Un tempo gli attacchi ransomware erano considerati una minaccia principalmente rivolta al grande pubblico. Oggi invece si stanno rivolgendo semrpe più verso agenzie governative e aziende private. L’ondata di attività ha fatto predire al FBI perdite dovute ad estorsioni tramite Ransomware per un totale di 1 miliardo di dollari solo quest’anno.
Come descritto in un recente white paper Forcepoint sul tema (“Siete pronti per il Ransomware?”), chiediamoci cos’è il Ransomware e che cosa possiamo fare contro di esso. Innanzi tutto cos’è? in sintesi, il Ransomware è un tipo di malware che blocca l’accesso a dati e/o dispositivi, chiedendo il pagamento per “un servizio” che ne ripristini l’accesso. Fino a quando il riscatto non è pagato, i dati e/o dispositivi rimarranno bloccati. Il Ransomware esiste in 3 forme principali.
– Scareware. Si tratta di una richiesta di pagamento basata sulla minaccia di un’azione futura. Per il momento, i file e il sistema della vittima non sono in ostaggio.
– Lockers. In questo caso, lo schermo/il sistema dell’utente interessato è bloccato, e l’attaccante minaccia che rimarrà così fino al pagamento del riscatto.
– Crypto-ransomware. Una volta crittografati i file della vittima, l’hacker offre una chiave di decodifica, in cambio ovviamente di un controvalore. Il Crypto-ransomware può avere un impatto su file locali e su quelli ospitati su condivisioni di rete. I file crittografati che non possono essere recuperati finiscono per essere distrutti, il che potrebbe avere effetti devastanti.
Per rispondere in modo efficace ad un attacco, è fondamentale riconoscere queste forme. Una volta identificata la tipologia, la discussione verterà sulla decisione più difficile: dobbiamo pagare oppure no? Purtroppo, non ci sono risposte giuste o sbagliate. Per rendere la decisione ancora più difficile, gli attaccanti spesso mantengono le richieste relativamente convenienti e facili da pagare. Preferiscono raccogliere i soldi velocemente e passare subito al prossimo obiettivo.
A tal proposito Forcepoint fornisce le seguenti linee guida:
- Effettuare il pagamento è sempre un’opzione, ma non garantisce che i file crittografati o l’utilizzo dei dispositivi attaccati siano restituiti con successo. E’ anche possibile che l’attaccante torni nuovamente con ulteriori minacce o richieste.
- Prima di accettare i termini, chi decide deve valutare la disponibilità dei server di comando e controllo su cui è ospitata la chiave di decrittazione (si otterrà quello che si paga?); l’assenza o la presenza di errori nella routine di decriptazione (potrebbe essere possibile decifrare senza la chiave “ufficiale”) e quanto “affidabili” i cyber criminali sembrino rispetto alla realtà dei fatti (ci sono colleghi in altre aziende che hanno avuto successo nel recupero dei loro dati e dell’accesso ai dispositivi?).
I Ransomware prosperano tramite e-mail, attività Internet e social engineering
Il Ransomware è più che un semplice malware. Gli attacchi iniziano spesso con una e-mail di phishing e attraverso una infezione “drive-by” tramite una pagina web sospetta. I primi segnali dell’attacco sono spesso programmi infettati che invitano le vittime a scaricarli ed eseguirli o consegnati tramite allegati di posta elettronica (in particolare quelli creati in ambiente Microsoft Office). Vengono applicate tattiche di social engineering in continua evoluzione, spesso mirate, per indurre gli utenti ad effettuare il download o a cliccare su contenuti dannosi. Fatto questo, il Ransomware inizia subito ad enumerare tutte le unità del sistema compromesso per cercare i tipi di file di destinazione, e poi procede col crittografare rapidamente questi file.
Con i corretti strumenti di monitoraggio e di reporting è possibile rilevare e difendere la rete da tali attacchi prima che abbiano la possibilità di interrompere le operazioni e richiedere un riscatto. Un programma di formazione continua degli utenti sarebbe di grande aiuto: informare i dipendenti sui pericoli del Ransomware, fornire informazioni sul phishing ed incoraggiarli a segnalare e-mail o incidenti sospetti attraverso un programma facile da usare potrebbe evitare l’incidente di sicurezza. La forza lavoro di oggi è sempre meno sprovveduta da un punto di vista cyber, e può essere istruita ad identificare potenziali schemi di social engineering, controllare collegamenti ipertestuali sospetti e comprendere i rischi di aprire allegati inattesi o sconosciuti presenti nei messaggi email.
Mentre i Ransomware sembrano dominare le discussioni in ambito sicurezza informatica, in realtà non stiamo considerando nulla di nuovo. Le componenti principali sono basate sugli stessi principi di “penetrare e fare cose cattive” che hanno spinto gli hacker per decenni. Quindi le difese a copertura del ciclo di vita completo delle minacce (“Kill Chain”) sono particolarmente utili per la difesa contro i Ransomware … rilevamento esche (e-mail di phishing e siti web infetti), individuazione delle tattiche di evasione, riconoscimento degli exploit e blocco dei malware. L’analisi del comportamento degli utenti è un’arma potente anche nelle fasi successive dell’attacco, per la capacità di identificare le attività anomale di movimentazione dei file e di allertare l’IT così da risolvere l’attività in modo proattivo. Un’assegnazione più granulare dei diritti di accesso agli utenti può limitare l’accesso del ransomware ad una superficie di attacco più piccola all’interno della rete, riducendo al minimo il suo impatto. Un programma di backup affidabile è in grado di ridurre drasticamente il tempo di impatto e di recupero complessivo. Ci sono anche opzioni di backup economiche per chi lavora in movimento o in remoto.
Bisognerebbe quindi posizionare la propria organizzazione come altamente sorvegliata contro le minacce Ransomware. I truffatori sono noti per la loro pazienza, dopo tutto, ed il classico mantra “il tempo è denaro” di solito si adatta molto bene a loro. Se si rende abbastanza difficile per loro fare un rapido affare, probabilmente cambieranno bersaglio. Con i corretti strumenti di difesa dai malware, le procedure e gli sforzi di sensibilizzazione in atto, non sarà difficile ottenere questo risultato.
