Cosa succede ad un PC se viene colpito da un ransomware?

Negli ultimi anni è diventata sempre più diffusa la distribuzione di ransomware, i quali vengono utilizzati dagli hacker per finanziare le loro attività fraudolente. Secondo un rapporto del Clusit, nel 2020 i ransomware hanno rappresentato il 67% degli attacchi malware totali.
I ransomware, inoltre, rappresentano attualmente il metodo migliore che i cybercriminali possono usare per ottenere grandi quantità di denaro in breve tempo.
In questo articolo vedremo cosa succede di preciso quando un PC viene infettato da un ransomware. Vedremo anche come intervenire nel modo giusto per cercare di accedere nuovamente ai file criptati.

1. I ransomware nello specifico
2. In che modo i ransomware infettano i PC
3. Gli attacchi ransomware negli ultimi anni
4. Come prevenire gli attacchi ransomware
5. Pagare direttamente i cybercriminali è considerabile un’opzione valida?
6. Come intervenire quando si è stati colpiti da un ransomware

I ransomware nello specifico

I ransomware sono malware che cifrano i file presenti nel dispositivo colpito, che diventano inaccessibili per l’utente.
Lo scopo è quello di estorcere denaro attraverso una richiesta di riscatto inoltrata alla vittima se desidera accedere di nuovo al contenuto salvato nel suo PC.
In linea generale, i malware agiscono silenziosamente, senza che l’utente non si accorga della loro presenza e per poter compromettere quanto più possibile il Pc infettato.

I ransomware, invece, mettono subito in chiaro la situazione.
Infatti, mostrano immediatamente all’utente una schermata in cui viene comunicato che il computer è stato compromesso e non si può più accedere in alcun modo ai file salvati al suo interno, salvo pagare il riscatto.

Nel messaggio è presente anche un link di un sito web in cui acquistare (esclusivamente in criptovaluta) la password necessaria a sbloccare i file criptati.
Si tratta di siti che si trovano nel dark web. Le istruzioni da seguire per effettuare il pagamento sono molto dettagliate.
Tuttavia, si tratta comunque di un’operazione difficile da eseguire per la maggior parte degli utenti. Perciò alcuni gruppi di cybercriminali mettono a disposizione un servizio che fornisce assistenza alle vittime degli attacchi in tempo reale affinché possano avere tutto il supporto per le varie fasi del pagamento.

Con questo servizio è addirittura possibile, talvolta, trattare il prezzo del riscatto. Per esortare ulteriormente la vittima a pagare gli attaccanti fissano un periodo di scadenza. Una volta superato questo lasso di tempo la cifra da pagare aumenta oppure i file rimarranno inaccessibili per sempre.

In che modo i ransomware infettano i PC

Esistono diversi modi per diffondere un ransomware.
I metodi più efficaci però sono quelli che fanno leva soprattutto sull’inesperienza di alcuni utenti in ambito di sicurezza informatica.

1.  Le e-mail di phishing sono lo strumento migliore per iniziare un attacco ransomware.
   Il 75% di questi malware vengono distribuiti proprio attraverso questa tecnica, la quale si rivela estremamente efficace.
   Nel 10% dei casi, infatti, le mail di phishing vengono aperte, e nel 2-5% dei casi (secondo un’indagine del Verizon Data Breach Investigation Report) vengono aperti anche gli allegati che contengono al loro interno il programma malevolo.
2. Il drive-by-download è una tecnica attraverso la quale il malware viene diffuso attraverso un download che parte automaticamente ad insaputa della vittima. Questo avviene quando si visitano pagine web in cui è stato iniettato del codice malevolo oppure pagine web fraudolente che si spacciano per legittime.
3. Il baiting è che consiste nel lasciare un dispositivo di archiviazione rimovibile (come una chiavetta USB) contenente il ransomware in un luogo comune. Poi, si attende che venga raccolta da qualcuno ed inserita all’interno del suo dispositivo, spinto dalla curiosità di sapere cosa c’è al suo interno.
4. Il furto di credenziali mediante un attacco attraverso il desktop remoto è una tecnica che mira a prendere il controllo del dispositivo della vittima a distanza. Fatto ciò, è possibile installare il ransomware direttamente nella macchina compromessa.
5. Infine, è possibile diffondere un ransomware sfruttando eventuali vulnerabilità presenti in alcuni programmi, senza che ci sia bisogno del contributo involontario dell’utente.

Gli attacchi ransomware negli ultimi anni

Dal loro avvento fino ad oggi gli attacchi ransomware hanno mutato il loro approccio.
Inizialmente chiunque poteva essere un bersaglio e la somma da pagare per il riscatto era relativamente bassa (in media, mille dollari).

Adesso il target degli attacchi ransomware è ben più mirato, si punta principalmente a grandi aziende e infrastrutture pubbliche (nonostante ciò, l’utente comune rimane ancora nel mirino dei cybercriminali), a cui viene chiesto di sborsare cifre esorbitanti (nel 2021 la somma più alta richiesta è stata di 50 milioni di dollari).

Oltre al periodo di tempo limitato in cui pagare, gli hacker hanno adottato un ulteriore metodo per intimare le vittime a pagare.
Si tratta di doppia e tripla estorsione. La minaccia è quella di diffondere i file criptati nel dark web (double extorsion), oltre che a rivelare l’identità dell’utente o dell’organizzazione colpita (triple extorsion).

I ransomware più recenti, infine, costringono i PC a riavviarsi in modalità provvisoria, in modo da limitare le funzionalità di sicurezza del computer.

Come prevenire gli attacchi ransomware

Alla luce dei principali metodi usati per infettare un dispositivo con un ransomware, vediamo quali sono le indicazioni da seguire per evitare di essere infettati a propria volta.

1. Non aprire messaggi di posta elettronica provenienti da mittenti sconosciuti o di dubbia provenienza, né tantomeno allegati al loro interno.
2. Se si ha un dispositivo Windows, è consigliabile attivare l’opzione “mostra estensioni nomi file”.
   Questo permette di vedere l’effettiva estensione dei file e di conseguenza diventa più facile individuare quelli pericolosi.
3. È consigliabile disattivare la riproduzione automatica dei file presenti all’interno dei dispositivi di archiviazione portatili per ridurre il rischio di infezione della propria macchina.
   Bisogna al tempo stesso evitare di inserire nel proprio computer dispositivi di archiviazione di cui non si conosce la provenienza.
4. È necessario aggiornare costantemente i programmi presenti sul pc.
   In questo modo si evita l’infezione del PC attraverso lo sfruttamento di vulnerabilità note agli hacker.
5. È importante fare un backup dei file più importanti al fine di neutralizzare la minaccia dei ransomware, avendo la possibilità di poter accedere ai propri dati altrove.
6. Disattivare l’esecuzione automatica delle componenti macro di Microsoft Office argina la pratica sempre più diffusa di infettare il computer attraverso macro malevole.
7. Non cliccare su pop-up e annunci pubblicitari, i quali molto spesso rimandano a pagine web malevole che scaricano in automatico ransomware o altri programmi malevoli.
8. È fondamentale, infine, sapere quali sono i principali vettori di attacco è sapersi difendere da essi, soprattutto in un contesto aziendale.

Pagare direttamente i cybercriminali è considerabile un’opzione valida?

Cedere al ricatto è fortemente sconsigliato: non si fa altro che finanziare ulteriori operazioni illecite da parte delle organizzazioni criminali. Oltretutto, non si ha la garanzia che gli autori dell’attacco possano cedere la chiave di decriptazione.
Anzi, sapendo di avere a che fare con una vittima disposta a pagare, gli hacker possono rincarare la dose ed estorcere un’ulteriore somma di denaro all’utente. Non solo, questo può anche finire in una lista di utenti paganti da cui attingere per ulteriori attacchi ransomware.

Come intervenire quando si è stati colpiti da un ransomware

Quando si viene colpiti da un ransomware, è fondamentale agire rapidamente e con precisione.
La prima azione da intraprendere è scollegare immediatamente il dispositivo dalla rete per impedire la diffusione dell’infezione ad altri dispositivi. Subito dopo, è essenziale contattare un’azienda specializzata in cybersecurity per una valutazione professionale.
Gli esperti di cybersecurity possono identificare le possibili soluzioni e suggerire i passi necessari per affrontare l’incidente in modo efficace e sicuro. Infine, segnalare l’incidente alle autorità competenti può contribuire a combattere il fenomeno del ransomware a livello globale.