Che cos'è il ransomware? Esempi, prevenzione e rilevamento

Scopri la definizione, la storia e l'impatto del ransomware sulle aziende. Scopri come si diffonde il ransomware, i suoi tipi e le migliori pratiche di prevenzione e rilevamento del ransomware per mantenere la tua organizzazione al sicuro.

Si è registrato un aumento degli attacchi ransomware, con oltre 5.414 attacchi subiti da organizzazioni in tutto il mondo nel 2024, pari a un aumento dell'11% rispetto all'anno precedente. Questa escalation è dovuta al phishing, agli exploit kit e ai servizi cloud vulnerabili che i criminali sfruttano per perpetrare attività fraudolente. Le piccole e grandi imprese sono a rischio di infiltrazioni, perdita di dati e tempi di inattività prolungati, con conseguenti perdite ingenti. Di conseguenza, diventa importante per le aziende migliorare la propria comprensione del ransomware e sviluppare contromisure contro gli attacchi ransomware.

In questo articolo definiremo cos'è un ransomware e in che modo rappresenta una minaccia per le organizzazioni aziendali. Successivamente, discuteremo le implicazioni per le organizzazioni, spiegheremo la storia del ransomware e descriveremo le diverse modalità di infezione. In questa sezione imparerete a conoscere i diversi tipi di ransomware e le tecniche utilizzate dai criminali informatici, oltre ad alcuni esempi di casi famosi di ransomware. Infine, ma non meno importante, discuteremo cosa sia un attacco ransomware, forniremo consigli su come prevenirlo e spiegheremo come SentinelOne migliora ciascuno di essi.

Che cos'è il ransomware?

Il ransomware è un tipo di malware che blocca o crittografa i file della vittima e poi richiede un riscatto per fornire la chiave di decrittazione. Il significato di ransomware si è diversificato fino a includere semplici screen locker e le più recenti e sofisticate crittografie che rubano dati in modo sistematico e poi minacciano di divulgarli. Il richieste di riscatto globali del 2024 sono state stimate in media a 2,73 milioni di dollari, e questa cifra ha messo le aziende di fronte al dilemma di perdere i propri dati o pagare una somma ingente.

L'infiltrazione è un atto aggressivo in cui l'aggressore sfrutta una debolezza del software bersaglio o le abitudini dei suoi utenti. In termini semplici, la la definizione di ransomware include una minaccia dirompente che non solo paralizza le operazioni organizzative, ma erode anche la fiducia dei consumatori. Per definire efficacemente il ransomware, è necessario comprenderne l'impatto, dall'infiltrazione iniziale ai vari livelli di crittografia. Passiamo quindi alla sezione successiva.

Impatto del ransomware sulle aziende

Un attacco ransomware può causare danni significativi a un'organizzazione: interrompere la produzione, bloccare i dati nei database o impedire ai lavoratori di accedere alle applicazioni. Il riscatto medio è aumentato, il che indica che i criminali sono diventati più sicuri di ottenere pagamenti ingenti. Indipendentemente dal fatto che si tratti della fuga di informazioni sui clienti o di un'interruzione che paralizza le operazioni aziendali, l'impatto va oltre le semplici perdite monetarie. Ecco quattro perdite significative che le aziende subiscono quando sono vittime di attacchi ransomware:

1. Interruzione delle operazioni: Quando i file o i server critici vengono bloccati, il personale non può lavorare sulle vendite ai clienti, sui registri dei dipendenti o sulle applicazioni di gestione della catena di fornitura e le linee di produzione si fermano. Qualsiasi interruzione, per quanto piccola, porta a ritardi negli ordini o alla cancellazione dei servizi, con conseguente perdita di fiducia da parte dei clienti. Il ripristino del ransomware può richiedere diversi giorni o settimane in caso di backup obsoleti o se anche i dati sono crittografati. Questo divario può causare gravi danni alla reputazione e perdite o cali di fatturato.
2. Perdita di dati e divulgazione di violazioni: I recenti attacchi ransomware tendono anche a includere il furto di dati. In questo scenario, gli aggressori chiedono denaro alle organizzazioni prese di mira in cambio della non divulgazione di determinate informazioni sui clienti o sui partner. In caso di fuga di notizie, potrebbero entrare in gioco norme di divulgazione obbligatoria, che potrebbero portare ad azioni normative e sanzioni. La combinazione di scenari di infiltrazione e fuga di notizie pubbliche descrive le potenziali minacce che il ransomware è in grado di rappresentare.
3. Danni finanziari e reputazionali: Oltre alla perdita finanziaria diretta sotto forma di riscatto, questi attacchi informatici possono comportare costose indagini forensi, ricostruzione dei sistemi e, in alcuni casi, azioni legali collettive. I clienti potrebbero passare ad altre aziende che potrebbero non avere problemi simili in futuro, e gli investitori potrebbero dubitare della capacità della leadership di gestire i rischi. Per prevenire tali infiltrazioni, gli assicuratori potrebbero decidere di aumentare i premi o addirittura di annullare le polizze assicurative. Alla fine, ricostruire un'immagine di marca danneggiata richiede tempo, a volte anche anni.
4. Erosione della fiducia degli stakeholder e dei clienti: Una volta rilevata una violazione, soggetti quali il consiglio di amministrazione, l'autorità di regolamentazione o i clienti chiave inizieranno a dubitare del livello di sicurezza. La mancanza di fiducia è costosa e può portare alla risoluzione del contratto o a requisiti più severi da parte del partner. Per rassicurarli, è necessario fornire prove di controlli più efficaci, scansioni continue e, non da ultimo, una formazione adeguata del personale. Quando un'organizzazione investe in un ransomware potente nella sicurezza informatica, crea ancora più sicurezza nel lungo periodo.

Storia del ransomware

Le origini del ransomware possono essere ricondotte ad alcuni semplici trojan estorsivi apparsi alla fine degli anni '80, fino ad arrivare agli attacchi più avanzati basati sulla crittografia. Questi attacchi si sono evoluti nel corso degli anni e, con l'aiuto di sofisticate tecniche di crittografia e strategie di occultamento, sono diventati una delle principali minacce al mondo della criminalità informatica. Nelle sezioni seguenti, identifichiamo quattro fasi per dimostrare come i criminali abbiano evoluto le loro strategie.

1. Il trojan PC Cyborg (fine degli anni '80): Sviluppato nel 1989, il "trojan AIDS" o "PC Cyborg" infettava il computer e poi richiedeva un pagamento per ripristinarne la funzionalità. Questo è stato il primo caso documentato che ha cambiato la definizione di attacco ransomware: software che crittografa dati specifici e richiede un pagamento. Sebbene relativamente rudimentale nel contesto delle definizioni contemporanee, ha gettato le basi concettuali per l'estorsione moderna. Il vettore di attacco era piuttosto semplice: il virus veniva diffuso tramite floppy disk infetti che venivano consegnati ai partecipanti a una conferenza.
2. Ransomware crittografico (primi anni 2000): All'inizio degli anni 2000 sono comparsi tipi più sofisticati di ransomware, che crittografavano i dati utilizzando algoritmi moderni come RSA o AES. Questi esempi di ransomware erano difficili da evitare poiché il rilevamento antivirus era lento. Gli aggressori richiedevano il pagamento tramite le prime forme di mezzi digitali o bonifici bancari, rendendo difficile per le forze dell'ordine rintracciare il denaro. Ciò ha portato allo sviluppo di altre forme di minacce alla sicurezza e gli esperti di sicurezza hanno iniziato a riferirsi ad esse con termini come "crypto-ransomware", associato ad algoritmi complessi.
3. Nuovi metodi di estorsione: Gli anni 2010 hanno visto un aumento del progresso delle tecniche utilizzate per perpetrare il crimine, tra cui il ransomware WannaCry nel 2017. Questo attacco basato su worm ha causato la chiusura di ospedali e aziende in poche ore in tutto il mondo. I criminali informatici hanno utilizzato exploit rubati alla NSA per dimostrare che anche i più potenti possono creare ondate incessanti di attacchi ransomware. Inoltre, è nato il RaaS (Ransomware as a Service), che consente ai nuovi arrivati di entrare nel business senza alcuna esperienza.
4. Doppia estorsione e uso geopolitico (dal 2020 al 2025): Oggi, gli attori informatici rubano inizialmente i dati e minacciano di renderli pubblici se le richieste non vengono soddisfatte, una pratica denominata doppia estorsione. Ciò induce le organizzazioni a considerare i costi che potrebbero sostenere in caso di fuga di dati, anche se dispongono di backup. Tuttavia, le campagne sponsorizzate dagli Stati a volte utilizzano il ransomware per scopi di spionaggio o distruttivi, rendendo difficile distinguere tra obiettivi monetari e politici. Attualmente, le minacce sono ancora più sofisticate rispetto al passato grazie all'uso di strumenti stealth, AI e molto specifici.

Come si diffonde il ransomware?

Spiegando il significato del termine "percorso di infezione del ransomware" si evince che esistono diversi modi attraverso i quali il ransomware può infiltrarsi in un sistema, che vanno dalle e-mail di spam con file allegati alle soluzioni cloud compromesse.

I criminali informatici adattano le loro strategie alle vulnerabilità di ciascun obiettivo, come server non protetti o dipendenti creduloni. Ecco cinque modi in cui i criminali distribuiscono il codice ransomware e lo integrano nell'infrastruttura di un'organizzazione:

1. E-mail di phishing e allegati dannosi: Phishing inducono i dipendenti ad aprire documenti dannosi o ad accedere a link che rimandano a siti web di hacker. Quando vengono avviate vulnerabilità di macro o script, ha inizio la crittografia o vengono attivate shell backdoor. Nonostante il personale sia stato formato a non cliccare su link o fornire informazioni personali nelle e-mail, il phishing continua a essere un metodo affidabile utilizzato dai criminali per introdursi nella rete aziendale. Le aziende che utilizzano filtri dei contenuti e gateway di posta elettronica sofisticati riducono notevolmente questi tassi di penetrazione.
2. Vulnerabilità software sfruttate: Il ransomware cerca framework, sistemi operativi o interfacce di sviluppo/test vulnerabili che non sono stati rimossi. Attraverso pacchetti o comandi accuratamente costruiti, i criminali ottengono il controllo ed eseguono il codice, installando il ransomware all'insaputa dell'utente. Questi angoli di infiltrazione sono limitati da patch tempestive, scansioni delle vulnerabilità e segmentazione. Una singola patch mancata può mettere in ginocchio intere strutture, come è stato evidente in attacchi su larga scala.
3. Attacchi al protocollo RDP (Remote Desktop Protocol): Credenziali inadeguate o riciclate per RDP consentono agli aggressori di indovinare o forzare l'accesso alle sessioni. Una volta infiltrati in una rete, gli aggressori agiscono rapidamente e diffondono il ransomware su diverse condivisioni o controller di dominio. Pertanto, misure quali l'utilizzo di più fattori per autenticare l'accesso, la limitazione dell'accesso RDP alla VPN o la semplice disattivazione dell'RDP esterno riducono significativamente i rischi. Questa sinergia rende impossibile ottenere l'accesso solo tramite una password rubata o indovinata.
4. Download drive-by e annunci pubblicitari dannosi: I siti web di phishing o gli ad server contaminati inviano payload ai browser che non sono stati aggiornati. Gli utenti possono visitare una pagina infetta o vedere accidentalmente un annuncio pubblicitario e, di conseguenza, attivare script nascosti che scaricano il ransomware. Gli antivirus sugli endpoint o i nuovi browser sono in grado di riconoscere tali script come dannosi, ma i normali dipendenti o i sistemi senza aggiornamenti sono vulnerabili. In combinazione con un sofisticato filtro dei contenuti, questo approccio riduce notevolmente le possibilità di infiltrazione drive-by.
5. Compromissione della catena di approvvigionamento: I criminali manomettono anche gli aggiornamenti software dei fornitori e distribuiscono patch infette o dipendenze di librerie. Una volta che l'organizzazione ottiene l'aggiornamento "ufficiale", il malware nascosto viene eseguito. Questo metodo di infiltrazione è aumentato in modo significativo, soprattutto in termini di incidenti di infiltrazione nella catena di approvvigionamento ad alto impatto. Per prevenire l'infiltrazione nella catena di approvvigionamento, alcune delle soluzioni possibili sono la verifica di ogni pacchetto software, l'adozione di controlli di firma del codice e la scansione delle librerie di nuova introduzione.

Tipi di ransomware

I tipi di ransomware si sono evoluti e ciascuno di essi presenta modalità diverse di crittografia, infiltrazione o estorsione. Alcuni ransomware bloccano lo schermo, altri divulgano informazioni. La consapevolezza di queste differenze aiuta a capire come costruire difese adeguate. Nella sezione seguente, descriviamo sette aree significative che si concentrano sullo sviluppo e la diversificazione del ransomware.

1. Crypto Ransomware: Queste varianti crittografano i dati dell'utente con algoritmi potenti e costringono le vittime ad acquistare la chiave di decrittografia. In genere, i criminali cercano di infettare intere directory o condivisioni aziendali particolarmente importanti per causare il massimo disagio possibile. Se anche i backup sono stati compromessi o non sono disponibili, le prospettive di recupero sono piuttosto scarse. Un numero significativo di ondate di infiltrazioni di alto profilo si concentra su estorsioni basate sulla crittografia.
2. Locker Ransomware: A differenza della crittografia, che blocca l'accesso degli utenti ai propri sistemi, i tipi di locker congelano il sistema operativo. La minaccia comporta il ripristino della normale accessibilità tramite il pagamento di un riscatto, anche se i file non sono crittografati. Tuttavia, la perdita di funzionalità del sistema può essere devastante sia per i luoghi di lavoro che per gli individui e le aziende. Per questo motivo, è possibile che alcuni dati siano ancora recuperabili se una forma avanzata di analisi forense riesce a sbloccare i ceppi, poiché questi non vengono sottoposti a crittografia.
3. Ransomware a doppia estorsione: I criminali informatici rubano i dati prima di crittografarli e minacciano di divulgarli o venderli ad altri se le richieste non vengono soddisfatte. Questa sinergia aumenta la pressione, poiché i backup da soli non proteggono i dati pubblici dalla fuga di informazioni. Di solito condividono campioni su siti web che divulgano dati, il che mette sotto pressione le organizzazioni in termini di reputazione o conseguenze legali. In doppia estorsione, anche se le vittime pagano il riscatto, non possono essere sicure che i loro dati rimarranno privati, poiché i criminali potrebbero venir meno alla parola data.
4. Ransomware-as-a-Service (RaaS): Nei modelli RaaS, gli autori delle minacce esperti offrono i loro strumenti, ovvero kit ransomware, ad affiliati con scarse competenze tecniche. Gli affiliati attaccano gli obiettivi, inviano parte del denaro estorto al gruppo e ampliano gli obiettivi da infettare. Questa collaborazione favorisce una fiorente economia di ruoli specializzati nell'infiltrazione, dai broker di accesso iniziale ai negoziatori. Il RaaS porta ad un aumento del numero di attacchi ransomware in tutto il mondo a causa del ridotto livello di competenza richiesto per eseguire tali attacchi.
5. Ransomware senza file: I ceppi senza file operano principalmente nella memoria e non richiedono molte risorse, il che significa che non scrivono molti dati sui dischi. Alcuni di questi processi potrebbero non essere rilevati dai tradizionali programmi antivirus o di scansione. Gli autori di malware utilizzano utilità di sistema, come PowerShell, per inviare i comandi di crittografia in modo nascosto. Per contrastare tali angoli di infiltrazione, le organizzazioni richiedono un rilevamento sofisticato basato sul comportamento, abbinato a un accesso limitato agli script.
6. Ransomware mobile: Progettate specificamente per smartphone o tablet, queste varianti bloccano l'accesso degli utenti ai propri dispositivi o crittografano i file archiviati localmente. I criminali informatici possono distribuire app pericolose utilizzando mercati di terze parti o incorporandole negli aggiornamenti. Attraverso l'uso di dati personali o credenziali aziendali presenti sul dispositivo, gli utenti sono costretti a pagare per il ripristino. Una solida barriera al download delle applicazioni e il backup regolare dei dispositivi ostacolano in modo significativo il successo delle infiltrazioni mobili.
7. Ransomware wiper: Un sottogruppo distruttivo è quello che si limita a cancellare o danneggiare i dati invece di fornire la decrittografia una volta pagato il riscatto. Sebbene possa assomigliare alle comunicazioni tradizionali dei ransomware, l'obiettivo reale può essere la distruzione o il disorientamento. I criminali informatici possono utilizzare ceppi wiper per interrompere le operazioni aziendali o persino sabotare infrastrutture essenziali. A causa della mancanza di una chiave di ripristino, l'unica speranza di recuperare i dati è attraverso il backup e un solido piano di risposta agli incidenti.

Per saperne di più: Tipi di attacchi ransomware

Vettori comuni di attacchi ransomware

Oltre alle vie di infiltrazione quali il phishing o le app non aggiornate, il ransomware utilizza diversi vettori e metodi per penetrare e diffondersi. Gli hacker sondano continuamente le vulnerabilità delle aziende, comprese le credenziali di accesso rubate e le connessioni dei partner sfruttate. Di seguito illustriamo cinque dei percorsi più comuni utilizzati e spieghiamo come i criminali passano dalla fase iniziale di violazione alla crittografia dei dati.

1. Phishing e ingegneria sociale: Prende di mira il personale tramite e-mail contenenti link a siti web falsi, altre e-mail o allegati infettati da macro che avviano il ransomware. Questi messaggi sono ulteriormente personalizzati per sembrare provenienti dalle risorse umane, dalla finanza o da qualsiasi fornitore familiare. Dopo che il codice è stato eseguito, il virus si replica rapidamente, prendendo di mira le directory locali o le condivisioni mappate. I filtri antispam, la consapevolezza degli utenti e l'uso dell'autenticazione a due fattori riducono il tasso di successo dell'infiltrazione.
2. Credential Stuffing & Password Spraying: Con un gran numero di account trapelati su Internet, i criminali informatici cercano di accedere alle VPN aziendali o all'accesso remoto utilizzando le stesse credenziali. Una volta identificato l'obiettivo, iniettano il malware nella rete e, nella maggior parte dei casi, lo camuffano come un utente autentico. Misure come politiche di passphrase complesse o la modifica forzata della password in un breve lasso di tempo riducono al minimo anche gli angoli di infiltrazione. Inoltre, la presenza di MFA e la riduzione del contesto dei dispositivi influiscono sui tassi di successo degli attacchi basati sulle password.
3. Kit di exploit e malvertising: Gli hacker prima iniettano il codice di exploit negli annunci o nei siti web che controllano e poi reindirizzano gli utenti verso le destinazioni da loro scelte. Nella fase successiva, i browser o i plug-in vulnerabili eseguono il ransomware. È anche importante notare che anche siti di notizie o di e-commerce affidabili possono cadere vittime dell'hosting di annunci pubblicitari se le reti pubblicitarie sono compromesse. Utilizzando filtri di contenuto, applicando patch ai browser e limitando l'uso dei plug-in, le organizzazioni possono prevenire tali tentativi di infiltrazione.
4. Servizi Desktop remoto e vulnerabilità VPN: RDP o soluzioni VPN più vecchie con CVE noti sono ancora configurate in modo errato e costituiscono le vie principali per un attacco riuscito. Questi endpoint vengono sottoposti a forza bruta o sfruttati dagli aggressori per scaricare ed eseguire direttamente il ransomware sui server di destinazione. Senza configurazioni robuste come il blocco degli account o gli aggiornamenti del firmware, questa infiltrazione rimane semplice. L'aggiunta di un secondo livello di protezione segmentando RDP dietro una VPN aziendale con MFA riduce anche queste lacune.
5. Compromissione della catena di fornitura: Gli aggiornamenti software provenienti da un fornitore o da una libreria affidabile vengono modificati dai criminali per consentire loro di introdurre moduli dannosi nel vostro ambiente. Quando gli aggiornamenti vengono integrati nei sistemi di patch o nelle pipeline di compilazione, il codice viene avviato. I gruppi RaaS acquistano anche l'accesso da fornitori compromessi, collegando così l'infiltrazione a obiettivi aziendali ancora più grandi. Le valutazioni dei rischi dei fornitori, le verifiche della firma del codice e la scansione impediscono queste vie nascoste di infiltrazione.

Come funziona il ransomware?

Conoscere nel dettaglio il funzionamento del ransomware aiuta a spiegare come si nasconde, quanto velocemente si evolve e quanto è pericoloso. Gli hacker utilizzano una combinazione di tecniche di infiltrazione e procedure di crittografia insieme alle famigerate richieste di riscatto, che possono essere piuttosto eteree ma potenti. Di seguito identificheremo cinque processi chiave che spiegano questo circolo vizioso:

1. Accesso iniziale e Consegna del payload: I criminali identificano un punto di ingresso, sia attraverso schemi di phishing, pacchetti di exploit o informazioni di accesso rubate, e introducono il malware. Questo payload controlla frequentemente l'architettura del sistema, la presenza di antivirus o i privilegi degli utenti. Se trova un ambiente favorevole, aumenta o crea sottomoduli. In questa fase, la rilevazione precoce può interrompere l'intera catena di infiltrazione.
2. Elevazione dei privilegi e movimento laterale: All'interno del sistema di destinazione, i criminali sfruttano le falle o le password predefinite per passare dal livello utente al livello amministratore. Si muovono quindi attraverso la rete, alla ricerca di condivisioni, server di backup o controller di dominio. Disattivando i log di sicurezza o gli agenti EDR, mascherano il progresso dell'infiltrazione. In questo modo, la sinergia garantisce che l'infiltrazione sia ampia prima dell'inizio della crittografia, ottenendo così il massimo effetto di disturbo.
3. Esfiltrazione dei dati e doppia estorsione: Negli attacchi moderni, i dati sensibili vengono esfiltrati su altri server prima che avvenga la crittografia. I criminali informatici chiedono un riscatto alle vittime in cambio della non divulgazione delle informazioni rubate. Questa sinergia intensifica le trattative per il riscatto: i backup non saranno sufficienti se la fuga di dati diventa probabile. La sinergia combina i concetti di infiltrazione ed estorsione, costringendo le organizzazioni prese di mira a considerare sia i costi operativi che quelli reputazionali.
4. Crittografia e blocco: Una volta che il malware è in posizione, la routine dannosa crittografa i file bersaglio utilizzando algoritmi di crittografia avanzati come AES o RSA, rendendo i file inaccessibili. Gli aggressori lasciano una richiesta di riscatto in cui chiedono il pagamento in criptovaluta e spesso fissano un limite di tempo. Questa crittografia può anche prendere di mira i backup se i criminali notano che sono collegati. Con il passare del tempo, diventa più aggressivo e inizia a interferire con il sistema di controllo del codice che cerca di ripristinare se stesso.
5. Negoziazione del riscatto e possibile decrittografia: In questo caso, alle vittime non resta altra scelta che pagare il riscatto o ripristinare i dati dai backup. I criminali di solito rilasciano lo strumento di decrittografia dopo aver ricevuto il riscatto, ma la qualità dello strumento può essere discutibile. Alcuni criminali divulgano comunque i dati, oppure le chiavi fornite non funzionano correttamente, aggravando la situazione. Disporre di un backup offline o air-gapped e di piani di ripristino collaudati può evitare di dover pagare i criminali.&

Fasi di un attacco ransomware

Sebbene le modalità specifiche di infiltrazione possano variare a seconda del tipo di ransomware o dell'ambiente in cui opera, la maggior parte degli attacchi ransomware segue una serie di fasi comuni. Ciò significa che fermarlo all'inizio, ad esempio bloccando il primo tentativo di sfruttamento, può impedire che la situazione peggiori. Di seguito abbiamo delineato le fasi comuni, dalla ricognizione alla fase finale di estorsione, e abbiamo spiegato in dettaglio come i criminali riescono sistematicamente a portare a termine la crittografia.

1. Ricognizione: Gli aggressori sondano le reti, ottengono le password da violazioni dei dati o ricercano i profili dei dipendenti su LinkedIn. Cercano obiettivi vulnerabili come server senza patch, porte aperte o persone con accesso ai dati. Questa sinergia permette di scoprire risorse di alto valore, come database finanziari o controller di dominio. Attraverso un'attenta analisi dell'ambiente, i criminali sono in grado di ideare modi e mezzi per penetrare in un'organizzazione.
2. Compromissione iniziale: Sulla base dei risultati di queste ricognizioni, i criminali lanciano malware o verificano i dettagli di accesso. Possono fingersi membri del personale o sfruttare vulnerabilità ben note nel software. Dopo aver violato il primo punto di ingresso, come i desktop, gli aggressori raccolgono ulteriori dettagli sull'ambiente. Ciò consente di stabilire infiltrazioni più profonde o movimenti laterali.
3. Elevazione dei privilegi e movimento laterale: Oggigiorno, gli aggressori sfruttano le vulnerabilità locali o la semplice forza bruta per ottenere permessi di dominio o root. Inoltre, scansionano le unità mappate, le condivisioni di rete o le API cloud alla ricerca di informazioni di alto valore. Controllando o aggirando i registri di sicurezza, impediscono che la loro infiltrazione venga individuata dai programmi di rilevamento. Questa sinergia significa che un utente compromesso può influenzare interi segmenti se non è in atto una microsegmentazione.
4. Esfiltrazione dei dati: Utilizzando i privilegi amministrativi, i criminali trasferiscono silenziosamente le informazioni a server esterni alla rete aziendale. Questo passo li prepara per una strategia di doppia estorsione in cui minacciano di divulgare i dati nel caso in cui il riscatto non venga pagato. Inoltre, aiuta i criminali a determinare l'ammontare potenziale del riscatto e la vulnerabilità dei dati. Spesso le vittime non si rendono conto della perdita di dati fino a quando non ricevono le richieste di riscatto o non viene rilevato un traffico insolito.
5. Crittografia e richiesta di riscatto: Infine, il codice crittografa i file importanti con una chiave forte e registra un messaggio su come decrittografare i file e l'importo di denaro richiesto per farlo. Gli autori delle minacce di solito richiedono il pagamento in criptovaluta e fissano un breve limite di tempo o minacciano di divulgare i dati rubati. Nei casi in cui anche i backup sono andati persi o il personale non è preparato, l'effetto immobilizza le operazioni per l'intera giornata. Questa fase finale suggella il successo dell'infiltrazione, a meno che l'attacco non venga rilevato e fermato o che i sistemi infetti non vengano rapidamente sottoposti a backup offline.

Metodi di attacco dei ransomware

I criminali utilizzano una varietà di tattiche e strategie di infiltrazione ed estorsione che mirano a diversi aspetti o comportamenti del personale. In questo modo, analizzando questi metodi di ransomware, le organizzazioni possono migliorare le loro difese in ogni punto di infiltrazione. Qui presentiamo cinque esempi per dimostrare quanto possano essere versatili e flessibili gli aggressori moderni:

1. Malspam & Spear Phishing: L'invio di e-mail è il metodo di infiltrazione più comune fino ad oggi, soprattutto di massa o mirato, che sfrutta la ingenuità dei dipendenti che scaricano allegati infetti o cliccano su link. Lo spear phishing consiste nell'invio di messaggi contenenti informazioni che i criminali hanno ottenuto dai social media o da precedenti attacchi hacker. Una volta eseguiti i macro o gli exploit kit, ha inizio la routine di crittografia o exfiltrazione. Per contrastare questo fenomeno, il successo dell'infiltrazione viene ridotto grazie all'uso di filtri e-mail avanzati, alla sensibilizzazione del personale e alla scansione dei link.
2. Kit di exploit e compromissione drive-by: Il malware viene iniettato nei siti web mirati o infetti o attraverso il malvertising. Qualsiasi browser o plug-in che non sia stato aggiornato con le ultime patch diventa una porta aperta non appena il personale accede al sito. È ancora possibile che anche le grandi reti pubblicitarie occasionalmente trasmettano annunci dannosi ai portali di siti legittimi. Questi angoli di infiltrazione sono severamente limitati da una rigorosa gestione delle patch e da un uso limitato dei plug-in.
3. Servizi remoti e attacchi RDP: Gli hacker sondano in modo proattivo gli endpoint RDP o le connessioni SSH con l'obiettivo di utilizzare credenziali predefinite o un CVE scoperto. Se l'autore dell'attacco ottiene i privilegi di amministratore di dominio o l'accesso al sistema operativo a livello di root, può installare routine di crittografia a livello di sistema. L'implementazione di misure quali l'autenticazione a più fattori o la limitazione dell'accesso remoto alle risorse dietro VPN o zero-trust riduce significativamente la probabilità di attacchi informatici riusciti. Il controllo ripetuto dei log alla ricerca di voci simili è un altro modo per identificare tempestivamente le operazioni di forza bruta.
4. Software trojanizzato e compromissione di terze parti: Gli autori degli attacchi si infiltrano negli aggiornamenti software autentici, come driver, plugin o librerie, e vi integrano codice ransomware. Le vittime, convinte di scaricare dal sito del fornitore o da un sito mirror, eseguono gli aggiornamenti, attivando così le procedure di infiltrazione. Questo esempio mostra perfettamente come la compromissione della catena di fornitura possa avere conseguenze di ampia portata. L'esame delle firme del codice, l'implementazione di una solida gestione dei rischi dei fornitori o l'utilizzo della scansione della pipeline consentono di sconfiggere questi vettori di infiltrazione nascosti.
5. Pivot laterale da altro malware: A volte, l'infiltrazione inizia con un trojan o un keylogger meno evidente che raccoglie furtivamente nomi utente o password. Gli aggressori procedono quindi al processo di crittografia vero e proprio una volta identificati i dati di valore. Il processo di crittografia del ransomware inizia prima che il personale si renda conto che qualcosa non va. Le soluzioni EDR basate sul comportamento sono in grado di rilevare un pivot anomalo, bloccando l'infiltrazione prima dell'ultimo attacco.

Esempi di attacchi ransomware

Quando si parla di ransomware, non ci sono dubbi su ciò di cui sono capaci i criminali: possono bloccare le operazioni o chiedere milioni di dollari per il loro rilascio. È quindi importante notare che anche le organizzazioni meglio attrezzate possono essere colte alla sprovvista se un punto di infiltrazione viene lasciato incustodito. Nella sezione seguente vengono presentati quattro casi per mettere in luce la gravità dell'infiltrazione, le reazioni delle aziende e i risultati.

1. LoanDepot (2024): A gennaio, uno dei maggiori istituti di credito ipotecario, LoanDepot, ha segnalato un attacco ransomware avvenuto dal 3 al 5 gennaio, che ha comportato la crittografia dei dati e il furto di informazioni sensibili dei clienti, causando l'interruzione del servizio per 16,6 milioni di consumatori. Alphv/BlackCat ha rivendicato la responsabilità dell'attacco, che si aggiunge alla lunga serie di violazioni significative compiute dal gruppo. Il recente attacco a LoanDepot è un esempio che dimostra come le aziende finanziarie che dispongono di una grande quantità di dati degli utenti siano particolarmente appetibili per gli estorsori.
2. Veolia (2024): Veolia North America, un'azienda che si occupa di riciclaggio di acqua ed energia, ha dichiarato di aver subito un attacco ransomware che ha reso inutilizzabili alcuni dei suoi sistemi di back-end. Sebbene le operazioni di trattamento delle acque non siano state interrotte, i servizi di fatturazione sono stati compromessi, causando disagi ai clienti. Ciò ha portato alla notifica agli utenti dopo che si è verificata una violazione parziale dei dati. Ciò dimostra che vi è un aumento degli attacchi mirati ai fornitori di infrastrutture critiche come mezzo per costringere al pagamento rapido del riscatto richiesto.
3. Ascension (2024): Ascension, un sistema sanitario con sede a St. Louis, ha rivelato a maggio che il ransomware ha colpito le cartelle cliniche elettroniche (EHR) e alcune linee telefoniche. Per oltre un mese, i pazienti hanno subito interruzioni nella programmazione degli appuntamenti e confusione nell'ordinazione dei farmaci. Alcune strutture hanno persino deviato le ambulanze, poiché il personale ha dovuto affrontare la settimana più intensa mai registrata. Questa sinergia dimostra come gli eventi pericolosi causati dal ransomware possano interrompere l'assistenza sanitaria fondamentale, minacciando non solo la stabilità degli ospedali, ma anche la vita dei pazienti.
4. Amministrazione comunale di Cleveland (2024): A giugno, gli hacker hanno bloccato la città di Cleveland, chiudendo il municipio per 11 giorni dopo un attacco che ha compromesso i sistemi di fatturazione e le procedure amministrative ufficiali. I dipendenti si sono affrettati a mettere in quarantena i computer colpiti e a cercare di recuperare i dati dalle copie. La città ha dichiarato che non avrebbe pagato il riscatto, anche se non era in grado di affermare con certezza se i dati fossero stati rubati. Questa sinergia dimostra come anche gli attacchi dannosi del ransomware possano paralizzare tutti i servizi municipali, influenzando la vita quotidiana dei residenti.

Come prevenire gli attacchi ransomware?

Per proteggersi dalle infiltrazioni non servono solo strumenti migliori, ma anche personale ben informato, impostazioni sicure e backup testati. Ecco perché nessuna misura è adeguata da sola, dato che i criminali cambiano continuamente strategia. Ecco cinque misure fondamentali che riducono drasticamente il rischio di infiltrazioni e accelerano la risoluzione dei problemi dopo un incidente:

1. Formazione completa del personale: Il phishing e il social engineering rimangono i metodi più diffusi utilizzati dagli aggressori per infiltrarsi nelle organizzazioni. Sessioni di formazione periodiche e simulazioni di attacchi di phishing aiutano i dipendenti a rimanere consapevoli delle potenziali minacce. Sfruttate altre misure di sicurezza per garantire che vengano utilizzate solo passphrase complesse invece di quelle semplici e facili da indovinare. Questa sinergia riduce il rischio che clic innocenti degli utenti o password riutilizzate mettano in pericolo intere reti.
2. Rendere obbligatoria l'autenticazione a più fattori: Anche se i criminali indovinano o ottengono le password, le autenticazioni a due fattori (come i codici inviati al telefono o i token di sicurezza fisici) rallentano gli intrusi. MFA è altamente raccomandata quando si accede a un account amministratore o di dominio per connessioni VPN o RDP remote. La sinergia riduce significativamente la probabilità di successo del credential stuffing. Nel tempo, altre soluzioni sofisticate, come il single sign-on abbinato a politiche basate sul contesto, migliorano l'autenticità.
3. Patching regolare e scansione delle vulnerabilità: L'implementazione tempestiva degli aggiornamenti del sistema operativo, delle applicazioni e del firmware mitiga gli angoli di infiltrazione identificati. La scansione regolare aiuta a rilevare CVE o vulnerabilità zero-day. Tali attività dovrebbero includere anche risorse effimere come container o server di sviluppo/test. Associando la scansione alle fusioni della pipeline, gli sviluppatori e gli operatori sono in grado di affrontare le vulnerabilità nel processo di sviluppo prima del rilascio in produzione.
4. Micro-segmentazione e architettura zero-trust: La suddivisione delle reti in segmenti impedisce il movimento laterale se gli aggressori penetrano in un server, un endpoint o una risorsa cloud. Il modello zero-trust verifica l'identità e l'autorizzazione di ogni richiesta, impedendo così l'accesso non autorizzato tramite credenziali rubate o indovinate. L'implementazione di perimetri definiti dal software o di regole VLAN altamente restrittive riduce al minimo le finestre di infiltrazione. Pertanto, la segmentazione, combinata con lo zero trust, garantisce che l'infiltrazione non si diffonda all'intero ambiente.
5. Backup air-gapped e esercitazioni di emergenza: È impossibile prevenire tutti i tipi di infiltrazione anche con le misure di sicurezza più robuste, motivo per cui è essenziale disporre di un backup offline. Controllare periodicamente i punti di ripristino per assicurarsi che i dati siano aggiornati e non siano stati danneggiati. Se i criminali crittografano la produzione, i backup offline possono essere utilizzati per ripristinare rapidamente i dati senza pagare un riscatto. In questo modo, attraverso l'uso di runbook per gli incidenti, il personale è in grado di gestire con facilità le infiltrazioni reali, riducendo così il verificarsi di disordini.

Rilevamento e rimozione del ransomware rimozione del ransomware

La prevenzione del ransomware non è sempre infallibile e l'infiltrazione può avvenire nel corso dello sfruttamento di una vulnerabilità zero-day o di un attacco di ingegneria sociale. Il rilevamento tempestivo del codice dannoso può interrompere la crittografia a metà processo, salvando così l'intero ambiente. Ecco cinque passaggi per riconoscere rapidamente i comportamenti pericolosi e coordinare le modalità di eliminazione del ransomware dopo che si è verificata un'infezione:

1. Protezione degli endpoint basata sul comportamento: Un antivirus basato solo sulle firme spesso è lento ad evolversi, poiché il codice cambia rapidamente e frequentemente. Le soluzioni EDR avanzate, invece, osservano i comportamenti in fase di esecuzione, come un nuovo processo che crittografa molti file contemporaneamente. Se un'anomalia è correlata a un modello di infiltrazione riconosciuto, viene gestita isolandola o mettendola in quarantena. Questa sinergia consente di rilevare in tempo reale programmi dannosi senza file o anche forme completamente nuove di programmi dannosi.
2. Monitoraggio delle anomalie di rete: I trasferimenti di dati al di fuori del normale orario di lavoro o un improvviso utilizzo elevato della larghezza di banda indicano un'esfiltrazione o una crittografia di massa. Gli strumenti SIEM o NDR possono rilevare tali modelli per avvisare il personale di approfondire la questione. L'esame della distribuzione del traffico e delle connessioni est-ovest può rivelare le fasi iniziali del pivot di infiltrazione. Ciò impedisce all'autore dell'attacco di prendere piede e crittografare tutti i file o trasmettere tutti i file rubati.
3. Strumenti di scansione ransomware: Alcuni software anti-ransomware sono progettati per cercare attivamente algoritmi di crittografia specifici, operazioni di rinominazione o estensioni di file che vengono tipicamente bloccati. Possono anche verificare la presenza di scritture parziali di ransomware o modifiche alle copie shadow del volume. Se attivati, interrompono il processo che ha causato il problema o ripristinano i file che sono stati alterati utilizzando il journaling. Oltre all'antivirus standard, questi scanner specifici riducono significativamente il tempo di infiltrazione.
4. Contenimento e ripristino automatizzati: Una volta attivato, un framework di automazione può spegnere gli host infetti e negare l'accesso alla rete, bloccando così il movimento laterale. Alcune delle soluzioni più sofisticate offrono funzionalità di "rollback" per acquisire lo stato del sistema e consentire al personale di riportarlo allo stato precedente all'infezione. Associando il contenimento alla fase di rilevamento, si impedisce ai criminali di muoversi lateralmente o di sottrarre dati. Ciò consente di risparmiare tempo nella finestra degli eventi, riducendo così l'impatto complessivo.
5. Rimozione del ransomware e pulizia forense: Dopo il contenimento, rimane sempre del codice che deve essere neutralizzato, i file di sistema devono essere controllati e tutti i possibili trigger devono essere eliminati. Ciò può includere la scansione dei programmi di avvio, dei programmi pianificati o dei registri alla ricerca di eventuali collegamenti dannosi. In caso di crittografia parziale, i file possono essere recuperati dalle copie di backup o decrittografati utilizzando strumenti di decrittografia. Un'analisi approfondita del ransomware dopo l'evento aiuta a perfezionare le regole di rilevamento future e a correggere i punti di infiltrazione.

Prevenire gli attacchi ransomware con SentinelOne

Il rilevamento autonomo delle minacce tramite IA di SentinelOne può aiutare le organizzazioni a combattere malware, ransomware, phishing e tutte le forme di minacce informatiche. Il suo Offensive Security Engine con Verified Exploit Paths è in grado di rilevare quando qualcosa non va, scoprire nuovi angoli di attacco e mitigarli prima che possano essere potenzialmente sfruttati.

L'avanzata protezione degli endpoint di SentinelOne è in grado di proteggere macchine virtuali, carichi di lavoro, cloud, container, utenti e identità. Purple AI, un analista di sicurezza informatica basato sull'intelligenza artificiale generativa, è in grado di fornire informazioni esclusive sugli aggressori e sui canali di sicurezza. Otterrete la migliore sicurezza dei canali CI/CD e una copertura di sicurezza adeguata. SentinelOne è in grado di rilevare oltre 750 tipi diversi di segreti e prevenire la fuga di credenziali cloud.

È possibile identificare account inattivi o dormienti ed eseguire la scansione alla ricerca di processi dannosi prima che possano assumere il controllo, dirottare account o escalare privilegi. SentinelOne è in grado di eseguire scansioni attive e passive in background e operare 24 ore su 24, 7 giorni su 7, inviando automaticamente avvisi ogni volta che si verificano problemi ed eliminando i falsi positivi.

Offre inoltre l'integrazione con Snyk e include un CNAPP olistico senza agenti in grado di fornire una protezione completa. Utilizzando le soluzioni SentinelOne, si garantisce anche la conformità continua con i quadri normativi quali SOC 2, NIST, HIPAA, CIS Benchmark e altri. Le organizzazioni possono anche combattere gli attacchi Active Directory ed Entra ID con le offerte della piattaforma.

Conclusione

Il ransomware rimane una delle minacce più pericolose per le aziende moderne, poiché mette a repentaglio i dati, i processi aziendali e la fiducia dei clienti. Quando si tratta di metodi di infiltrazione come il phishing, gli exploit kit o il movimento laterale, è molto più efficace analizzare gli approcci a livello individuale e sviluppare più livelli di protezione. Tuttavia, fermare l'infiltrazione è solo una parte della soluzione; identificare le attività dannose durante un attacco e disporre di sistemi di backup affidabili costituiscono gli altri due pilastri fondamentali. Che si tratti di un ambiente cloud di breve durata o di un server locale in uso da anni, la scansione, la formazione del personale e l'implementazione della microsegmentazione riducono significativamente il numero di vettori di ingresso.

Nessuna soluzione è sufficiente quando i criminali si adattano a nuove strategie di infiltrazione, come la doppia estorsione o l'integrazione di funzionalità worm avanzate. Tuttavia, i miglioramenti continui basati su politiche chiaramente definite, backup collaudati e soluzioni adattive soluzioni EDR mantengono sotto controllo le minacce di infiltrazione. Se combinate con uno scanner ransomware dedicato o una piattaforma di protezione degli endpoint basata sull'intelligenza artificiale come SentinelOne, il vostro ambiente ottiene il rilevamento in tempo reale insieme alla correzione automatica.

"

FAQs

Che cos'è il ransomware nella sicurezza informatica?

Il ransomware è un malware che blocca e crittografa i dati e i file. Impedisce l'accesso alle informazioni fino al pagamento di un riscatto agli autori dell'attacco. Quando infetta il sistema, il ransomware crittografa i file importanti e aggiunge estensioni come .darky. Se non si dispone di backup, si rischia di perdere l'accesso a tutte le proprie informazioni. Gli aggressori richiederanno il pagamento tramite e-mail o richieste di riscatto lasciate sul sistema per il recupero dei file.

Come rimuovere il ransomware?

È possibile rimuovere il ransomware isolando prima i dispositivi infetti dalla rete per impedirne la diffusione. Utilizza strumenti anti-malware per eseguire la scansione ed eliminare i file dannosi. Se disponi di una piattaforma di sicurezza come SentinelOne, questa rileverà e bloccherà automaticamente i processi del ransomware. Dovresti ripristinare i tuoi dati da backup puliti archiviati offline. Se non disponi di backup, avrai bisogno di strumenti di decrittografia specializzati, se esistenti per quella specifica variante di ransomware.

Che cos'è il Ransomware-as-a-Service (RaaS)?

Il RaaS è un modello di business in cui gli sviluppatori di ransomware vendono o affittano il loro software dannoso ad altri criminali che vogliono lanciare attacchi. I criminali che acquistano questi servizi sono chiamati affiliati. Pagheranno gli sviluppatori per utilizzare strumenti ransomware già pronti. Il modello RaaS rende facile per chiunque lanciare attacchi ransomware, anche se non sa programmare. Questi servizi sono pubblicizzati sui forum del dark web con supporto e dashboard.

Qual è la funzione principale del ransomware?

La funzione principale del ransomware è quella di far guadagnare denaro agli aggressori tenendo in ostaggio i tuoi dati. Crittograferà i tuoi file, database e applicazioni in modo che tu non possa più accedervi. Il ransomware visualizzerà quindi una richiesta di riscatto con le istruzioni per il pagamento. Se paghi, gli aggressori potrebbero fornirti una chiave di decrittazione per sbloccare i tuoi file. Minacceranno inoltre di pubblicare i tuoi dati sensibili su siti di divulgazione se non paghi.

È facile sbarazzarsi del ransomware?

Il ransomware non è facile da eliminare una volta che ha infettato il sistema. La crittografia che utilizza è quasi impossibile da decifrare senza la chiave di decrittazione. Se non si dispone di backup adeguati, ci si troverà in una situazione difficile. Se provi a rimuovere il ransomware stesso, puoi eliminare i file dannosi, ma i tuoi dati rimarranno crittografati. Dovresti concentrarti sulla prevenzione perché ripulire dopo un attacco è difficile e costoso.

Come si svolgono in genere gli attacchi ransomware?

Gli attacchi ransomware iniziano quando si fa clic su link e-mail dannosi o si scaricano file infetti. Il malware si installa quindi sul sistema e cerca file di valore da crittografare. Cercherà di diffondersi nella rete e nelle unità montate. Prima della crittografia, disabiliterà i processi di sicurezza ed eliminerà le copie shadow. Dopo la crittografia, riceverai una richiesta di riscatto con le istruzioni di pagamento e le scadenze, solitamente 24-48 ore.

Il ransomware è un tipo di malware?

Sì, il ransomware è un tipo di malware. Funziona infiltrandosi nel sistema, solitamente tramite e-mail di phishing o falle nella sicurezza. A differenza di altri malware che potrebbero rubare informazioni o danneggiare i sistemi, il ransomware ha un unico scopo: bloccare i file tramite crittografia fino al pagamento del riscatto. È possibile identificarlo dalle richieste di riscatto e dalle estensioni dei file come .darky o .crYpt aggiunte ai file. Esistono molte famiglie di ransomware, ciascuna con caratteristiche uniche.

È necessario pagare il riscatto?

Non dovresti pagare il riscatto, in nessun caso. Se paghi, non c'è alcuna garanzia che gli aggressori forniranno le chiavi di decrittazione o che non attaccheranno di nuovo. Potrebbero persino aumentare le loro richieste una volta saputo che sei disposto a pagare. Il pagamento finanzia inoltre le operazioni criminali e incoraggia ulteriori attacchi. È invece consigliabile segnalare l'incidente alle autorità competenti, come la CISA e l'IC3 dell'FBI, e ripristinare i dati utilizzando i backup.

Quali sono alcuni dei più famosi attacchi ransomware?

Tra gli attacchi ransomware più famosi vi è WannaCry, che nel 2017 ha colpito oltre 200.000 computer in 150 paesi. NotPetya ha causato danni per miliardi nello stesso anno. Colonial Pipeline è stata attaccata nel 2021, causando carenze di carburante. L'attacco alla JBS Foods ha interrotto le forniture di carne. L'attacco Kaseya VSA nel 2021 ha colpito fino a 1.500 aziende. Darkside, REvil e Conti sono gruppi noti per essere responsabili di molti attacchi di alto profilo.

Come riprendersi da un attacco ransomware?

Per riprendersi da un attacco ransomware, è necessario isolare immediatamente i sistemi infetti. Scollegare tutti i dispositivi dalla rete per contenere l'infezione. È quindi possibile utilizzare i backup offline per ripristinare i dati dopo aver pulito i sistemi infetti. Se non si dispone di backup, verificare la disponibilità di decryptor gratuiti da parte delle società di sicurezza. È inoltre necessario segnalare l'attacco alle autorità e rafforzare la sicurezza implementando l'autenticazione a più fattori (MFA) e aggiornamenti regolari.

In che modo il ransomware influisce sulle aziende?

Il ransomware danneggia le aziende ben oltre il semplice pagamento del riscatto. Quando gli aggressori crittografano i dati, le operazioni si interrompono completamente. Si dovranno affrontare costi di inattività, perdita di produttività e danni alle relazioni con i clienti. Se i dati sensibili vengono divulgati, si potrebbero incorrere in sanzioni normative e problemi legali. Dovrete inoltre sostenere spese per il ripristino, le indagini e il miglioramento della sicurezza. Il danno alla reputazione può durare anni dopo la risoluzione dell'attacco.