Cos'è il ransomware? Esempi, prevenzione e rilevamento

Si è registrato un aumento degli attacchi ransomware, con oltre 5,414 attacchi subiti dalle organizzazioni di tutto il mondo nel 2024, pari a un incremento dell'11% rispetto all'anno precedente. Questa escalation è dovuta a phishing, exploit kit e servizi cloud vulnerabili che i criminali sfruttano per compiere attività fraudolente. Le imprese, piccole e grandi, rischiano intrusioni, perdita di dati e interruzioni prolungate delle attività, con conseguenti perdite ingenti. Per questo è importante che le aziende comprendano meglio il ransomware e sviluppino contromisure contro i suoi attacchi.

In questo articolo definiremo che cos'è il ransomware e in che modo minaccia le aziende. Esamineremo poi le implicazioni per le organizzazioni, ripercorreremo la storia del ransomware e descriveremo le diverse modalità di infezione. In questa sezione scoprirete i diversi tipi di ransomware e le tecniche usate dai criminali informatici, oltre a esempi di casi noti. Infine, spiegheremo che cos'è un attacco ransomware, offriremo consigli per prevenirlo e illustreremo come SentinelOne rafforza ciascuna di queste misure.

Cos'è il ransomware?

Il ransomware è una forma di malware che blocca o crittografa i file della vittima e chiede un pagamento in cambio della chiave di decrittazione. Il termine ransomware comprende oggi sia i semplici programmi che bloccano lo schermo sia le più sofisticate varianti crittografiche, che sottraggono sistematicamente i dati e minacciano di divulgarli. Le richieste di riscatto globali del 2024 ammontavano in media a circa 2,73 milioni di dollari, ponendo le aziende di fronte alla scelta tra perdere i propri dati o pagare una somma ingente.

L'infiltrazione è un'azione aggressiva in cui l'attaccante sfrutta una debolezza del software preso di mira o le abitudini dei suoi utenti. In parole semplici, il ransomware è una minaccia dirompente che non solo paralizza le attività aziendali, ma erode anche la fiducia dei clienti. Per comprendere appieno cos'è il ransomware, occorre conoscerne l'impatto, dall'infiltrazione iniziale ai diversi livelli di crittografia. Passiamo quindi alla sezione successiva.

L'impatto del ransomware sulle aziende

Un singolo attacco ransomware può causare gravi danni a un'azienda: bloccare la produzione, rendere inaccessibili i dati nei database o impedire ai dipendenti di accedere alle applicazioni. Il riscatto medio è aumentato, segno che i criminali sono sempre più sicuri di ottenere pagamenti ingenti. Che si tratti della divulgazione dei dati dei clienti o di un'interruzione che paralizza le attività aziendali, le conseguenze vanno ben oltre le perdite economiche. Ecco quattro danni significativi che le aziende subiscono quando sono vittime di attacchi ransomware:

1. Interruzione delle attività: Quando file o server critici vengono bloccati, il personale non può usare le applicazioni per le vendite, i dati dei dipendenti o la gestione della supply chain. Anche le linee di produzione si fermano. Ogni interruzione, per quanto breve, causa ritardi negli ordini o la cancellazione di servizi, compromettendo la fiducia dei clienti. Il ripristino dopo un attacco ransomware può richiedere giorni o settimane se i backup sono obsoleti o se anche i dati di backup sono crittografati. Il prolungarsi dell'interruzione può causare gravi danni alla reputazione e perdite di fatturato.
2. Perdita di dati e divulgazione delle violazioni: Gli attacchi ransomware recenti spesso comportano anche il furto di dati. In questi casi, gli attaccanti chiedono denaro alle organizzazioni colpite in cambio della mancata divulgazione di informazioni su clienti o partner. Se i dati vengono diffusi, possono scattare obblighi di notifica, con possibili provvedimenti normativi e sanzioni. La combinazione di infiltrazione e diffusione pubblica dei dati mostra la portata delle minacce poste dal ransomware.
3. Danni finanziari e alla reputazione: Oltre alla perdita economica diretta dovuta al pagamento del riscatto, questi attacchi informatici possono comportare costose indagini forensi, la ricostruzione dei sistemi e, in alcuni casi, azioni legali collettive. I clienti potrebbero rivolgersi ad altre aziende che potrebbero non avere problemi simili in futuro e gli investitori potrebbero dubitare della capacità della dirigenza di gestire i rischi. Per prevenire simili infiltrazioni, le compagnie assicurative potrebbero aumentare i premi o persino annullare le polizze. Alla fine, ricostruire un'immagine del marchio danneggiata richiede tempo, a volte persino anni.
4. Perdita di fiducia di stakeholder e clienti: Una volta rilevata una violazione, il consiglio di amministrazione, l’autorità di regolamentazione o i clienti chiave inizieranno a dubitare del livello di sicurezza. La perdita di fiducia ha un costo e può portare alla risoluzione dei contratti o a requisiti più severi da parte dei partner. Per rassicurarli, occorre dimostrare di aver rafforzato i controlli, di eseguire scansioni continue e, non da ultimo, di formare adeguatamente il personale. Quando un’organizzazione investe in solide difese contro il ransomware nell’ambito della cybersecurity, rafforza la fiducia anche nel lungo periodo.

La storia del ransomware

Le origini del ransomware risalgono ai semplici trojan estorsivi comparsi alla fine degli anni '80, prima degli attacchi più avanzati basati sulla crittografia. Nel corso degli anni, questi attacchi si sono evoluti. Grazie a tecniche di crittografia sofisticate e strategie furtive, sono diventati una delle principali minacce nel panorama del cybercrime. Nelle sezioni seguenti individuiamo quattro fasi che mostrano come i criminali hanno evoluto le proprie strategie.

1. Il trojan PC Cyborg (fine anni '80): Sviluppato nel 1989, “AIDS Trojan” o “PC Cyborg” infettava il computer e poi chiedeva un pagamento per ripristinarne le funzionalità. Fu il primo caso documentato a ridefinire l'attacco ransomware: un software che cifra dati specifici e richiede un pagamento. Sebbene relativamente rudimentale rispetto alle definizioni attuali, gettò le basi concettuali delle moderne forme di estorsione. Il vettore di attacco era piuttosto semplice, il virus si diffondeva tramite floppy disk infetti distribuiti ai partecipanti a una conferenza.
2. Ransomware crittografico (primi anni 2000): Nei primi anni 2000 comparvero tipi di ransomware più sofisticati, che cifravano i dati con algoritmi moderni come RSA o AES. Questi ransomware erano difficili da evitare perché il rilevamento da parte degli antivirus era lento. Gli aggressori chiedevano pagamenti tramite le prime modalità digitali o bonifici bancari, rendendo difficile alle forze dell’ordine tracciare il denaro. Questo portò allo sviluppo di altre forme di minacce alla sicurezza, che gli esperti iniziarono a chiamare con termini come ‘crypto-ransomware,’ associato ad algoritmi complessi.
3. Nuovi metodi di estorsione: Negli anni 2010, le tecniche usate per condurre questi attacchi sono diventate sempre più avanzate. Tra gli esempi figura il ransomware WannaCry nel 2017. Questo attacco basato su un worm ha bloccato ospedali e aziende in tutto il mondo nel giro di poche ore. I criminali informatici hanno usato exploit sottratti alla NSA, dimostrando che persino gli strumenti delle organizzazioni più potenti possono alimentare ondate incessanti di attacchi ransomware. Inoltre, è nato il modello RaaS (Ransomware as a Service), che ha aperto questo mercato anche a chi non aveva esperienza.
4. Doppia estorsione e uso geopolitico (dagli anni 2020 al 2025): Oggi, gli attori delle minacce informatiche sottraggono i dati e minacciano di divulgarli pubblicamente se le loro richieste non vengono soddisfatte—una pratica nota come doppia estorsione. Questo spinge le organizzazioni a valutare i costi di una fuga di dati, anche se dispongono di backup. Tuttavia, le campagne sponsorizzate da Stati usano talvolta il ransomware per spionaggio o scopi distruttivi, rendendo difficile distinguere gli obiettivi economici da quelli politici. Oggi le minacce sono ancora più sofisticate grazie all'uso di tecniche furtive, IA e strumenti altamente specifici.

Come si diffonde il ransomware?

Esaminare le vie di infezione del ransomware mostra che può infiltrarsi in un sistema in diversi modi, dalle email di spam con allegati ai servizi cloud compromessi.

I criminali informatici adattano le proprie strategie alle vulnerabilità di ogni bersaglio, come server non protetti o dipendenti che si lasciano ingannare. Ecco cinque modi in cui distribuiscono il codice ransomware e lo introducono nell'infrastruttura di un'organizzazione:

1. Email di phishing e allegati dannosi: Le email di le email ingannano i dipendenti inducendoli ad aprire documenti dannosi o a visitare link che conducono ai siti web degli hacker. Quando vengono eseguite macro o sfruttate vulnerabilità degli script, inizia la cifratura, oppure si attivano shell di backdoor. Nonostante i dipendenti siano stati formati a non fare clic sui link o a non fornire informazioni personali nelle email, il phishing rimane un metodo affidabile per i criminali per penetrare nella rete aziendale. Le aziende che utilizzano filtri dei contenuti e gateway email sofisticati riducono notevolmente questi tassi di penetrazione. ingannano i dipendenti inducendoli ad aprire documenti malevoli o accedere a link che portano a siti degli hacker. Quando vengono attivati macro o vulnerabilità di script, inizia la cifratura o vengono attivati shell di backdoor. Nonostante la formazione del personale a non cliccare su link o fornire informazioni personali via email, il phishing continua a essere un metodo affidabile per entrare nella rete aziendale. Le aziende che utilizzano filtri di contenuto e gateway email sofisticati riducono notevolmente questi tassi di penetrazione.
2. Sfruttamento delle vulnerabilità del software: Il ransomware prende di mira framework e sistemi operativi vulnerabili, oppure interfacce di sviluppo o test lasciate attive. Con pacchetti o comandi predisposti ad hoc, i criminali ottengono il controllo ed eseguono il codice, installando il ransomware all'insaputa dell'utente. Applicare tempestivamente le patch, eseguire scansioni delle vulnerabilità e segmentare la rete limita queste vie di infiltrazione. Una sola patch mancante può bloccare intere infrastrutture, come dimostrano gli attacchi su larga scala.
3. Attacchi tramite Remote Desktop Protocol (RDP): Credenziali inadeguate o riutilizzate per le sessioni RDP danno agli attaccanti la possibilità di accedervi indovinando la password o usando attacchi brute force. Una volta nella rete, si muovono rapidamente e diffondono il ransomware su più condivisioni o domain controller. Misure come l'autenticazione a più fattori, la limitazione dell'accesso RDP alla VPN o la disattivazione dell'accesso RDP dall'esterno riducono notevolmente i rischi. Insieme, impediscono l'accesso con una sola password rubata o indovinata.
4. Download drive-by e annunci dannosi: I siti di phishing o i server pubblicitari compromessi inviano payload ai browser non aggiornati. I dipendenti possono visitare una pagina infetta o visualizzare accidentalmente un annuncio e, di conseguenza, attivare script nascosti che scaricano il ransomware. Gli antivirus sugli endpoint o i browser aggiornati possono riconoscere questi script come dannosi, ma i dipendenti e i sistemi privi di aggiornamenti restano vulnerabili. Insieme a un filtro avanzato dei contenuti, questo approccio riduce notevolmente il rischio di infiltrazioni drive-by.
5. Compromissione della supply chain: I criminali manomettono anche gli aggiornamenti software dei fornitori e distribuiscono patch o dipendenze di librerie infette. Quando l'organizzazione installa l'aggiornamento «ufficiale», il malware nascosto viene eseguito. Questa via di infiltrazione si è diffusa notevolmente, soprattutto negli incidenti di compromissione della supply chain ad alto impatto. Per prevenirla, occorre verificare ogni pacchetto software, controllare le firme del codice ed eseguire scansioni delle librerie appena introdotte.

Tipi di ransomware

I tipi di ransomware si sono evoluti e ciascuno usa modalità diverse di crittografia, infiltrazione o estorsione. Alcuni bloccano lo schermo, altri divulgano informazioni. Conoscere queste differenze è essenziale per costruire difese adeguate. Nella sezione seguente descriviamo sette categorie che illustrano l'evoluzione e la diversificazione del ransomware.

1. Ransomware crittografico: Queste varianti crittografano i dati degli utenti con algoritmi avanzati e costringono le vittime ad acquistare la chiave di decrittazione. Di norma, i criminali cercano di infettare intere directory o condivisioni aziendali essenziali per causare il massimo danno operativo. Se anche i backup sono colpiti, o non esistono, le prospettive di ripristino sono scarse. Molte ondate di attacchi di grande risonanza si basano sull'estorsione tramite crittografia.
2. Ransomware che blocca il dispositivo: A differenza del ransomware che cifra i file e impedisce agli utenti di accedervi, le varianti locker bloccano il sistema operativo. La minaccia impone di pagare per ripristinare il normale accesso, anche se i file non sono cifrati. Tuttavia, la perdita di funzionalità del sistema può essere altrettanto devastante per i luoghi di lavoro, le persone e le aziende. Per questo, parte dei dati potrebbe ancora essere recuperabile se un’analisi forense avanzata riesce a sbloccare queste varianti, poiché i file non sono cifrati.
3. Ransomware a doppia estorsione: I criminali informatici rubano i dati prima di crittografarli e minacciano di divulgarli o venderli se le loro richieste non vengono soddisfatte. Questo aumenta la pressione sulle vittime, perché i backup da soli non impediscono la diffusione pubblica dei dati. Spesso pubblicano campioni dei dati su siti dedicati alle fughe di informazioni, esponendo le organizzazioni a danni reputazionali o conseguenze legali. Nella doppia estorsione, anche se pagano il riscatto, le vittime non possono essere certe che i loro dati restino privati: i criminali potrebbero non mantenere la parola.
4. Ransomware-as-a-Service (RaaS): Nei modelli RaaS, gli attori delle minacce più esperti offrono i propri strumenti, ovvero kit ransomware, ad affiliati con competenze tecniche limitate. Gli affiliati attaccano i bersagli, versano al gruppo una parte del denaro estorto e ampliano il numero di bersagli da infettare. Questa collaborazione alimenta una fiorente economia di ruoli specializzati nell'infiltrazione, dai broker di accesso iniziale ai negoziatori. Il RaaS aumenta il numero di attacchi ransomware nel mondo perché per condurli servono meno competenze.
5. Ransomware fileless: Le varianti fileless operano principalmente in memoria e consumano poche risorse, quindi scrivono pochi dati su disco. Alcuni di questi processi potrebbero sfuggire agli antivirus o agli strumenti di scansione tradizionali. Gli autori del malware usano utilità di sistema come PowerShell per eseguire di nascosto i comandi di crittografia. Per contrastare queste vie di infiltrazione, le organizzazioni devono combinare un rilevamento comportamentale avanzato con restrizioni sull'esecuzione degli script.
6. Ransomware mobile: Progettate specificamente per smartphone o tablet, queste varianti bloccano l'accesso degli utenti ai dispositivi o cifrano i file archiviati localmente. I cybercriminali possono distribuire app pericolose tramite marketplace di terze parti o incorporarle negli aggiornamenti. Sfruttando i dati personali o le credenziali aziendali presenti sul dispositivo, costringono le vittime a pagare per ripristinare l'accesso. Una barriera rigorosa al download delle app e backup regolari del dispositivo riducono notevolmente le probabilità di infiltrazione sui dispositivi mobili.
7. Ransomware wiper: Questa categoria distruttiva elimina o danneggia i dati anziché fornire una chiave di decifratura dopo il pagamento. Sebbene le comunicazioni possano somigliare a quelle dei ransomware tradizionali, il vero obiettivo può essere la distruzione o il disorientamento. I cybercriminali possono usare varianti wiper per interrompere le attività aziendali o persino sabotare infrastrutture essenziali. In assenza di una chiave di ripristino, l'unica speranza di recuperare i dati risiede nei backup e in un solido piano di risposta agli incidenti.

Scoprite di più: Tipi di attacchi ransomware

Vettori più comuni degli attacchi ransomware

Oltre a vie di infiltrazione come il phishing o le app prive di patch, il ransomware sfrutta diversi vettori per penetrare nei sistemi ed espandere l'attacco. Gli hacker sondano costantemente le vulnerabilità delle aziende, sfruttando anche credenziali rubate e connessioni compromesse dei partner. Qui descriviamo cinque dei percorsi più comuni e spieghiamo come i criminali passano dalla violazione iniziale alla cifratura dei dati.

1. Phishing e ingegneria sociale: Questa tecnica prende di mira il personale con email contenenti link a siti web falsi, altre email o allegati con macro infette che avviano il ransomware. I messaggi vengono adattati per sembrare inviati dalle risorse umane, dall'ufficio finanziario o da un fornitore conosciuto. Una volta eseguito, il codice malevolo si replica rapidamente e prende di mira le directory locali o le condivisioni mappate. Filtri antispam, formazione degli utenti e autenticazione a due fattori riducono le probabilità di infiltrazione.
2. Credential stuffing e password spraying: Con un gran numero di account compromessi su Internet, i cybercriminali cercano di accedere alle VPN aziendali o ai sistemi di accesso remoto usando le stesse credenziali. Una volta individuato l’obiettivo, introducono il malware nella rete e, nella maggior parte dei casi, lo camuffano da utente legittimo. Anche misure come politiche che impongono passphrase complesse o il cambio obbligatorio della password a intervalli ravvicinati riducono le possibilità di infiltrazione. Inoltre, l’MFA e le restrizioni basate sul contesto del dispositivo riducono le probabilità di successo degli attacchi basati sulle password.
3. Exploit kit e malvertising: Gli hacker inseriscono prima il codice exploit negli annunci o nei siti web sotto il loro controllo, poi reindirizzano gli utenti verso le destinazioni scelte. A quel punto, browser o plug-in vulnerabili eseguono il ransomware. Anche siti di notizie o di e-commerce affidabili possono ospitare annunci malevoli se le reti pubblicitarie vengono compromesse. Filtri dei contenuti, aggiornamenti dei browser e limitazioni all'uso dei plug-in impediscono questi tentativi di infiltrazione.
4. Servizi desktop remoto e vulnerabilità delle VPN: RDP o VPN datate, configurate in modo errato e con CVE note, restano tra le principali vie di attacco. Gli aggressori forzano le credenziali di questi endpoint o ne sfruttano le vulnerabilità per scaricare ed eseguire il ransomware direttamente sui server bersaglio. Senza configurazioni solide, come il blocco degli account o gli aggiornamenti del firmware, l'infiltrazione resta semplice. Collocare RDP dietro una VPN aziendale con MFA aggiunge un secondo livello di protezione e riduce queste lacune.
5. Compromissione della catena di fornitura: I criminali modificano gli aggiornamenti software di un fornitore o di una libreria affidabile per introdurre moduli malevoli nel vostro ambiente. Il codice viene eseguito quando gli aggiornamenti vengono integrati nei sistemi di gestione delle patch o nelle pipeline di build. I gruppi RaaS acquistano inoltre accessi da fornitori compromessi, raggiungendo così obiettivi aziendali ancora più grandi. La valutazione dei rischi dei fornitori, la verifica delle firme del codice e le scansioni contrastano queste vie di infiltrazione nascoste.

Come funziona il ransomware?

Conoscere nel dettaglio il funzionamento del ransomware chiarisce come si nasconde, quanto rapidamente si evolve e quanto è pericoloso. Gli hacker combinano tecniche di infiltrazione e procedure di cifratura con le famigerate richieste di riscatto, che possono sembrare astratte ma avere un forte impatto. Di seguito esaminiamo cinque processi chiave che spiegano questo ciclo:

1. Accesso iniziale e distribuzione del payload: I criminali individuano un punto di ingresso tramite phishing, exploit kit o credenziali rubate e introducono il malware. Il payload controlla spesso l'architettura del sistema, la presenza di antivirus e i privilegi dell'utente. Se trova un ambiente favorevole, espande o crea sottomoduli. In questa fase, il rilevamento precoce può interrompere l'intera catena di infiltrazione.
2. Escalation dei privilegi e movimento laterale: All'interno del sistema bersaglio, i criminali sfruttano falle o password predefinite per passare dai privilegi utente a quelli di amministratore. Si spostano poi nella rete alla ricerca di condivisioni, server di backup o controller di dominio. Disattivando i log di sicurezza o gli agenti EDR, nascondono l'avanzamento dell'infiltrazione. Questa combinazione estende l'infiltrazione prima che inizi la cifratura, massimizzando l'impatto sulle attività.
3. Esfiltrazione dei dati e doppia estorsione: Negli attacchi moderni, i dati sensibili vengono esfiltrati verso altri server prima della cifratura. I cybercriminali chiedono un riscatto alle vittime in cambio della mancata divulgazione delle informazioni rubate. Questa combinazione aumenta la pressione nelle trattative: i backup non bastano se i dati rischiano di essere divulgati. L'infiltrazione si unisce così all'estorsione, costringendo le organizzazioni colpite a valutare sia i costi operativi sia quelli reputazionali.
4. Cifratura e blocco dell'accesso: Una volta insediato, il malware cifra i file bersaglio con algoritmi crittografici avanzati come AES o RSA, rendendoli inaccessibili. Gli aggressori lasciano una nota di riscatto che richiede un pagamento in criptovaluta, spesso entro una scadenza. La cifratura può colpire anche i backup, se i criminali si accorgono che sono connessi. Con il tempo, l'attacco diventa più aggressivo e ostacola i tentativi di ripristino del sistema di controllo del codice.
5. Trattativa sul riscatto e possibile decifratura: In questa situazione, alle vittime non resta che pagare il riscatto o ripristinare i dati dai backup. Di solito i criminali rilasciano uno strumento di decifratura dopo il pagamento, ma la sua qualità può essere discutibile. Alcuni divulgano comunque i dati, oppure le chiavi fornite non funzionano correttamente, aggravando la situazione. Backup offline o isolati dalla rete e piani di ripristino collaudati possono evitare di pagare i criminali.

Fasi di un attacco ransomware

Sebbene le modalità di infiltrazione varino in base alla variante di ransomware o all'ambiente in cui opera, la maggior parte degli attacchi segue fasi comuni. Bloccare l'attacco all'inizio, per esempio fermando il primo tentativo di sfruttamento di una vulnerabilità, può evitare che la situazione peggiori. Di seguito descriviamo le fasi comuni, dalla ricognizione all'estorsione, e spieghiamo come i criminali arrivano sistematicamente a cifrare i dati.

1. Ricognizione: Gli aggressori sondano le reti, recuperano password da violazioni dei dati o esaminano i profili dei dipendenti su LinkedIn. Cercano bersagli vulnerabili, come server senza patch, porte aperte o persone che hanno accesso ai dati. Queste attività rivelano risorse di alto valore, come database finanziari o controller di dominio. Analizzando attentamente l'ambiente, i criminali individuano i modi per penetrare nell'organizzazione.
2. Compromissione iniziale: Sulla base dei risultati della ricognizione, i criminali distribuiscono malware o cercano credenziali di accesso. Possono fingersi dipendenti o sfruttare vulnerabilità note del software. Dopo aver compromesso un primo punto di ingresso, per esempio un computer desktop, raccolgono ulteriori informazioni sull'ambiente. Possono così approfondire l'infiltrazione o muoversi lateralmente.
3. Escalation dei privilegi e movimento laterale: Oggi gli aggressori sfruttano vulnerabilità locali o semplici attacchi brute force per ottenere privilegi di dominio o root. Esaminano anche unità mappate, condivisioni di rete e API cloud alla ricerca di informazioni di alto valore. Manipolando o aggirando i log di sicurezza, impediscono ai sistemi di rilevamento di individuare l'infiltrazione. Senza microsegmentazione, un solo utente compromesso può quindi mettere a rischio interi segmenti.
4. Esfiltrazione dei dati: Sfruttando i privilegi amministrativi, i criminali trasferiscono di nascosto le informazioni a server esterni alla rete aziendale. Questa fase prepara una strategia di doppia estorsione: minacciano di divulgare i dati se il riscatto non viene pagato. Li aiuta inoltre a stabilire l'importo del riscatto e a valutare la vulnerabilità dei dati. Spesso le vittime scoprono la perdita dei dati solo quando ricevono la richiesta di riscatto o rilevano traffico insolito.
5. Cifratura e richiesta di riscatto: Infine, il codice cifra i file importanti con una chiave robusta e lascia un messaggio che spiega come decifrarli e indica la somma richiesta. Gli attori delle minacce chiedono solitamente il pagamento in criptovaluta e impongono una scadenza ravvicinata oppure minacciano di divulgare i dati sottratti. Se anche i backup sono andati persi o il personale non è preparato, le operazioni possono restare paralizzate per l’intera giornata. Questa fase finale sancisce il successo dell’infiltrazione, a meno che l’attacco non venga rilevato e bloccato o non venga eseguito rapidamente un backup offline dei sistemi infetti.

Metodi degli attacchi ransomware

I criminali impiegano diverse tattiche di infiltrazione ed estorsione, mirate a vari aspetti o comportamenti del personale. Analizzando questi metodi ransomware, le organizzazioni possono rafforzare le difese in ogni punto di infiltrazione. Ecco cinque esempi della versatilità e della capacità di adattamento degli aggressori moderni:

1. Malspam e spear phishing: L’email resta il metodo di infiltrazione più comune, soprattutto nelle campagne di massa o mirate che sfruttano dipendenti poco preparati: scaricano allegati dannosi o fanno clic sui link. Lo spear phishing usa messaggi con informazioni raccolte dai criminali sui social media o tramite violazioni precedenti. Quando vengono eseguiti macro o exploit kit, inizia la routine di cifratura o esfiltrazione. Filtri email avanzati, consapevolezza del personale e scansione dei link bloccano sul nascere i tentativi di infiltrazione.
2. Exploit kit e compromissione drive-by: Il malware viene inserito nei siti web presi di mira o compromessi, oppure diffuso tramite malvertising. I browser e i plug-in privi delle ultime patch diventano una porta d'ingresso non appena il personale visita il sito. Persino le grandi reti pubblicitarie possono occasionalmente distribuire annunci malevoli sui portali di siti legittimi. Una gestione rigorosa delle patch e un uso limitato dei plug-in riducono drasticamente queste vie di infiltrazione.
3. Servizi remoti e attacchi RDP: Gli hacker sondano attivamente gli endpoint RDP o le connessioni SSH per sfruttare credenziali predefinite o una CVE individuata. Se ottengono privilegi di amministratore di dominio o accesso root al sistema operativo, possono installare routine di cifratura a livello di sistema. Misure come l'autenticazione a più fattori o la limitazione dell'accesso remoto alle risorse protette da VPN o da un'architettura zero-trust riducono significativamente la probabilità di attacchi informatici riusciti. Controllare regolarmente i log alla ricerca di voci simili è un altro modo per individuare tempestivamente i tentativi di attacco brute force.
4. Software trojanizzato e compromissione di terze parti: Gli attori malevoli compromettono aggiornamenti software autentici, come driver, plug-in o librerie, e vi integrano codice ransomware. Le vittime, convinte di scaricare gli aggiornamenti dal fornitore o da un sito mirror, li eseguono e avviano così l'infiltrazione. È un chiaro esempio delle ampie conseguenze di una compromissione della catena di fornitura. La verifica delle firme del codice, una rigorosa gestione dei rischi dei fornitori e la scansione delle pipeline contrastano questi vettori di infiltrazione nascosti.
5. Movimento laterale a partire da altri malware: A volte, l'infiltrazione inizia con un trojan o un keylogger meno evidente che raccoglie di nascosto nomi utente o password. Gli aggressori passano poi alla crittografia vera e propria dopo aver individuato i dati di valore. Il ransomware inizia a crittografare i file prima che il personale si accorga del problema. Le piattaforme EDR basate sul comportamento rilevano i movimenti anomali e bloccano l'infiltrazione prima dell'attacco finale.

Esempi di attacchi ransomware

Gli attacchi ransomware dimostrano fin dove possono spingersi i criminali – possono bloccare le attività o chiedere milioni di dollari per ripristinarle. Anche le organizzazioni con maggiori risorse possono essere colte di sorpresa se un punto di accesso resta senza protezione. La sezione seguente presenta quattro casi che mostrano la gravità delle infiltrazioni, le reazioni delle aziende e gli esiti.

1. LoanDepot (2024): A gennaio LoanDepot, uno dei maggiori erogatori di mutui ipotecari, ha segnalato un attacco ransomware avvenuto tra il 3 e il 5 gennaio. L’attacco ha comportato la cifratura dei dati e il furto di informazioni sensibili dei clienti, interrompendo i servizi per 16,6 milioni di consumatori. Alphv/BlackCat ha rivendicato l’attacco, che si aggiunge alle gravi violazioni già attribuite al gruppo. Il caso LoanDepot dimostra che le società finanziarie con grandi quantità di dati degli utenti sono particolarmente attraenti per gli estorsori.
2. Veolia (2024): Veolia North America, azienda attiva nel riciclo dell'acqua e dell'energia, ha dichiarato di aver subito un attacco ransomware che ha reso indisponibili alcuni dei suoi sistemi di back-end. Sebbene le operazioni di trattamento dell'acqua non siano state interrotte, i servizi di fatturazione sono stati colpiti, causando disagi ai clienti. A seguito di una violazione parziale dei dati, l'azienda ha inviato notifiche agli utenti. Questo episodio mostra un aumento degli attacchi mirati ai fornitori di infrastrutture critiche per ottenere rapidamente il pagamento del riscatto richiesto.
3. Ascension (2024): Ascension, un sistema sanitario con sede a St. Louis, ha rivelato a maggio che il ransomware aveva colpito le cartelle cliniche elettroniche (EHR) e alcune linee telefoniche. Per oltre un mese, i pazienti hanno subito disagi nella programmazione delle visite e confusione nell’ordinazione dei farmaci. Alcune strutture hanno persino reindirizzato le ambulanze mentre il personale affrontava la settimana più impegnativa mai registrata. Questa combinazione dimostra come i pericolosi episodi di ransomware interrompano servizi sanitari essenziali, minacciando non solo la stabilità degli ospedali ma anche la vita dei pazienti.
4. Amministrazione comunale di Cleveland (2024):A giugno, gli hacker hanno bloccato la città di Cleveland, costringendo il municipio a chiudere per 11 giorni dopo un attacco che ha compromesso i sistemi di fatturazione e le procedure amministrative ufficiali. I dipendenti si sono affrettati a isolare i computer colpiti e a tentare di recuperare i dati dalle copie di backup. La città ha dichiarato che non avrebbe pagato il riscatto, pur non potendo confermare se i dati fossero stati rubati. Questo caso dimostra come gli attacchi ransomware possano paralizzare tutti i servizi comunali e incidere sulla vita quotidiana dei residenti.

Come prevenire gli attacchi ransomware?

Per difendervi dalle infiltrazioni servono strumenti migliori, personale preparato, configurazioni sicure e backup verificati. Nessuna misura, da sola, è sufficiente: i criminali cambiano continuamente strategia. Ecco cinque misure fondamentali per ridurre drasticamente il rischio di infiltrazione e accelerare il ripristino dopo un incidente:

1. Formazione completa del personale: Il phishing e l'ingegneria sociale restano tra i metodi più usati dagli aggressori per infiltrarsi nelle organizzazioni. Sessioni di formazione periodiche e simulazioni di phishing mantengono alta l'attenzione dei dipendenti sulle potenziali minacce. Adottate anche altre misure di sicurezza per imporre l'uso di passphrase complesse anziché password semplici e facili da indovinare. Insieme, queste misure riducono il rischio che un clic inconsapevole o una password riutilizzata comprometta l'intera rete.
2. Rendete obbligatoria l'autenticazione a più fattori: Anche quando i criminali indovinano o ottengono una password, un secondo fattore di autenticazione (come un codice inviato al telefono o un token di sicurezza fisico) ne rallenta l'accesso. MFA è fortemente consigliata per accedere a un account amministratore o di dominio tramite connessioni VPN o RDP remote. Questa combinazione riduce sensibilmente le probabilità di successo degli attacchi di credential stuffing. Nel tempo, misure più avanzate, come il single sign-on associato a policy basate sul contesto, rafforzano la verifica dell'identità.
3. Aggiornamenti regolari e scansione delle vulnerabilità: Installate tempestivamente gli aggiornamenti del sistema operativo, delle applicazioni e del firmware per chiudere le vie di infiltrazione note. Le scansioni regolari individuano CVE appena divulgate o vulnerabilità zero-day. Includete anche le risorse temporanee, come container e server di sviluppo o test. Integrando le scansioni nei processi di merge della pipeline, i team di sviluppo e operativi possono correggere le vulnerabilità prima del rilascio in produzione.
4. Microsegmentazione e architettura zero trust: Suddividere la rete in segmenti ostacola il movimento laterale se gli aggressori compromettono un server, un endpoint o una risorsa cloud. L'approccio zero trust verifica identità e autorizzazioni per ogni richiesta, impedendo l'accesso non autorizzato tramite credenziali rubate o indovinate. Perimetri definiti dal software o regole VLAN molto restrittive riducono le opportunità di infiltrazione. Insieme, segmentazione e zero trust impediscono che un'infiltrazione si propaghi all'intero ambiente.
5. Backup isolati dalla rete ed esercitazioni di ripristino: È impossibile prevenire ogni tipo di intrusione anche con le misure di sicurezza più rigorose, per questo è essenziale disporre di un backup offline. Verificate periodicamente i punti di ripristino per assicurarvi che i dati siano aggiornati e non danneggiati. Se i criminali cifrano i dati di produzione, potete usare i backup offline per ripristinarli rapidamente senza pagare un riscatto. In questo modo, usando i runbook per la gestione degli incidenti, il personale gestisce più facilmente le intrusioni reali, riducendo la confusione.

Rilevamento e rimozione del ransomware

La prevenzione del ransomware non è infallibile: un'infiltrazione può avvenire sfruttando una vulnerabilità zero-day o un attacco di ingegneria sociale. Rilevare tempestivamente il codice malevolo può interrompere la crittografia mentre è in corso e salvare l'intero ambiente. Ecco cinque passi per riconoscere rapidamente i comportamenti pericolosi e coordinare la rimozione del ransomware dopo un'infezione:

1. Protezione degli endpoint basata sul comportamento: Un antivirus basato solo sulle firme spesso non si aggiorna abbastanza rapidamente quando il codice cambia di frequente. Le piattaforme EDR avanzate, invece, osservano i comportamenti durante l'esecuzione, per esempio quando un nuovo processo crittografa molti file contemporaneamente. Se un'anomalia corrisponde a uno schema di infiltrazione noto, il processo viene isolato o messo in quarantena. Questo approccio rileva in tempo reale anche le minacce fileless e i programmi malevoli completamente nuovi.
2. Monitoraggio delle anomalie di rete: Trasferimenti di dati fuori dall'orario di lavoro o picchi improvvisi nell'uso della banda possono indicare un'esfiltrazione o una crittografia su larga scala. Gli strumenti SIEM o NDR rilevano questi schemi e avvisano il personale affinché approfondisca. L'analisi della distribuzione del traffico e delle connessioni interne può svelare le prime fasi del movimento laterale. Un intervento tempestivo impedisce agli aggressori di consolidare l'accesso, crittografare tutti i file o trasmettere tutti i dati sottratti.
3. Strumenti di scansione del ransomware: Alcuni software anti-ransomware cercano attivamente algoritmi di crittografia specifici, operazioni di rinomina o estensioni di file tipiche dei file bloccati. Possono anche verificare la presenza di scritture parziali del ransomware o modifiche alle copie shadow dei volumi. Quando si attivano, terminano il processo responsabile o ripristinano i file modificati tramite journaling. Oltre ai normali antivirus, questi scanner specifici riducono notevolmente il tempo a disposizione degli aggressori.
4. Contenimento e ripristino automatizzati: Quando si attiva un sistema di automazione, può arrestare gli host infetti e bloccarne l'accesso alla rete, fermando il movimento laterale. Alcune piattaforme avanzate offrono funzionalità di ‘rollback’ che acquisiscono lo stato del sistema e permettono al personale di ripristinarlo a uno stato precedente all'infezione. Collegando il contenimento al rilevamento, impedite ai criminali di muoversi lateralmente o esfiltrare dati. Guadagnate tempo nella fase critica dell'incidente e ne riducete l'impatto complessivo.
5. Rimozione del ransomware e bonifica forense: Dopo il contenimento, occorre neutralizzare il codice residuo, controllare i file di sistema ed eliminare ogni possibile meccanismo di attivazione. Questo può richiedere la scansione dei programmi di avvio, delle attività pianificate e del registro alla ricerca di collegamenti malevoli. Se la crittografia è parziale, potete recuperare i file dai backup o decifrarli con strumenti dedicati. Un'analisi approfondita del ransomware dopo l'incidente affina le future regole di rilevamento e chiude le vie di infiltrazione.

Prevenite gli attacchi ransomware con SentinelOne

Il rilevamento autonomo delle minacce basato sull'intelligenza artificiale di SentinelOne contrasta malware, ransomware, phishing e ogni forma di minaccia informatica. Il suo Offensive Security Engine con Verified Exploit Paths rileva le anomalie, individua nuove vie di attacco e le neutralizza prima che vengano sfruttate.

La protezione avanzata degli endpoint di SentinelOne protegge VM, workload, ambienti cloud, container, utenti e identità. Purple AI, un analista di cybersecurity basato sull'IA generativa, offre insight preziosi sugli aggressori e sulle pipeline di sicurezza. Ottenete una protezione efficace delle pipeline CI/CD e una copertura di sicurezza adeguata. SentinelOne rileva oltre 750 tipi diversi di segreti e previene la divulgazione delle credenziali cloud.

Individuate gli account inattivi o inutilizzati e cercate i processi malevoli prima che possano prendere il controllo dei sistemi, compromettere gli account o aumentare i privilegi. SentinelOne esegue scansioni attive e passive in background e opera 24/7, inviandovi automaticamente avvisi quando emergono problemi ed eliminando i falsi positivi.

Integra inoltre Snyk e include una piattaforma CNAPP completa senza agenti, per una protezione a tutto tondo. Con le funzionalità di SentinelOne, mantenete anche la conformità continua a framework normativi come SOC 2, NIST, HIPAA, CIS Benchmark e altri. Le organizzazioni possono inoltre contrastare gli attacchi ad Active Directory ed Entra ID con le funzionalità della piattaforma.

Fai il tour

Rilevamento e risposta degli endpoint basati su AI.

Conclusione

Il ransomware resta una delle minacce più pericolose per le aziende moderne, perché mette a rischio i dati, i processi aziendali e la fiducia dei clienti. Per contrastare metodi di infiltrazione come phishing, exploit kit o movimento laterale, è molto più efficace analizzarli singolarmente e predisporre più livelli di protezione. Tuttavia, bloccare l’infiltrazione è solo una parte della soluzione; rilevare le attività dannose durante un attacco e disporre di sistemi di backup affidabili sono gli altri due pilastri. Che si tratti di un ambiente cloud temporaneo o di un server on-premises in uso da anni, le scansioni, la formazione del personale e la micro-segmentazione riducono notevolmente il numero dei vettori di ingresso.

Nessuna singola misura è sufficiente quando i criminali adottano nuove strategie di infiltrazione, come la doppia estorsione o l'integrazione di funzionalità avanzate dei worm. Tuttavia, miglioramenti continui basati su policy chiare, backup collaudati e piattaforme EDR adattive tengono sotto controllo le minacce di infiltrazione. Insieme a uno scanner dedicato al ransomware o a una piattaforma di protezione degli endpoint basata sull'IA come SentinelOne, garantiscono al vostro ambiente rilevamento in tempo reale e ripristino automatico.

Cybersicurezza alimentata dall'intelligenza artificiale

Elevate la vostra posizione di sicurezza con il rilevamento in tempo reale, la risposta automatica e la visibilità totale dell'intero ambiente digitale.

Richiedi una demo