⚠️ RANSOMWARE: cos’è, come funziona e cosa succede dopo l’attacco

Immaginate di andare in ufficio una mattina come tante e accendere il computer. Lo schermo resta nero per qualche secondo in più del solito, poi compare un avviso. L'avviso vi informa che tutti i file contenuti nel computer sono stati bloccati e criptati e vi chiede di pagare 5.000 euro in Bitcoin entro 72 ore per riaverli. Nessun tasto funziona, nessun file è accessibile. Siete appena stati vittime di un attacco ransomware. Ciao a tutti e benvenuti in questo nuovo video. Oggi parliamo di uno degli attacchi informatici più diffusi, pericolosi e costosi: il ransomware. È un tipo di malware che può colpire chiunque: aziende, enti pubblici, ma anche privati, quindi cittadini normali. E che in molti casi causa danni irreversibili. Partiamo dal significato della parola, cioè ransom che significa riscatto e malware che significa software malevolo. Il ransomware è quindi un software malevolo che prende in ostaggio i nostri dati. Una volta che entra nel nostro computer rende inaccessibili tutti i nostri file. Per sbloccarli ci viene chiesto di pagare un riscatto, normalmente in Bitcoin o in altre criptovalute. In modo da mantenere l'anonimato del beneficiario. È come se un ladro entrasse in casa nostra, cambiasse tutte le serrature e ci chiedesse soldi per le chiavi. Ma come funziona in concreto? Il ransomware sembra una cosa da hacker super esperti che in qualche modo riescono a infiltrarsi nei nostri sistemi tramite strumenti super sofisticati. In realtà un ransomware è un malware come tanti altri e come tale può arrivare nel nostro computer in tantissimi modi e spesso purtroppo con il nostro aiuto. Aiuto. Ad esempio grazie a un allegato infetto inviato con una mail di phishing, un link cliccato distrattamente, o anche proprio una vulnerabilità, quindi un problema del nostro sistema operativo o di un programma che usiamo di frequente e che magari non abbiamo tenuto ben aggiornato. A volte basta aprire un PDF o un file Word malevolo per poterlo attivare. Ma andiamo proprio ad analizzare le origini di questo fenomeno. Il primo caso documentato di ransomware risale, pensate, addirittura al 1989, quando un malware conosciuto come AIDS Trojan o anche PC Cyborg fu distribuito a dei ricercatori che lavoravano sul virus dell'HIV. Veniva spacciato per un contenuto utile ai fini di ricerca. Gli studiosi chiedevano di averne una copia che veniva inviata via posta all'interno di un floppy disk che non conteneva in realtà materiale di ricerca ma un malware. Dopo un certo numero di riavvii del PC si attivava questo algoritmo che criptava il file e chiedeva un pagamento da inviare via posta a un indirizzo fisico in Panama. Sì, parliamo proprio di posta tradizionale, quindi dovevi infilare i soldi o un assegno dentro una busta, metterci un francobollo e inviarlo in Panama. Era l'inizio di qualcosa che sarebbe diventato uno dei crimini più redditizi del 21° secolo. Questo tipo di attacco si è diffuso in modo massiccio negli ultimi anni e i danni sono stimati in miliardi di euro a livello globale. Oggi esistono diverse sottotipologie di ransomware, ognuna con le sue caratteristiche e chiaramente anche i suoi bersagli preferiti. La prima categoria è il crypto ransomware, che come dice il nome, cripta i file rendendoli inaccessibili. Questo tipo di attacco è salito alla ribalta nel 2021 quando è stato lanciato dal gruppo hacker Wizard Spider contro il sistema sanitario irlandese, l'HSE, paralizzando ospedali, ambulanze e tutto il sistema di gestione delle cartelle cliniche. I danni sono stati incalcolabili. Parliamo di operazioni chirurgiche urgenti annullate perché non si riusciva ad aprire la cartella clinica del paziente, malati rimandati a casa perché non si poteva azzardare nessuna cura. Tra l'altro tutto questo in piena pandemia, perché eravamo nel 2021. Questo attacco fra l'altro ha poi portato alla diffusione dei dati sanitari di oltre 500 pazienti. Poi abbiamo il locker ransomware che non cripta i singoli file ma blocca proprio l'intero sistema operativo rendendo impossibile accedere al computer. Un esempio è il famigerato Reveton apparso intorno al 2012. Questo ransomware mostrava una schermata con i loghi della polizia o dell'FBI affermando che l'utente aveva violato la legge guardando contenuti illegali e doveva pagare una multa per sbloccare il PC. Era tutto falso, ma molti presi dal panico pagavano comunque. Tra l'altro, questo è stato anche uno dei più diffusi in Italia. C'è poi il Doxware o Leakware, che funziona come il Crypto Ransomware, nel senso che cripta i file e chiede il riscatto, ma contiene anche la minaccia di pubblicare i dati sensibili online se il riscatto non viene pagato. Qui il danno ovviamente diventa doppio: non solo si rischia di perdere l'accesso a tutti i dati, ma si rischia anche che la propria vita privata o i segreti della propria azienda vengano esposti pubblicamente. Se ci pensiamo, anche il caso che ho citato prima, quello del sistema sanitario irlandese, partito come crypto ransomware perché non conteneva alcuna minaccia di diffusione dei dati, si è poi trasformato di fatto in un doxware, perché sono state diffuse sul web le informazioni di tantissimi pazienti. Infine abbiamo il modello forse più inquietante: il Ransomware as a Service o RaaS. In pratica i creatori del ransomware offrono il malware in affitto a criminali meno esperti. Quindi se io decido di fare un attacco ransomware contro una multinazionale e non ho le competenze tecniche per farlo, vado sul dark web, a soldo dei criminali che lo fanno al posto mio e in caso di pagamento del riscatto incasso la mia percentuale. Capite anche voi che con la diffusione di servizi di questo tipo si spalancano le porte del crimine informatico praticamente a chiunque. Adesso che abbiamo capito cos'è il ransomware dobbiamo capire: 1) come prevenirlo e 2) come reagire nel caso in cui malauguratamente ci capitasse. Per prevenire un attacco ransomware si devono adottare delle pratiche di sicurezza informatica che sono in realtà valide per proteggersi un po' da tutti i tipi di malware. La prima regola è la più semplice e spesso in realtà la più ignorata: fare backup regolari. Tutti i computer hanno ormai dei sistemi di backup che si possono automatizzare. Il mio consiglio è di salvare sempre una copia dei file più importanti su un disco esterno non collegato a internet o in un servizio cloud sicuro. Chiaramente aziende a denti pubblici che hanno una grande mole di dati dovranno organizzarsi di conseguenza e svolgere anche dei test, magari per verificare che il recupero dei dati sia semplice nel caso in cui il sistema principale sia in down. Salvare i dati in esterno ci permette di non dover cedere a nessun ricatto: "Mi hai bloccato i file? Poco male, ce li ho salvati altrove e li posso recuperare". Chiaramente dopo essermi assicurato di aver sanificato il sistema rimuovendo tutto il malware. Questo però, anche se permette il recupero dei dati bloccati, non impedisce in realtà all'hacker di fare una copia dei file diffonderla su internet. Quindi come misura il backup non è sufficiente da solo. In gergo tecnico si dice che è una misura di recupero ma non di prevenzione. Una misura di prevenzione invece è quella di mantenere sempre aggiornati i sistemi operativi e i software che si utilizzano. Molti ransomware sfruttano delle vulnerabilità conosciute e già corrette dalla casa madre con aggiornamenti successivi. Facendo una metafora, immagina di aver installato alla porta di casa una serratura di una determinata marca e e di essere contattato dall'azienda produttrice che ti dice: "Guarda che abbiamo scoperto che questa serratura è facile da aprire se si usa una forcina, quindi ti reinstalliamo gratuitamente una nuova serratura se vuoi." Se non la installi, qualunque ladro che vede la tua serratura vecchia sa che con una forcina la può aprire. Lo stesso vale con le patch di sicurezza dei software e dei sistemi operativi. Nella stragrande maggioranza dei casi vengono rilasciati proprio per sistemare delle falle che sono emerse. Un'altra misura, magari più scontata, è quella di usare un buon antivirus, o più correttamente anti-malware, sempre aggiornato, configurandolo in modo da bloccare tutte le connessioni sospette. Non è una garanzia assoluta, ma può intanto bloccare gli attacchi più semplici o comunque analizzare i file sospetti che sono stati scaricati. E qui arrivo a un altro consiglio scontato che scontato non è: non aprire allegati o link sospetti, anche se arrivano da contatti noti. Il phishing, che abbiamo visto la scorsa settimana, è spesso il cavallo di Troia del ransomware e di tantissimi altri tipi di malware. Quindi, per vedere come riconoscere una mail di phishing, ovviamente ti rimando al relativo video. Un ultimo consiglio che do sempre e che riguarda per lo più aziende ed enti pubblici è: formate il personale. Non serve che i dipendenti diventino tutti degli hacker, Ma sapere cosa sono queste minacce e come funzionano è già metà della difesa. Ricordiamoci sempre che l'essere umano è il sistema in assoluto più facile da violare e che un attacco mirato rivolto al personale può rendere vane tutte le misure di sicurezza dette finora. Mettiamo però che, nonostante tutte queste misure, un hacker riesca comunque a installare un ransomware sui nostri sistemi. A questo punto sorge una domanda amletica: Pagare o non pagare? Questo è il dilemma. In linea generale la risposta è no, non si dovrebbe pagare per diversi motivi. Innanzitutto pagando si alimenta il mercato criminale. Ogni euro versato è un incentivo per i gruppi che si avvalgono del ransomware a colpire ancora e oltretutto non c'è alcuna garanzia che i dati verranno davvero restituiti o che il malware verrà rimosso. Spesso dopo il pagamento gli hacker spariscono o forniscono chiavi di decriptazione informazioni difettose, oppure si sbloccano i file che però intanto hanno copiato integralmente e rivenduto sul dark web. Quindi abbiamo perso comunque sia soldi che dati. Tra l'altro, nei contesti aziendali è possibile stipulare delle assicurazioni che proteggano proprio in caso di attacchi hacker, e in molti casi queste assicurazioni non coprono il risarcimento se scoprono che è stato pagato il riscatto senza una strategia autorizzata. L'approccio migliore e più responsabile, soprattutto per aziende e pubblica amministrazione, istituzioni, ma vale anche per i privati, è denunciare immediatamente l'attacco alla polizia postale. Se poi l'attacco si verifica in un ente o in un'azienda soggetta all'applicazione della NIS2, si dovrà seguire anche tutto l'iter di notifica dell'incidente al CSIRT. E tutte queste cose vanno fatte prima di pagare alcun riscatto. Quindi vedete l'avviso del ransomware, foto allo schermo, staccate tutto, isolate il dispositivo e cercate assistenza. Tra l'altro segnalo che esiste un sito molto utile sviluppato su iniziativa dell'Europol che si chiama No More Ransom che ora vediamo insieme. Ecco qua, questo è il sito No More Ransom dell'Europol che parte proprio appunto chiedendo se serve aiuto per sbloccare i file senza pagare gli hacker. Cliccando sì veniamo rimandati a una pagina in cui si può indicare qualche informazione in più informazioni in più sul ransomware e ricevere assistenza. Vi dico anche che nella home, scorrendo, troviamo un consiglio che è proprio quello di non pagare il riscatto, e dice che se inviate il vostro denaro ai criminali, date conferma del funzionamento del ransomware e non c'è la garanzia di ricevere la chiave per decriptare. Quindi il consiglio dell'Europol è proprio quello di non pagare il NoMoreRansom ha raccolto una serie di informazioni sui principali tipi di ransomware, raccogliendo anche delle chiavi per decifrare quei tipi di ransomware che ovviamente sono i più semplici e più diffusi. Quindi se dalla schermata che mi è comparsa sul computer è chiaro quale tipo di ransomware è, oppure me lo dice la pagina CryptoSheriff, questo, quindi io ho chiesto assistenza e mi hanno comunicato qual è il mio ransomware, Andando poi sulla pagina Strumenti di decriptazione posso cercare il ransomware che mi ha colpito e andare a vedere se è stato sbloccato. Ad esempio ne prendo uno a caso: Cry9 è progettato per decriptare file criptati da Cry9. Per maggiori informazioni si prega di vedere questo guida come fare. Quindi io guardo la guida, mi compare in inglese ma ovviamente si può tradurre, e poi posso scaricare la chiave di decriptazione. Ovviamente se abbiamo dei dubbi su qualcosa ci rivolgiamo a un esperto o chiediamo direttamente al sito dell'Europol che ha sviluppato appunto questo strumento utilissimo. Quindi come vedete il ransomware si evolve, ma per fortuna si evolvono anche gli strumenti di contrasto. Bene, spero che questo video vi sia stato utile per capire meglio cos'è un ransomware, come agisce e soprattutto come proteggersi. Se vi è piaciuto lasciate un like, iscrivetevi al canale e attivate la campanella per non perdervi i prossimi contenuti. Soprattutto il video di domani in cui vedremo insieme il caso più eclatante di ransomware. Non voglio spoilerare troppo, ma vi dico solo che il nome dell'attacco si traduce con "voglio piangere" e in effetti ha fatto piangere parecchie persone. A domani!