riscatto, di cui abbiamo analizzato struttura e funzione in un approfondimento dedicato.

Prima che la cifratura sia completa si può notare un’attività anomala del disco e un rallentamento generale, perché il processo legge e riscrive ogni file. Su un volume grande richiede ore, e in quelle ore un’interruzione limita il danno. Ma richiede che qualcuno stia guardando.

Quando la schermata compare

L’ultimo atto è la comparsa della richiesta, sullo sfondo del desktop o in un file lasciato in bella vista, con un indirizzo da contattare e spesso un conto alla rovescia.

A quel punto la fase di manifestazione è conclusa e il discorso si sposta su un altro piano, che esce dal perimetro di questo articolo. Quello che resta utile capire è la lezione retrospettiva: la schermata non è l’inizio dell’attacco, è la fine di un percorso durato settimane.

Per l’elenco puntuale dei segnali da riconoscere, con la distinzione fra quelli che indicano davvero una compromissione e quelli che hanno spiegazioni ordinarie, rimandiamo all’approfondimento su cosa succede a un pc colpito da ransomware.

E resta la domanda che decide la gravità di tutto il percorso descritto: che cosa raggiunge chi entra. Una rete piatta trasforma una singola utenza compromessa in una compromissione completa, mentre una rete divisa in aree limita il danno a un settore. È la differenza che si stabilisce prima, non durante.