Cosa succede ad un pc colpito da un ransomware, segnali da riconoscere

Il fenomeno dei ransomware ha assunto dimensioni preoccupanti, colpendo indiscriminatamente aziende, enti governativi e utenti singoli.

Questi tipi di malware criptano i dati presenti sui dispositivi, rendendoli inaccessibili, e richiedono un riscatto per il loro recupero. Pagare non risolve: finanzia il gruppo che ha attaccato e non garantisce il ripristino, perché nelle campagne recenti i dati vengono copiati fuori prima di essere cifrati.

1. Definizione breve di ransomware
2. Come avviene l’infezione?
3. I sintomi dei dispositivi attaccati da un ransomware
4. Risposta agli attacchi ransomware
5. Si possono rimuovere gli effetti di un attacco ransomware in corso?
6. Da dove entra davvero, e come si trova prima

Definizione breve di ransomware

Il ransomware è un software malevolo che, una volta entrato in un dispositivo, cripta i dati che vi trova — documenti, immagini, video, archivi — rendendoli inaccessibili. Poi chiede un riscatto, di solito in criptovaluta, in cambio della chiave per decifrarli.

La richiesta di pagamento arriva con un messaggio che compare sullo schermo, oppure come file di testo lasciato fra quelli cifrati, con un termine entro cui pagare.

Nelle campagne degli ultimi anni la cifratura è solo la seconda metà dell’attacco. Prima i dati vengono copiati fuori, e la minaccia diventa doppia: non restituirli e pubblicarli. È il motivo per cui pagare non chiude la questione, perché i dati sono già usciti.

Come avviene l’infezione?

Il ransomware non arriva da solo: qualcuno o qualcosa lo fa entrare. Le vie sono poche e ricorrenti.

Tre di queste cinque vie non dipendono dal comportamento delle persone: dipendono da come sono configurati i sistemi. Un servizio esposto senza necessità, un accesso remoto raggiungibile da internet, una versione non aggiornata sono condizioni che esistono prima dell’attacco e che si possono trovare prima.

I sintomi dei dispositivi attaccati da un ransomware

I segnali di un attacco in corso o già avvenuto sono questi:

• I file non si aprono più e presentano estensioni sconosciute, del tipo .locky, .wannacry, .ryuk
• Compaiono messaggi che chiedono un pagamento, sullo schermo o come file di testo nelle cartelle, con nomi come README.txt o HOW_TO_DECRYPT_FILES.txt
• Il dispositivo diventa insolitamente lento, per l’attività di cifratura che gira in background
• Alcuni file sono spariti o sono stati rinominati con sequenze di caratteri senza senso
• Programmi sconosciuti si avviano automaticamente all’accensione
• Il traffico di rete aumenta senza una ragione apparente

L’ultimo segnale è quello che arriva prima degli altri, e quasi nessuno lo nota. Il traffico anomalo precede la cifratura, perché corrisponde alla copia dei dati verso l’esterno. Quando compaiono i file rinominati, quella parte è già finita.

La cifratura è l’ultima fase, non la prima. Quando i file diventano illeggibili i dati sono già stati copiati fuori, ed è il motivo per cui pagare il riscatto non chiude la questione.

Risposta agli attacchi ransomware

Se l’attacco è in corso, l’ordine delle azioni conta. La prima cosa è disconnettere il dispositivo infetto dalla rete, per impedire che la cifratura si propaghi ad altri sistemi e alle condivisioni.

Poi serve raccogliere informazioni prima di toccare qualsiasi cosa: quali sistemi sono coinvolti, da quando, e quale variante è in gioco — il nome del gruppo si trova spesso nella richiesta di riscatto. Cancellare o riavviare in fretta distrugge le tracce che servono a capire da dove sono entrati.

La terza cosa è comunicare e viene sottovalutata. Il personale deve sapere cosa sta succedendo, perché altrimenti qualcuno riaccende una macchina o riapre un file e riparte tutto.

E poi c’è la parte che richiede competenze specifiche, che vanno cercate prima di averne bisogno e non nel momento in cui servono. Il tema di come si organizza questa sequenza è trattato nell’articolo sull’Incident Action Plan.

Si possono rimuovere gli effetti di un attacco ransomware in corso?

A volte sì, spesso no, e conviene essere precisi su cosa significa.

Per alcune varianti vecchie esistono strumenti di decifratura pubblici, prodotti quando la chiave è stata recuperata o l’implementazione si è rivelata difettosa. Per le varianti recenti, di norma no.

Ma anche quando la decifratura riesce, recuperare i file non annulla l’attacco. I dati sono stati copiati fuori prima di essere cifrati, quindi restano nelle mani di chi ha attaccato indipendentemente da cosa succede sui vostri sistemi. E il punto d’ingresso resta aperto: se non viene chiuso, la seconda volta arriva.

Questa è la ragione per cui la domanda utile non è come si rimuove un ransomware, ma da dove è entrato.

Da dove entra davvero, e come si trova prima

Nei rilievi che facciamo, le condizioni che rendono possibile un attacco ransomware sono quasi sempre le stesse quattro.

Un servizio di gestione remota raggiungibile da internet, spesso attivato per un’esigenza temporanea e mai richiuso. Un sistema con una vulnerabilità nota per cui la correzione esiste da mesi, che nessuno ha aggiornato perché un applicativo potrebbe non funzionare più. Credenziali di un utente ordinario che permettono di raggiungere molto più di quanto quel ruolo richieda. E una rete non segmentata, dove dalla postazione di un dipendente si arriva ai server.

Nessuna di queste quattro è una vulnerabilità sofisticata, e tutte e quattro sono visibili andando a guardare. È la ragione per cui un attacco ransomware raramente è un attacco brillante: è un attacco che ha trovato una porta che nessuno sapeva fosse aperta.

La differenza fra sapere che una porta è aperta e sapere cosa c’è dietro la fa un penetration test, che parte da quella condizione e verifica fin dove porta. È anche il modo per capire se la segmentazione della rete tiene davvero o è solo dichiarata nello schema.

Sulla parte che dipende dalle persone — il phishing, che resta la via più usata — il discorso è diverso: nessun filtro di posta ferma un messaggio scritto bene, e quello lo intercetta chi lo legge.