Le vie d’accesso subdole del ransomware

Gli attacchi ransomware spesso non richiedono tecniche di hacking complesse. Spesso, invece, gli attaccanti sfruttano semplici debolezze. Possono trovare una porta aperta o indurre qualcuno ad aprirla. Nella maggior parte degli incidenti, raramente si ricorre ad attacchi di forza bruta.

Il ransomware è un malware. Cifra i tuoi file o ti impedisce l’accesso al computer. Gli attaccanti chiedono poi un riscatto, solitamente in criptovaluta, per la chiave di decrittazione. Questo problema non colpisce solo le grandi aziende. Anche piccole imprese, ospedali e singoli individui ne sono spesso vittime. Si trovano ad affrontare gravi problemi e perdite finanziarie. Il Federal Bureau of Investigation (FBI) degli Stati Uniti ha segnalato un aumento del 72% delle denunce di ransomware tra il 2019 e il 2020. Questo dimostra quanto il fenomeno sia diffuso.

Cosa la maggior parte delle persone ignora sul ransomware

Molte persone credono che solo l’hacking avanzato causi infezioni da ransomware. Non è così. L’errore umano è alla base di molti incidenti informatici, secondo il Data Breach Investigations Report 2023 di Verizon. Gli attaccanti spesso usano la semplice psicologia umana. Utilizzano anche vulnerabilità software note. Immagina un ladro che non sempre deve scassinare una serratura complessa. A volte gli basta trovare una finestra aperta. O inganna un residente per farsi aprire la porta.

Il venditore porta a porta digitale: phishing e social engineering

Il phishing è il modo più comune in cui il ransomware si infiltra. Questo metodo inganna le persone spingendole a rivelare informazioni sensibili o a scaricare software dannoso. Nel 2022, il phishing è stato responsabile del 16% di tutte le violazioni di dati, secondo il Cost of a Data Breach Report di IBM. È una tattica economica per gli attaccanti, che però offre grandi ricompense.

Immagina il phishing come un truffatore che ti chiama al telefono. Finge di essere qualcuno di cui ti fidi, come la tua banca o un’agenzia governativa. Online, questa truffa si manifesta sotto forma di email, messaggio di testo (smishing) o messaggio sui social media (vishing). L’obiettivo è sempre semplice: manipolarti.

Gli attaccanti scrivono messaggi molto convincenti. Queste email spesso sembrano urgenti. Potrebbero promettere ricompense o minacciare sanzioni. Potrebbero anche contenere link a un sito web falso che sembra identico a uno reale. Se clicchi e inserisci le tue credenziali di accesso, avrai appena compromesso il tuo account.

Le email di phishing sono il modo più comune in cui il ransomware si infiltra nei sistemi, spesso progettate per assomigliare a comunicazioni legittime provenienti da entità fidate. Questi messaggi ingannevoli manipolano gli individui spingendoli a rivelare informazioni sensibili o a scaricare software dannoso, portando a significative violazioni di dati e perdite finanziarie. (Fonte: malwarebytes.com)

A volte, invece, l’email contiene un allegato. Potrebbe trattarsi di una fattura falsa, una “notifica di spedizione” o un curriculum. Aprendolo, spesso viene eseguito codice malevolo, chiamato payload, sul tuo computer. Questo payload scarica e installa poi il ransomware. Non ti accorgerai nemmeno di ciò che sta accadendo. È un’infezione invisibile.

Lo spear phishing è una versione più mirata. Gli attaccanti prendono di mira vittime specifiche. Conoscono il tuo nome, il tuo lavoro o le recenti notizie aziendali, rendendo le loro email incredibilmente credibili e, di conseguenza, molto più difficili da individuare. Un impiegato del settore finanziario, per esempio, potrebbe ricevere una fattura falsa da un fornitore a lui noto.

Porte non protette: l’uso di vulnerabilità e RDP deboli

Gli attaccanti usano anche vulnerabilità note nel software e nei sistemi. Queste vulnerabilità sono come crepe nelle tue mura digitali. Gruppi come la Cybersecurity and Infrastructure Security Agency (CISA) mettono regolarmente in guardia da tali difetti. Ignorare questi avvertimenti lascia i sistemi esposti.

Il Remote Desktop Protocol (RDP) è un obiettivo comune. RDP permette agli utenti di connettersi a un computer da remoto, come se si trovassero fisicamente di fronte ad esso. Questa funzionalità è molto utile per il lavoro a distanza o il supporto IT. Tuttavia, le connessioni RDP mal protette sono un punto di ingresso comune per il ransomware.

Molte organizzazioni lasciano le porte RDP direttamente esposte a internet. Ancora peggio, spesso usano password deboli e facilmente indovinabili. Gli attaccanti usano strumenti automatizzati per scansionare internet alla ricerca di queste porte esposte. Una volta individuata una, possono sferrare attacchi di forza bruta, provando migliaia di password comuni per ottenere l’accesso.

Una volta che un attaccante ottiene l’accesso tramite RDP, ottiene il controllo della macchina remota. Può disabilitare il software di sicurezza e muoversi all’interno della rete. Successivamente, distribuisce il ransomware. Questo metodo aggira completamente le tipiche difese contro il phishing. È come trovare una porta sul retro che qualcuno ha lasciato aperta.

Il software non aggiornato crea ulteriori vulnerabilità. Gli sviluppatori di software rilasciano costantemente aggiornamenti per correggere bug e vulnerabilità di sicurezza. Se questi aggiornamenti non vengono applicati rapidamente, gli attaccanti possono sfruttare exploit pubblicamente noti per penetrare nei sistemi. Ad esempio, l’attacco ransomware WannaCry del 2017 ha sfruttato una falla nei sistemi Microsoft Windows più vecchi. Una patch per quella falla era disponibile da mesi, e le organizzazioni che non avevano effettuato gli aggiornamenti sono diventate vittime.

L'attacco ransomware WannaCry nel 2017 ha sfruttato una vulnerabilità nei sistemi Microsoft Windows più vecchi, crittografando i dati e richiedendo il pagamento in Bitcoin, colpendo centinaia di migliaia di computer in tutto il mondo. (Fonte: imperva.com)

L’anello debole della supply chain: connessioni fidate sotto attacco

Un attacco alla supply chain fa leva sulla fiducia tra un’organizzazione e i suoi fornitori. Invece di colpire direttamente l’obiettivo, i criminali compromettono una terza parte meno sicura. Utilizzano poi quella connessione fidata per raggiungere la vittima finale. L’attacco SolarWinds del 2020 ne è un esempio significativo.

Immagina un pacco avvelenato consegnato da un servizio postale fidato. Il servizio postale è reale, ma il pacco che trasporta è dannoso. Le organizzazioni dipendono da molti fornitori di software, fornitori di servizi IT e servizi cloud. Ogni fornitore rappresenta un possibile punto di ingresso.

Gli attaccanti potrebbero compromettere un server di aggiornamento software per un’applicazione legittima. Successivamente, iniettano il ransomware in un aggiornamento apparentemente ufficiale. Quando l’azienda bersaglio installa questo aggiornamento, installa inconsapevolmente il malware. Questo metodo è particolarmente pericoloso. Aggira molti controlli di sicurezza tipici poiché il software proviene da una fonte fidata.

Un altro modo riguarda i managed service providers (MSP). Gli MSP gestiscono i servizi IT per numerosi clienti. Se un attaccante compromette un MSP, può accedere contemporaneamente a tutti i clienti di quell’MSP. Questo conferisce alle gang di ransomware un notevole effetto moltiplicatore. Nel 2019, gli attaccanti hanno compromesso diversi MSP. Ciò ha portato ad attacchi ransomware su centinaia di aziende loro clienti, come segnalato dalla società di sicurezza Sophos.

Sfruttare un passaggio: malvertising e drive-by download

A volte, non è nemmeno necessario cliccare su un link o aprire un allegato per essere infettati. Il malvertising e i drive-by download possono infettare il sistema semplicemente visitando un sito web dannoso. Si tratta di un attacco passivo ma estremamente efficace. Immaginalo come raccogliere un insetto nascosto da una panchina pubblica.

Il malvertising inietta codice dannoso in annunci online legittimi. Questi annunci possono apparire su siti web affidabili, anche su importanti portali di notizie. Quando il tuo browser carica l’annuncio, il codice malevolo viene eseguito. Spesso reindirizza a un sito dannoso. Oppure tenta direttamente di sfruttare vulnerabilità nel browser o nei suoi plugin.

Questa tecnica non richiede alcuna azione da parte dell’utente, se non la visita della pagina. L’attacco si verifica silenziosamente in background. Utilizza il complesso mondo delle reti pubblicitarie online, rendendolo difficile da individuare. La rete pubblicitaria stessa potrebbe essere legittima, ma un attaccante può inserire il proprio annuncio dannoso nella rotazione.

SolarWinds, un'importante azienda di software per la gestione IT, è diventata tristemente nota dopo che un attacco alla supply chain nel 2020 ha compromesso la sua piattaforma Orion, consentendo agli attaccanti di infiltrarsi in migliaia di agenzie governative e aziende private a livello globale. (Fonte: reuters.com)

Un drive-by download si verifica quando viene scaricato inconsapevolmente software dannoso. Ciò accade semplicemente visitando un sito web. Spesso utilizza vulnerabilità nel tuo browser web, nei suoi plugin (come Flash o Java) o nel tuo sistema operativo. Se il software non è aggiornato, un sito web dannoso può installare silenziosamente il ransomware.

Questi attacchi spesso si avvalgono di exploit kit. Un exploit kit è un software che scansiona automaticamente il sistema alla ricerca di vulnerabilità note. Se ne individua una, sfrutta l’exploit appropriato per installare malware, incluso il ransomware. I criminali spesso vendono questi kit sui forum del dark web, rendendo gli attacchi avanzati accessibili a un maggior numero di persone.

Difendere il tuo castello digitale: misure preventive

Difendersi dal ransomware richiede diversi livelli di protezione. Sia le organizzazioni che gli individui devono adottare misure preventive. L’Australian Cyber Security Centre (ACSC) sottolinea sempre l’importanza del backup dei dati e dell’uso di un’autenticazione robusta. Questi aspetti sono fondamentali per una buona igiene informatica.

Innanzitutto, esegui regolarmente il backup dei dati. Archivia questi backup offline o su una rete separata. Ciò garantisce la possibilità di ripristinare i file senza pagare un riscatto se si verifica un attacco. Immaginalo come avere chiavi di riserva e una cassaforte separata per i propri oggetti di valore.

Secondo, utilizza l’autenticazione a più fattori (MFA) ovunque sia possibile. L’MFA richiede una seconda verifica oltre a una password, come un codice generato dal telefono. Ciò rende molto più difficile per gli attaccanti utilizzare credenziali rubate, anche se riescono a ottenere la password.

Terzo, mantieni aggiornati tutti i software e i sistemi operativi. Le patch risolvono vulnerabilità note che gli attaccanti spesso sfruttano. Automatizza gli aggiornamenti se possibile. Ciò chiude quelle “porte non protette” prima che i criminali possano accedervi.

Quarto, forma te stesso e i tuoi dipendenti sul phishing. La formazione regolare aiuta a individuare email e allegati sospetti. Le persone sono spesso la prima linea di difesa. Le organizzazioni dovrebbero simulare attacchi di phishing per testare il livello di preparazione e aumentare la consapevolezza.

Infine, segmenta la rete e limita l’esposizione RDP. Non lasciare le porte RDP esposte a internet. Utilizza una Virtual Private Network (VPN) per l’accesso remoto. Utilizza sempre password robuste e uniche per ogni account. Queste misure rendono molto più difficile per gli attaccanti muoversi all’interno del sistema, anche se ottengono un accesso iniziale.

Gli exploit kit, software progettati per individuare e sfruttare automaticamente le vulnerabilità per installare malware come il ransomware, sono frequentemente scambiati sui forum del dark web. Questi mercati online nascosti permettono ai criminali di acquistare strumenti sofisticati, abbassando la barriera d'ingresso per attacchi informatici avanzati. (Illustrazione generata dall'IA)

Domande frequenti

Qual è il primo passo se si viene colpiti da ransomware? Scollegare immediatamente il computer infetto o il segmento di rete da internet. Ciò impedisce al ransomware di diffondersi o di crittografare ulteriori file. Contattare le forze dell’ordine, come l’FBI. Considerare anche di rivolgersi a servizi professionali di risposta agli incidenti.

Dovrei pagare il riscatto? L’FBI e la CISA sconsigliano di pagare i riscatti. Anche se potrebbe sembrare la soluzione più rapida, il pagamento non garantisce il recupero dei file. Inoltre, incoraggia ulteriori attacchi. Inoltre, finanzia gruppi criminali, aggravando il problema per tutti.

Come possono le piccole imprese proteggersi? Le piccole imprese dovrebbero concentrarsi sull’esecuzione regolare di backup dei dati. Devono utilizzare l’MFA e formare i dipendenti sulla cybersecurity. Dovrebbero anche adottare soluzioni efficaci di endpoint detection and response (EDR). Assicurarsi che tutti i software siano aggiornati regolarmente. Queste misure di base offrono una protezione robusta.

Anche gli individui sono a rischio? Assolutamente. Gli attaccanti spesso prendono di mira i singoli individui con email di phishing o siti web dannosi. Proteggere i propri dispositivi personali con software antivirus. Utilizzare password robuste e uniche. Prestare attenzione a ciò che si clicca o si scarica. Le proprie foto e documenti personali sono preziosi, il che li rende obiettivi.

L'FBI sconsiglia di pagare il ransomware, esortando invece le vittime a segnalare gli attacchi alle loro divisioni cyber dedicate. L'agenzia indaga attivamente sulla criminalità informatica e lavora per interrompere le operazioni di ransomware a livello globale. (Illustrazione generata dall'IA)

---

Potrebbe interessarti anche:

👉 12 maggio 2017: WannaCry, il cyberattacco che mise in ginocchio il NHS

👉 Centinaia di falle: l’aggiornamento vitale per il tuo dispositivo

👉 Smascherare i bot online: la sfida di X e Facebook contro l’imitazione umana