Iniziamo col dire che i ransomware sono virus informatici che rendono inaccessibili i file dei computer infettati e chiedono il pagamento di un riscatto per ripristinarli.
E’ il mezzo preferito dai criminali informatici per due motivi principali. In primo luogo molte aziende non riescono ad applicare una corretta igiene di sicurezza quando si tratta di backup e recovery. I backup spesso sono pochi e isolati, il che significa che una volta che i dati su endpoint e server sono crittografati, le aziende sono costrette a scegliere tra perdere per sempre informazioni importanti o sborsare Bitcoin per riottenerle (si spera).
In secondo luogo, molte si affidano ciecamente alle tradizionali soluzioni antivirus, che spesso non sono efficaci nel bloccare il ransomware.
Per farsi un’idea delle dimensioni del problema si pensi che la società di ricerca CyberSecurity Ventures stima che quest’anno (2021) le aziende subiranno danni da ransomware per un valore di 20 miliardi di dollari.
Ma perchè il ransomware è così pervasivo, e come fanno questi attacchi a continuare ad avere così tanto successo?
Per rispondere a queste domande, è importante capire come funzionano gli attacchi ransomware opportunistici e mirati.
Dato che il ransomware è uno degli strumenti più facili da trovare sul dark web, in molti provano a sfruttarli.
Distribuendo il ransomware con le comuni tattiche “spray and pray” (sparare alla cieca) come il phishing, gli hacker prendono di mira molte organizzazioni e sperano di compromettere desktop, laptop e server in un colpo solo.
Una volta distribuito, il ransomware impedisce agli utenti di interagire con i loro file, applicazioni o sistemi fino a quando non viene pagato un riscatto, di solito sotto forma di valuta non tracciabile come Bitcoin.
L’attacco WannaCry del 2017 è forse il miglior esempio di attacco ransomware opportunistico. Con la capacità di autoreplicarsi è diventato virale, infettando più di 200mila sistemi in 150 Paesi. L'attacco ha avuto un impatto sulle organizzazioni di molti settori, portando le attività di business a una brusca frenata.
Negli ultimi anni, i cybercriminali più abili si sono spostati verso approcci ransomware mirati, alla ricerca di pagamenti più consistenti. In questo tipo di attacchi si prendono di mira organizzazioni molto più specifiche in base alla loro capacità di pagare grandi riscatti, utilizzando tecniche e procedure personalizzate.
In questo caso gli hacker sono molto creativi e si impegnano ad identificare e sfruttare le vulnerabilità dell’infrastruttura aziendale. Possono anche essere molto pazienti, eludendo i sistemi di sicurezza e studiare con cura quali sono i dati più preziosi all’azienda, prima di distribuire il payload del ransomware.
Spesso, durante questo periodo, prendono di mira i backup dei dati, in modo che l’azienda non possa ripristinare i file dopo che sono stati crittografati.
Purtroppo però è possibile che chi viene compito una volta e paga, poi viene colpito una seconda. Per mantenere la persistenza sulle reti di destinazione, gli attaccanti spesso costruiscono backdoor che permettono di rientrarvi a loro piacimento.
Opportunistici o mirati, gli attacchi ransomware normalmente iniziano dall’endpoint. Desktop, laptop e server non adeguatamente protetti. Ognuno di essi fornisce un punto di accesso ai criminali.
Esaminando numerosi attacchi ransomware, possiamo definire che fare affidamento su una singola soluzione di sicurezza dell’endpoint non è sufficiente a fermare ogni minaccia. E’ necessario un approccio di difesa in profondità, stratificando una varietà di controlli di sicurezza per ridurre i rischi.
Con un servizio di sicurezza informatica all’avanguardia come Jsecurity l’infrastruttura aziendale è sempre monitorata, implementando modelli di restrizione che si fidano solo di determinate applicazioni, eseguite da account specifici in circostanze definite e controllate.
Con questo approccio completo alla sicurezza le aziende sono difese su ogni fronte e possono bloccare gli attacchi prima che causino danni.
Sicurezza
