Modulo 1 · 1.3
Ransomware ed estorsione
Modulo 1: Perché Lei è un bersaglio · Tempo di lettura: 10 minuti
Obiettivo della lezione: Dopo questa lezione saprà spiegare come entra il ransomware, cosa si intende per doppia estorsione e quali misure limitano i danni.
Concetti chiave: ransomware, cifratura, doppia estorsione, accesso iniziale, movimento laterale, riscatto, decryptor (No More Ransom)
Cos'è il ransomware
Il ransomware è un software dannoso che rende inutilizzabili i Suoi file o sistemi e poi richiede un riscatto. La parola deriva dall'inglese ransom: riscatto. Di solito avviene tramite cifratura: il software trasforma i Suoi file in dati illeggibili, con una chiave che solo l'aggressore possiede. I file sono ancora visibili, spesso con una strana estensione aggiunta, ma non è più possibile aprirli. Sullo schermo o in ogni cartella compare un messaggio: paghi entro pochi giorni, altrimenti tutto andrà perso.
La cifratura in sé non è qualcosa di dannoso. È la stessa tecnica che protegge il Suo laptop in caso di furto (lezione 5.2) e che protegge la connessione a un sito web. La differenza sta in chi possiede la chiave. Una buona cifratura non si può violare. Per questo "lo facciamo semplicemente decifrare" non è quasi mai un'opzione, a meno che gli autori del ransomware non abbiano commesso un errore.
Secondo l'NCSC olandese, il ransomware colpisce non solo i file, ma anche i sistemi e i backup. Quest'ultimo punto è l'aspetto più importante di questa lezione.
Come entra
Un attacco ransomware non è un momento isolato, ma una sequenza di fasi. Inizia con l'accesso iniziale: il primo piede dentro la porta. Le vie più comuni:
| Via d'accesso | Come avviene | Cosa lo ferma |
|---|---|---|
| Phishing con allegato o link | Un dipendente apre una "fattura" o un "documento di trasporto" che avvia un software dannoso | Sensibilizzazione (lezione 9.2), aggiornamenti, diritti limitati |
| Credenziali di accesso rubate | Una password trapelata funziona sulla webmail, sulla VPN o sulla gestione da remoto | Password univoche, autenticazione a due fattori (2FA) (modulo 2) |
| Una vulnerabilità nota in un sistema connesso a internet | Un server VPN, firewall, NAS o sito web obsoleto con una vulnerabilità pubblicamente nota | Aggiornamento tempestivo (lezione 5.1), non lasciare porte aperte inutilmente |
| Gestione da remoto aperta | Un programma per lavorare da remoto su un pc, raggiungibile da tutta internet | Solo tramite connessione protetta, con 2FA |
| Un fornitore | L'azienda IT o il software di un fornitore viene usato in modo improprio | Accordi e diritti minimi (modulo 7) |
Dopo il primo accesso, un aggressore spesso aspetta. Osserva l'ambiente, cerca account amministratore e salta da un computer all'altro. Questo si chiama movimento laterale. Cerca soprattutto due cose: dove si trovano i dati importanti e dove si trovano i backup. Solo quando ha trovato entrambi, colpisce, spesso di notte o nel fine settimana, quando nessuno se ne accorge.
Perché un backup collegato non aiuta
Molte piccole aziende hanno un backup: un disco esterno sempre collegato al pc, oppure un disco di rete (NAS) su cui ogni notte viene copiata una copia. È meglio di niente in caso di disco rigido rotto. Contro il ransomware, spesso non serve a nulla.
Il motivo è semplice. Il ransomware cifra tutto ciò a cui può accedere il computer infetto o l'account compromesso. Se il disco di backup è collegato al pc, il ransomware può raggiungerlo. Se il backup si trova su un disco di rete a cui si accede con lo stesso account, il ransomware può raggiungerlo. Un aggressore che ha osservato con calma l'ambiente a volte cancella deliberatamente i backup prima di cifrare.
Lo stesso vale per la sincronizzazione. Una cartella sincronizzata automaticamente con il cloud sincronizza anche la versione cifrata. A volte è ancora possibile tornare a una versione precedente di un file, ma dipende dal servizio e da quanto tempo conserva le versioni.
Un backup che sopravvive al ransomware ha almeno una copia che l'aggressore non può raggiungere o non può modificare: un disco conservato scollegato in un cassetto, oppure un backup presso un fornitore separato con un proprio accesso che non si usa sul computer di lavoro, oppure uno spazio di archiviazione che rende tecnicamente impossibile modificare o cancellare per un certo periodo. Nel modulo 6 imposterà tutto questo passo dopo passo. Un backup che il Suo fornitore di hosting effettua su server separati, indipendenti dal Suo pacchetto, costituisce già per il Suo sito web e la Sua posta una copia remota. Verifichi comunque per quanto tempo viene conservato e chi può cancellarlo.
Doppia estorsione
In passato, un buon backup era la risposta completa al ransomware: ripristinare e tutto risolto. Gli aggressori si sono adattati. Nella doppia estorsione, prima rubano una copia dei Suoi dati e solo dopo cifrano. A quel punto ci sono due minacce:
- Paghi, altrimenti non riavrà i Suoi file.
- Paghi, altrimenti pubblicheremo i Suoi dati: anagrafiche clienti, preventivi, dati salariali, caselle di posta.
Un backup aiuta contro la prima minaccia, non contro la seconda. Anche l'NCSC olandese avverte che gli aggressori a volte minacciano di pubblicare i dati rubati. Inoltre, il furto di dati personali è di per sé una violazione dei dati, con un obbligo di notifica al Garante per la protezione dei dati personali (lezione 8.2), indipendentemente dal fatto che Lei paghi o meno.
A volte un aggressore si spinge oltre e contatta direttamente i Suoi clienti o partner commerciali, comunicando loro che i loro dati sono stati sottratti presso di Lei. La pressione a quel punto non grava solo su di Lei, ma anche sulla Sua reputazione.
Pagare o no?
Il consiglio delle autorità pubbliche e delle forze dell'ordine è unanime: è preferibile non pagare. No More Ransom, l'iniziativa promossa tra gli altri da Europol e dalla polizia olandese, lo dice così: pagare il riscatto non offre alcuna garanzia. Ci sono buone ragioni:
- Non ha alcuna garanzia di ricevere una chiave funzionante, né che la decifratura riesca.
- Non ha alcuna garanzia che i dati rubati vengano poi davvero cancellati.
- Conferma che la Sua azienda paga, e questo La rende un bersaglio interessante per un prossimo attacco.
- Finanzia i prossimi attacchi contro altri.
- La via d'accesso non è ancora chiusa. Senza un'indagine, può accadere di nuovo.
L'NCSC olandese definisce il ripristino da un backup la soluzione più affidabile. Se non riesce, verifichi se esiste un decryptor: un programma gratuito in grado di decifrare i file di una determinata famiglia di ransomware, perché i ricercatori hanno trovato un errore in quella famiglia o hanno sequestrato le chiavi. No More Ransom (https://www.nomoreransom.org) raccoglie questi decryptor e L'aiuta a determinare quale ransomware ha colpito il Suo sistema. Non esiste una soluzione per ogni famiglia, ma verificare non costa nulla.
In ogni caso, sporga denuncia presso la Polizia Postale e delle Comunicazioni (https://www.commissariatodips.it/), e verifichi se ha un obbligo di notifica: presso il Garante per la protezione dei dati personali se sono stati coinvolti dati personali, presso l'ACN se rientra nell'ambito del decreto NIS (lezione 9.1), e talvolta presso un committente secondo il Suo contratto.
Cosa limita il danno
Può ridurre la probabilità di un attacco e limitare i danni se dovesse comunque accadere. Una panoramica, con la lezione in cui lo approfondisce:
- Aggiornamento, soprattutto tutto ciò che è connesso a internet: VPN, router, NAS, sito web (lezione 5.1).
- Autenticazione a due fattori (2FA) su posta, gestione da remoto e tutti gli account amministratore (lezione 2.3 e 2.4).
- Diritti minimi: non lavorare quotidianamente con un account amministratore, e non dare accesso ovunque a tutti (lezione 7.1).
- Un backup fuori portata dei Suoi account abituali, e verifica regolare che il ripristino funzioni (modulo 6).
- Una scheda di gestione degli incidenti affinché tutti sappiano cosa fare: scollegare la rete, non spegnere senza criterio, chiamare (lezione 8.1 e 8.3).
- Sensibilizzazione: un collega che segnala subito di aver aperto un allegato sospetto Le fa guadagnare ore preziose (lezione 9.2).
Nella pratica: ecco come si presenta
Un esempio, composto da situazioni che ricorrono spesso. Un'azienda di installazioni con dodici dipendenti aveva un server VPN per accedere ai file da casa. Il firmware non veniva aggiornato da un anno e mezzo. Attraverso una vulnerabilità nota, un aggressore è entrato, ha osservato l'ambiente per una settimana e ha trovato l'account amministratore del disco di rete. In una notte di sabato sono stati cifrati i pc, il disco di rete e il disco USB di backup collegato ad esso. Ciò che è rimasto: la posta e il sito web, ospitati presso un fornitore di hosting con un proprio backup, e una vecchia copia della contabilità su un disco che il commercialista teneva a casa. Con questo, l'azienda ha potuto riprendere a fatturare dopo pochi giorni. I preventivi e i disegni degli ultimi mesi erano andati persi.
Un aggiornamento e un singolo disco scollegato in un cassetto avrebbero fatto la differenza tra pochi giorni e alcuni mesi.
Riepilogo
- Il ransomware cifra file, sistemi e backup e richiede un riscatto; una buona cifratura non si può violare.
- Il ransomware entra tramite phishing, password rubate, sistemi non aggiornati connessi a internet, gestione da remoto o un fornitore; successivamente l'aggressore spesso osserva prima l'ambiente.
- Un backup collegato al computer o raggiungibile con lo stesso account viene spesso cifrato insieme al resto.
- Nella doppia estorsione, i dati vengono prima rubati; in quel caso un backup non aiuta contro la minaccia di pubblicazione, e si tratta di una violazione dei dati.
- È preferibile non pagare; ripristini da un backup, verifichi su No More Ransom se esiste un decryptor e sporga denuncia.
Quiz
Esercizio
Esercizio D1.3: E se succedesse stanotte? Verifichi per la Sua azienda cosa potrebbe cifrare il ransomware stanotte. Scriva dove si trovano i Suoi backup, se sono raggiungibili da un normale computer di lavoro o con un account normale, e quali sistemi sono connessi a internet. Risponda poi alle domande di riflessione.
Esercizio D1.3: E se succedesse stanotte?
Come procedere: (1) Faccia un elenco di tutti i luoghi dove si trovano i file importanti: PC, laptop, disco di rete, spazio cloud, e-mail, contabilità, sito web. (2) Scriva per ogni luogo dove si trova il backup, e se quel backup è raggiungibile da un normale computer di lavoro o con un account usato quotidianamente. (3) Verifichi quali sistemi sono collegati a internet e raggiungibili dall'esterno (VPN, gestione remota, NAS, router, sito web), e quando sono stati aggiornati l'ultima volta. (4) Verifichi se esiste almeno una copia che un ransomware non può raggiungere (scollegata, in un cassetto, oppure presso una terza parte separata con un proprio accesso). (5) Consulti una volta sola https://www.nomoreransom.org per capire come funziona il sito, così lo sa già se dovesse servirLe.
Le Sue spunte e note restano solo in questo browser; non le inviamo da nessuna parte. Se ha effettuato l'accesso, conserviamo in I miei corsi solo il fatto che ha svolto l'esercizio.
Per approfondire
I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori il funzionamento è analogo.