Come difendersi efficacemente dal ransomware

Se seguirete attentamente le raccomandazioni descritte in questo articolo, non pagherete mai un riscatto, recupererete sempre i vostri dati e ridurrete al minimo le interruzioni a una durata che siete disposti ad accettare.

 

Alcuni dati interessanti

•  Ogni giorno nella Repubblica Ceca vengono denunciati 20 reati legati a un attacco informatico.
•  Negli ultimi 3 anni, il numero degli attacchi è raddoppiato.
•  Ogni anno, in media, per un attacco si paga il 25% in più.
•  Solo alcune organizzazioni si preparano in anticipo a un attacco. Le altre aspettano.
•  La domanda non è se l'attacco arriverà, ma quando arriverà.

Cos'è il ransomware

Il ransomware è un codice dannoso (malware) creato allo scopo di arricchire l'aggressore. Funziona secondo il principio dell'estorsione agli utenti. Gli utenti colpiti sono costretti a pagare per riottenere l'accesso (decrittografare i propri dati).

Come funziona il ransomware

Non appena il ransomware si infiltra in un computer o in una rete informatica, crittografa tutti i dati sui dischi locali, sui dischi esterni, nelle archiviazioni di rete, sul NAS e i dati sugli altri dispositivi. Grazie a protocolli vulnerabili (solitamente attraverso sistemi non aggiornati), il ransomware può raggiungere anche punti della rete e dispositivi che altrimenti sono molto ben protetti e normalmente inaccessibili. È inoltre molto insidioso il fatto che la crittografia non debba necessariamente iniziare subito dopo l'infezione, ma anche dopo un certo periodo di tempo. Una volta crittografati tutti i dati, l'aggressore chiede un riscatto. Di solito sui monitor dei dispositivi colpiti appare una richiesta di pagamento di una determinata somma entro un certo tempo e viene avviato un conto alla rovescia (ad esempio, pagate 5 Bitcoin entro 72 ore su un determinato conto Bitcoin). Se diventate vittime di un attacco ransomware e perdete tutti i dati, i sistemi e i backup, non resta che pagare il riscatto. Dopo il pagamento, gli aggressori dovrebbero inviare una chiave di decrittografia. Dopo averla inserita, dovrebbe avvenire la decrittografia dei vostri dati e quindi il loro ripristino allo stato originale.

Perché ora c'è così tanto ransomware e se ne sente parlare ovunque?

Semplicemente perché funziona ed è un modo molto facile per guadagnare denaro in modo illecito. Mentre in passato gli aggressori ransomware di successo provenivano dalle fila di programmatori molto bravi, con un carattere abbastanza corrotto da arricchirsi in questo modo, oggi basta avere quel carattere corrotto. Questo perché il ransomware può essere acquistato o persino noleggiato. Quando quasi chiunque può diventare un aggressore di successo, è logico che gli attacchi aumentino.

Gli aggressori inviano davvero chiavi di decrittografia funzionanti dopo il pagamento?

Non è possibile rispondere in modo generale. Le esperienze dei nostri clienti e partner sono contrastanti. Mentre alcuni hanno pagato addirittura più volte e successivamente sono riusciti a decrittografare i dati, altri non hanno mai ricevuto le chiavi. Dipende dall'attacco. Sono noti perfino casi di ransomware evidentemente "malriuscito", in cui la crittografia è avvenuta, ma la connessione per i pagamenti e la comunicazione non funzionava, quindi non è stato possibile decrittografare.

Un consiglio: provate a contattare in anticipo l'aggressore e chiedetegli una prova che abbia realmente il controllo dei vostri dati. Chiedete all'aggressore di decrittografare una parte dei dati oppure di fornirvi una parte dei dati danneggiati, ad esempio alcuni file. Da questo risulterà sia se è possibile contattare l'aggressore sia se può davvero aiutarvi. Se viene richiesta una piccola somma, ad esempio da 100 a 500 dollari (solitamente un attacco di massa a un gran numero di utenti), l'aggressore potrebbe non farsi sentire e le chiavi di decrittografia potrebbero comunque essere inviate, poiché il processo è automatizzato. Tuttavia, se siete un'organizzazione grande o ben prospera, oggetto di un attacco mirato, e la somma richiesta ammonta a migliaia di dollari, l'aggressore probabilmente comunicherà con voi nel proprio interesse. A quel punto basta pagare, sperare, decrittografare, imparare la lezione e proteggersi dal prossimo attacco.

Il ransomware può attaccare anche noi?

Sì. E se non è ancora accaduto, con grande probabilità accadrà molto presto. Una delle tendenze attuali nel campo del ransomware è prendere di mira utenti e organizzazioni locali. Questo aumenta infatti le probabilità di successo degli aggressori. Oggi solo poche persone cadono ancora nelle email scritte in cattivo inglese che invitano ad aprire un allegato sospetto. Ma se il direttore riceve un'email da un rinomato studio legale (l'indirizzo email è ovviamente falsificato), scritta in un buon ceco giuridico, che comunica che, a causa di una fattura non pagata, nei giorni successivi verrà presentata una causa in tribunale contro l'azienda, è molto probabile che il direttore apra l'allegato infetto che dovrebbe contenere la fattura non pagata. E poiché in molte aziende il top management dispone di privilegi completi, cioè amministrativi, la crittografia può iniziare. Un altro metodo comune è rappresentato, ad esempio, dagli attacchi tramite protocollo RDP, in cui l'aggressore cerca di violare con la forza bruta l'accesso al desktop remoto. Se ci riesce, nulla impedisce l'esecuzione del ransomware.

10 + 1 regole per una difesa efficace contro il ransomware

1) Il modo più comune di infezione avviene tramite email e un allegato infetto oppure un link nell'email che conduce a contenuti infetti. Il minimo che potete fare è impostare un filtraggio della posta più rigoroso.

2) Il rischio maggiore sono gli utenti. Non è difficile convincere un utente non istruito ad aprire un allegato con qualche pretesto. Tale allegato può essere, ad esempio, una presunta fattura non pagata inviata al reparto contabilità, un presunto curriculum inviato al reparto risorse umane, un presunto ordine inviato al reparto commerciale o una presunta conferma di consegna di una spedizione. Non assegnate quindi privilegi amministrativi agli utenti che non dovrebbero averli.

3) Istruite gli utenti e formateli ripetutamente sui comportamenti sicuri. In particolare gli utenti che dispongono di privilegi più elevati.

4) Aggiornate. Un sistema aggiornato generalmente significa un sistema con patch e meno vulnerabile (anche se non sempre). Nei sistemi aggiornati regolarmente c'è sempre un rischio minore che il sistema venga attaccato dal ransomware e che quest'ultimo si diffonda ulteriormente.

5) Utilizzate una protezione attiva contro il ransomware, come antivirus e software di sicurezza. Oppure utilizzate la protezione attiva contro il ransomware, presente in tutte le soluzioni di backup Acronis. Il vantaggio della protezione attiva Acronis è che è specializzata direttamente sul ransomware. La protezione attiva può rilevare e arrestare la crittografia e la diffusione del ransomware oppure almeno mitigare i danni causati. Inoltre, la protezione attiva Acronis può ripristinare automaticamente, dalla cache del file system, i file già crittografati. Sui dispositivi in cui non disponete di una soluzione di backup Acronis a pagamento, installate almeno la protezione attiva gratuita contro il ransomware: Acronis Ransomware Protection (La protezione attiva gratuita inclusa in Acronis Ransowmare Protection è destinata solo ai sistemi operativi Windows 7, 8, 10. La protezione attiva nelle soluzioni di backup Acronis a pagamento protegge anche i sistemi operativi server e l'infrastruttura virtuale).

6) Utilizzate una protezione passiva: il backup. Nessuna protezione attiva garantisce una difesa al 100% contro il ransomware. È sempre una battaglia tra gli sviluppatori della protezione attiva e i creatori di ransomware. La protezione attiva aumenta quindi solo la probabilità di resistere a un attacco. Create pertanto backup e archiviateli in un luogo sicuro. Nel peggiore dei casi, ripristinerete dati e sistemi dai backup. La condizione è che i backup siano archiviati in modo "sicuro", come indicato nei seguenti punti 7 e 8.

7) Proteggete i backup. Se il ransomware raggiunge i backup (il ransomware più intelligente cerca di farlo per prima cosa), li crittografa senza pietà. Se utilizzate una soluzione di backup Acronis, avete inoltre a disposizione una protezione attiva contro il ransomware. Tra l'altro, questa non consente di crittografare dai dispositivi attaccati i backup creati da Acronis (il cosiddetto sistema Acronis self defense).

8) Nascondete i backup. Non dovete proteggere attivamente i backup se il ransomware non può raggiungerli. Non archiviate quindi i backup in archiviazioni a cui tutti hanno accesso. La cosa peggiore che potete fare è salvare liberamente i backup accanto ai dati degli utenti. È necessario riservare uno spazio per i backup e separarlo. Occorre definire con precisione i diritti di accesso. Se create i backup con il software Acronis, impostate l'accesso a tale archiviazione solo per Acronis e richiedete credenziali protette da password. Non utilizzate questa password, né l'archiviazione dei backup, per altri scopi.

9) Archiviate copie dei backup in un luogo dove il ransomware non possa danneggiarle. Il luogo ideale è l'archiviazione cloud di Acronis: Acronis Cloud Storage. Perché? Perché la comunicazione tra i dispositivi client e l'archiviazione cloud viene realizzata mediante un meccanismo proprietario con autenticazione, tra l'altro attraverso certificati validi, e quindi non c'è alcuna possibilità che il ransomware danneggi o crittografi i backup nel Cloud. Ciò significa che, anche se l'organizzazione fosse sotto attacco e venisse inviato un backup infetto all'archiviazione cloud Acronis, gli altri backup archiviati nel cloud rimarrebbero intatti. L'ultimo backup infetto non potrà essere utilizzato per il ripristino. Sarà però possibile utilizzare qualsiasi altro backup creato in precedenza, il cui contenuto non sia già crittografato.

Se confrontiamo questo scenario con le comuni archiviazioni offsite di tipo public cloud o private cloud, disponibili tramite protocolli di uso comune, è chiaro che aprendo una connessione durante un attacco in corso vengono messi a rischio anche i backup archiviati in un'archiviazione secondaria esterna all'organizzazione. Inoltre, il ransomware può ottenere accesso a tali archiviazioni, analogamente alle archiviazioni locali. Il ransomware può quindi crittografare anche i backup archiviati dall'altra parte del mondo. Tale archiviazione secondaria proteggerà quindi l'organizzazione solo dai guasti dell'archiviazione primaria dei backup, ma purtroppo non è sufficiente contro il ransomware.

10) Se soddisfate tutti i punti precedenti, potete dormire sonni tranquilli. Avete infatti la certezza al 100% che non pagherete un riscatto. Avete la certezza di non perdere i dati. Avete la certezza che, anche se il ransomware crittografasse metà dell'organizzazione, riuscirete infine a ripristinare i sistemi (naturalmente richiederà tempo). Se questo non vi basta, leggete il punto 11.

11) Punto per intenditori: se non siete disposti a tollerare interruzioni causate dal ransomware o da altre cause (garantite la continuità operativa, gestite sistemi critici, ogni ora di fermo vi genera enormi perdite), esaminate la combinazione della soluzione di backup aziendale Acronis Backup e Acronis Disaster Recovery. Questo sistema è in grado, al momento di un guasto (causato ad esempio dal ransomware), di avviare nel cloud Acronis le macchine critiche e assumere così tutti i servizi che devono rimanere operativi. Dopo il ripristino dell'ambiente di produzione, potrete riportare il funzionamento alle macchine di produzione nell'organizzazione quasi senza interruzioni (calcolate 1-2 minuti offline). I dati aggiornati dalle macchine cloud temporaneamente in esecuzione verranno caricati in background su queste macchine e poi avverrà la commutazione.

Panoramica delle soluzioni Acronis per la protezione dal ransomware

Per chi è adatta la soluzione	Soluzioni adatte alle abitazioni			Soluzioni adatte alle organizzazioni
Nome della soluzione	Acronis True Image Standard	Acronis True Image Advanced	Acronis True Image Premium	Acronis Backup	Acronis Backup + Acronis Cloud Storage	Acronis Backup + Acronis Disaster Recovery
Soluzione a pagamento
Per la protezione di computer, postazioni e notebook
Per la protezione di server, infrastrutture virtuali e cloud
Protezione dalla crittografia dei dati e dalla diffusione del ransomware
Creazione e archiviazione di backup in archiviazioni locali e di rete
Protezione dalla crittografia dei backup Acronis
Invio dei backup a un'archiviazione cloud Acronis separata		250 GB	1 000 GB		A propria scelta	A propria scelta
Avvio di una copia identica di una macchina critica nel cloud
Trasferimento di una copia aggiornata della macchina di nuovo in produzione

Nomi delle soluzioni: nella parte superiore della tabella sono presenti collegamenti (facendo clic si accede alla relativa soluzione)

Avete bisogno di un consiglio concreto?

•  Avete bisogno di consigli sulla protezione dal ransomware?
•  Vi interessa sapere come potrebbe essere una tale protezione nella vostra realtà?
•  Volete vedere con i vostri occhi come proteggiamo i sistemi presso di noi?

Non esitate a contattarci al numero +420 596 912 961 oppure scrivete all'email info@acronis.cz

Fonte: https://www.acronis.cz/ochrana-proti-ransomwaru/