Ransomware e cryptolocker

Il ransomware è un malware che nega l'accesso a dati o sistemi e richiede un pagamento, generalmente in criptovaluta, per ripristinarlo. La caratteristica distintiva è l'estorsione: i dati della vittima diventano uno strumento di ricatto contro di essa. Le moderne operazioni di ransomware sono imprese criminali sofisticate che generano miliardi di dollari ogni anno. L'attacco del 2021 a Colonial Pipeline ha interrotto la fornitura di carburante lungo la costa orientale degli Stati Uniti; l'attacco del 2020 a Universal Health Services ha colpito 400 ospedali. Il ransomware è oggi una delle minacce più gravi per le organizzazioni, poiché combina sofisticazione tecnica e notevole impatto sul business.

Gli attacchi ransomware seguono una sequenza prevedibile. Accesso iniziale: email di phishing, attacco brute-force a RDP o sfruttamento di una vulnerabilità esposta al pubblico. Persistenza: installazione di una backdoor e disabilitazione degli strumenti di sicurezza. Movimento laterale: diffusione nella rete per massimizzare l'estensione dell'infezione e compromettere i sistemi di backup. Esfiltrazione dei dati: furto dei dati sensibili prima della crittografia (doppia estorsione). Crittografia: crittografia simultanea dei file su tutti i sistemi accessibili. Richiesta di riscatto: rilascio di una nota di riscatto con le istruzioni per il pagamento e la minaccia di pubblicare i dati rubati in caso di mancato pagamento. Comprendere ogni fase rivela opportunità di difesa in ciascun passaggio.

CryptoLocker (2013) ha aperto la strada al ransomware moderno combinando la crittografia a chiave pubblica RSA-2048 con il pagamento in Bitcoin, rendendo impossibile la decrittografia senza la chiave privata detenuta dall'attaccante. Veniva distribuito tramite allegati email di phishing e si diffondeva nelle unità di rete mappate. CryptoLocker è stato neutralizzato nel 2014, ma ha ispirato una generazione di successori: WannaCry (2017) si è diffuso come worm, NotPetya (2017) si è spacciato per ransomware, ma era un wiper distruttivo diretto contro l'Ucraina, Ryuk (2018-2020) ha preso di mira le aziende con attacchi gestiti manualmente dagli operatori e REvil (2020-2021) ha introdotto il modello RaaS della doppia estorsione.

Ransomware as a Service (RaaS) è un modello di business criminale in cui gli sviluppatori di ransomware concedono in leasing i propri strumenti e la propria infrastruttura ad affiliati che conducono gli attacchi veri e propri. L'affiliato trattiene il 70-80% del riscatto, mentre lo sviluppatore conserva il resto. Ciò ha abbassato drasticamente la barriera tecnica per gli attacchi ransomware, consentendo a criminali meno esperti di distribuire ransomware sofisticati. Tra le operazioni RaaS più note figurano REvil, LockBit, BlackCat/ALPHV e Conti. Le azioni delle forze dell'ordine contro gli operatori spesso portano alla nascita di gruppi scissionisti che cambiano marchio e proseguono le attività, rendendo il RaaS resiliente alle operazioni di smantellamento.

L'estorsione singola cripta i file e richiede un pagamento per ottenere la chiave di decrittazione. La doppia estorsione (introdotta da Maze nel 2019) esfiltra anche i dati prima della cifratura e minaccia di pubblicarli su un sito di divulgazione dei dati se il riscatto non viene pagato — una tecnica efficace anche contro vittime dotate di buoni backup. La tripla estorsione aggiunge una terza forma di pressione: un attacco DDoS all'infrastruttura della vittima, eseguito simultaneamente per impedirle di operare durante la negoziazione. Alcuni gruppi contattano anche i clienti, i partner e gli enti regolatori della vittima per aumentare la pressione. Questi approcci basati su più forme di pressione rendono il solo ripristino dai backup insufficiente come strategia di risposta al ransomware.

Prima di avviare la cifratura, gli operatori di ransomware sofisticati prendono di mira specificamente l'infrastruttura di backup, sapendo che backup affidabili sono il loro principale ostacolo. Le tattiche includono: l'eliminazione delle copie shadow del volume di Windows (vssadmin delete shadows), l'eliminazione dei database dei software di backup, la compromissione degli agenti di backup e l'accesso ai server di backup di rete tramite credenziali compromesse. Per questo i backup immutabili — backup che non possono essere modificati o eliminati nemmeno da un amministratore autenticato, per un periodo di conservazione definito — sono essenziali. L'object storage immutabile (AWS S3 Object Lock, Azure Immutable Blob) e i backup su nastro conservati offline sono estremamente efficaci.

La regola del backup 3-2-1 è la strategia di base per garantire la resilienza al ransomware: mantenere 3 copie dei dati (produzione + 2 backup), su 2 diversi tipi di supporto (ad esempio, disco e nastro), con 1 copia conservata fuori sede (separata geograficamente dai sistemi primari). Una variante progettata per resistere al ransomware aggiunge un quarto elemento: almeno una copia deve essere offline o immutabile. I backup accessibili dalla rete di produzione sono vulnerabili alla cifratura. Il requisito della copia fuori sede o offline garantisce che, anche in caso di compromissione completa dell'ambiente primario, rimanga una copia integra accessibile per il ripristino.

La decisione di pagare il riscatto implica considerazioni complesse. Il pagamento non garantisce la decrittazione (alcuni gruppi di ransomware scompaiono dopo aver ricevuto il pagamento), può finanziare organizzazioni criminali o gruppi soggetti a sanzioni (negli Stati Uniti, OFAC vieta i pagamenti a entità sanzionate) e segnala che la vittima è disposta a pagare, rendendola potenzialmente un bersaglio ricorrente. Tuttavia, le organizzazioni prive di backup utilizzabili possono affrontare rischi esistenziali per l'attività a causa di interruzioni prolungate. In genere l'FBI raccomanda di non pagare, ma riconosce la difficile situazione in cui si trovano le aziende. Prima di prendere in considerazione qualsiasi pagamento, consultate un legale, le forze dell'ordine (l'FBI offre risorse per le vittime) e specialisti di cybersicurezza per valutare tutte le alternative.

Oltre ai backup, i controlli tecnici specifici contro il ransomware includono: EDR con rilevamento del ransomware, che monitora le operazioni di cifratura massiva dei file e può isolare automaticamente gli endpoint interessati; file honeypot, collocati nelle condivisioni di file e in grado di generare immediatamente un avviso se vengono toccati (il ransomware li cripta insieme ai file reali); accesso controllato alle cartelle (una funzionalità di Windows Defender) che impedisce alle applicazioni non autorizzate di scrivere nelle cartelle protette; e application allowlisting, che blocca l'esecuzione di processi sconosciuti (limitando significativamente la capacità del ransomware di avviarsi). Disabilitate le macro, bloccate l'esposizione di RDP a Internet e applicate l'MFA a tutti gli accessi remoti.

Quando si verifica un attacco ransomware, le opzioni di ripristino senza pagare includono: il ripristino da backup puliti verificati (il percorso più affidabile), la verifica dell'esistenza di uno strumento di decrittazione su NoMoreRansom.org (le forze dell'ordine e i fornitori di prodotti di sicurezza pubblicano strumenti di decrittazione per alcune famiglie di ransomware dopo il sequestro della relativa infrastruttura), il recupero dei file dalle copie shadow del volume se il ransomware non le ha eliminate e, per alcune modalità di cifratura, l'utilizzo delle debolezze individuate dai ricercatori nella generazione di numeri casuali, che rendono possibile la decrittazione. Create sempre uno snapshot o un'immagine dei sistemi interessati prima di tentare qualsiasi ripristino: i dati conservati oggi potrebbero essere recuperabili in seguito, anche se non lo sono immediatamente.

Le organizzazioni devono disporre di un piano di risposta agli incidenti specifico per il ransomware prima che si verifichi un attacco. Il piano dovrebbe includere: contatti per l'escalation (ufficio legale, dirigenti, compagnia di assicurazione informatica, referente per le forze dell'ordine), alberi decisionali per il contenimento o la prosecuzione delle operazioni, rapporti già definiti con società di negoziazione dei ransomware, se pertinenti, procedure di ripristino dai backup con RTO stimati, modelli di comunicazione per clienti, partner ed enti regolatori e indicazioni legali sul pagamento dei riscatti. Il piano deve essere testato tramite esercitazioni tabletop. Il personale dovrebbe conoscere il piano: doverlo scoprire durante un attacco aggiunge minuti cruciali a una situazione già caotica.

Verificate la vostra comprensione dei concetti di CompTIA Security+ (SY0-701) trattati in questa lezione.

In questa lezione avete imparato che il ransomware moderno segue una kill chain che va dall'accesso iniziale, passando per il movimento laterale, fino alla cifratura, offrendo opportunità di difesa in ogni fase; che i backup immutabili e offline conformi alla regola 3-2-1 sono il meccanismo di ripristino più affidabile, perché il ransomware prende di mira specificamente i sistemi di backup online; e che la doppia estorsione aggiunge il furto dei dati prima della cifratura, per cui i soli backup non proteggono più completamente le organizzazioni da tutti gli impatti del ransomware. Nella prossima lezione esamineremo rootkit, spyware e keylogger.