Ma cosa è e come agisce un ransomware?

Un ransomware, spesso chiamato anche criptovirus, è un malware che come principale azione cripta rendendo indecifrabili all’utente, i file personali o aziendali. Altera il contenuto di mail, file di testo, file di calcolo, rendendolo illeggibile.
Il gruppo di attaccanti informatici che ha messo in rete tale strumento malevolo, lascia direttamente nelle nostre cartelle di file sul pc (o banalmente sul nostro desktop) le istruzioni su come mettersi in contatto con loro e su come pagare il riscatto, tramite pagamento elettronico, per esempio in bitcoin.
Solo dopo la ricezione del pagamento, i pirati digitali, rilasciano la chiave di decriptaggio dei nostri file.

Come inizia a propagarsi il file malevolo?

Solitamente tutti questi tipi di attacchi, iniziano con una mail apparentemente innocua, nel quale si cela un link che un utente ignaro del pericolo andrà a cliccare.
Questo link farà si che il pc dell’utente scarichi uno script che depositerà l’eseguibile criptante nella nostra rete, iniziando proprio dai dati delle condivisioni sul server aziendale, per poi proseguire sul proprio personal computer, e successivamente, tramite uno scan della rete, sui pc dei nostri colleghi all’interno della lan, diffondendosi a macchia d’olio.

In altri casi vengono sfruttate vulnerabilità note dei nostri sistemi: VPN, DVR di videosorveglianza, impianti d’allarme, per creare una breccia nella nostra LAN e poi l’attacco prosegue come sopra indicato.

Ma come posso fare a proteggermi?

>  La consapevolezza del personale digitale: innanzitutto la prima azione correttiva da apportare, è una adeguata formazione del personale che utilizza i terminali aziendali.

Qualsiasi azione digitale correttiva risulterà inefficace se il personale adotterà delle azioni poco prudenti nell’utilizzo di file, posta elettronica, sistemi di interscambio, dispositivi mobili.

>  L’analisi dei servizi aziendali in ingresso e la segmentazione: è necessario conoscere lo stato della rete aziendale, quali comunicazioni di rete ci sono, quali sono indispensabili e quali sono evitabili.

Inoltre è fondamentale conoscere quali servizi sono attualmente aperti verso l’esterno della azienda, telecamere di sorveglianza, centralini telefonici ecc, ed è necessario spostare tali servizi in ambienti di rete
separati quali le DMZ (De-Militarized Zone)

>  L’adozione di un buon sistema firewall: è norma di legge ed utilità dotarsi di un buon sistema di protezione perimetrale (Firewall) che vada a regolamentare le comunicazioni intra-rete e inter-rete analizzando il contenuto dei pacchetti che transitano ed iniziando a filtrare eventuali attacchi dall’esterno, intrusioni, siti indesiderati, applicazioni indesiderate, spam e phishing.

>  L’adozione di un antivirus su tutti i dispositivi interni: questo permette di sventare gli attacchi che abbiano superato la protezione perimetrale del firewall, nonché a proteggere i dispositivi dalle minacce provenienti dall’interno, per esempio pen drive usb, altri pc aziendali, ecc.

>  L’utilizzo di password complesse e diverse per ogni utente e ogni dispositivo: la stessa password ovunque, magari di pochi caratteri, agevolerebbe notevolmente un attaccante. Una volta trovata la credenziale, con la stessa potrebbe aprire qualsiasi risorsa aziendale. Rendiamogli la vita difficile!

>  Il backup FULL con disaster recovery: è fondamentale avere un backup completo di tutti i nostri sistemi, con l’opzione di ripristino in caso di disastro, tramite disco BMR (Bare Metal Recovery):
in caso di disastro appurato, ovvero tutti i nostri dati sono stati criptati, possiamo scegliere di non rimanere senza dati o di non cedere al riscatto, facendo il loro gioco e passando a nostra volta in una situazione di illegalità.
In questo caso, è sufficiente ripristinare dai backup i nostri server e pc, all’istante che precede la corruzione dei dati.

>  Mantenere più copie e versioni dei nostri backup, ognuna con credenziali differenti e posizioni diverse (in locale, in una sede remota, in cloud)