Decrittografia del ransomware: gli strumenti giusti e come recuperare i dati

Come decriptare i file bloccati dal ransomware

Gli attacchi ransomware impediscono alle organizzazioni di accedere ai propri dati critici tramite sofisticate tecniche di crittografia, costringendo le aziende a cercare affannosamente delle soluzioni. Il percorso verso la Recovery dipende spesso da un’abilità fondamentale: la capacità di decrittografare i file compromessi e ripristinare il normale funzionamento.

Le moderne varianti di ransomware si sono evolute ben oltre il semplice malware, utilizzando algoritmi di crittografia di livello militare in grado di paralizzare intere aziende. Cybersecurity Ventures prevede che entro il 2031 un attacco ransomware colpirà un consumatore o un’azienda ogni 2 secondi, con un costo medio per le aziende pari a 4,4 milioni di dollari nel 2025. A tal fine, comprendere le opzioni di decrittografia è diventato essenziale per la continuità operativa.

La buona notizia: non tutti gli attacchi ransomware comportano una perdita definitiva dei dati. Grazie a una combinazione di strumenti di decrittografia disponibili gratuitamente, alla collaborazione con le forze dell’ordine e a pratiche strategiche di backup, molte organizzazioni riescono a recuperare con successo i propri dati senza pagare il riscatto.

Che cos’è la decrittografia del ransomware?

La decrittografia del ransomware si riferisce al processo di inversione della crittografia applicata dal ransomware per ripristinare i file al loro stato originale e accessibile. Questo processo richiede la chiave di decrittografia originale utilizzata dagli autori dell’attacco oppure strumenti specializzati che sfruttano le vulnerabilità nell’implementazione della crittografia del ransomware.

Le varianti più comuni di ransomware rientrano in diverse categorie. Il ransomware a crittografia dei file prende di mira tipi specifici di file su tutti i sistemi, mentre i crypto-locker crittografano intere unità o sistemi. Gli screen locker impediscono l’accesso ai sistemi senza crittografare i file, mentre varianti più recenti come RansomHub e Akira prendono di mira specificamente gli ambienti Linux e VMware. L’FBI ha identificato 67 nuove varianti di ransomware nel 2024; tra queste, FOG, Lynx e Cicada 3301 sono state tra le più segnalate.

Sintomi e identificazione del ransomware

Questa tabella illustra i sintomi e gli indicatori comuni per aiutare a identificare specifiche varianti di ransomware.

È possibile decriptare i file infettati dal ransomware?

Alcuni file compromessi dal ransomware possono essere decriptati con strumenti disponibili gratuitamente, in particolare quando gli algoritmi di crittografia erano deboli, implementati in modo inadeguato o quando le chiavi sono state recuperate grazie a operazioni delle forze dell’ordine. Solo gli strumenti di decrittografia di Kaspersky sono stati scaricati oltre 360.000 volte dal 2018, aiutando quasi 2 milioni di vittime in tutto il mondo a recuperare i propri dati senza pagare il riscatto entro l’inizio del 2024.

Tuttavia, la maggior parte dei ransomware moderni utilizza standard di crittografia robusti come AES-256 o RSA-2048, rendendo impossibile la decrittografia senza la chiave originale o uno strumento specializzato per quella specifica variante. La realtà è che molte vittime si trovano di fronte a opzioni limitate se non sono disponibili backup adeguati.

Identificate sempre la variante del ransomware per determinare se la decrittografia è fattibile prima di utilizzare qualsiasi strumento. L’esecuzione di un decrittografo errato può causare ulteriori danni ai file già crittografati, rendendo impossibili futuri tentativi di Recovery.

Selezione e utilizzo degli strumenti di decrittografia del ransomware

Identificare la variante specifica del ransomware prima di tentare la decrittografia è fondamentale per una Recovery riuscita. Ogni famiglia di ransomware utilizza metodi di crittografia diversi e l’uso dello strumento sbagliato può danneggiare in modo permanente i file.

Tra le fonti affidabili per i decrittatori convalidati figurano fornitori di sicurezza affermati e iniziative collaborative. Il progetto No More Ransom, lanciato nel 2016 da Kaspersky, Europol e la Polizia Nazionale olandese, mette a disposizione un archivio centralizzato di strumenti di decrittografia. I principali fornitori di antivirus come Avast offrono 30 strumenti gratuiti per la decrittografia del ransomware, mentre Trend Micro fornisce 27 strumenti gratuiti per varie famiglie di ransomware.

Elenco degli strumenti di decrittografia specifici per le varianti

Di seguito è riportato un confronto tra alcuni strumenti di decrittografia disponibili per specifiche varianti di ransomware.

Verificare sempre che lo strumento corrisponda esattamente alla propria variante di ransomware per evitare la perdita di dati.

Procedura di decrittografia passo dopo passo

Seguire questi passaggi quando si tenta di decriptare i file colpiti dal ransomware:

1. Identifica il ransomware. Esamina le note di riscatto, le estensioni dei file ed eventuali indicatori distintivi presenti nei file crittografati. Utilizza gli strumenti di identificazione online forniti da No More Ransom o dai produttori di antivirus per individuare la tua variante specifica.
2. Eseguite il backup dei file crittografati. Salvate i file crittografati in una posizione separata e offline prima di tentare qualsiasi decrittografia. Ciò può prevenire la perdita di dati nel caso in cui la decrittografia fallisca o danneggi i file durante il processo di Recovery.
3. Cerca gli strumenti di decrittografia disponibili. Accedi ad archivi completi come No More Ransom o alle pagine dei fornitori. Assicurati di identificare con precisione la variante; l’utilizzo dello strumento per una variante errata può compromettere l’integrità dei tuoi dati.
4. Scaricate ed eseguite lo strumento di decrittografia. Seguite le chiare istruzioni fornite da fornitori di sicurezza affidabili. La maggior parte degli strumenti è progettata per utenti inesperti, ma alcuni richiedono l’uso della riga di comando. Non concedete mai autorizzazioni non necessarie né eseguite file eseguibili che non conoscete.
5. Ripristinate e ripulite il sistema. Dopo aver completato con successo la decrittografia, eseguite una scansione del sistema con un software di sicurezza aggiornato. Se sospettate che il sistema sia stato completamente compromesso, cancellate e reinstallate il sistema operativo per prevenire una reinfezione.

Decrittografia del ransomware: cosa fare se non esiste uno strumento?

Se non esiste uno strumento per la vostra variante di ransomware, la decrittografia potrebbe attualmente risultare impossibile a causa della crittografia avanzata. I moderni gruppi di ransomware utilizzano una crittografia sofisticata che richiederebbe secoli per essere decifrata con l’attuale potenza di calcolo.

In assenza di strumenti di decrittografia disponibili, prendete in considerazione questi approcci alternativi:

• Conservate backup sicuri e offline per il ripristino dei dati.
• Tenetevi aggiornati sulle novità da parte delle forze dell’ordine e della comunità di sicurezza.

I backup offline costituiscono la prima linea di difesa contro la perdita definitiva dei dati. La segmentazione della rete e l’isolamento dei computer infetti limitano la diffusione all’interno dell’infrastruttura. Controlli di accesso rigorosi, formazione degli utenti e sicurezza a più livelli riducono al minimo i punti di infiltrazione. In caso di compromissione grave, la cancellazione completa dei dati e il ripristino dell’immagine di sistema potrebbero rappresentare l’unica opzione.

Collaborazione tra esperti e forze dell’ordine

Iniziative internazionali come No More Ransom riuniscono strumenti e conoscenze provenienti dalla comunità della sicurezza informatica, dalle forze dell’ordine e dai fornitori per aggiornare regolarmente le capacità di decrittografia. Questa collaborazione ha prodotto risultati tangibili per le vittime di ransomware in tutto il mondo.

Le operazioni di smantellamento su larga scala portano occasionalmente al recupero della chiave master e al rilascio di strumenti per le vittime. L’operazione Cronos, nel febbraio 2024, ha messo fuori uso l’infrastruttura di LockBit, portando ad arresti e allo smascheramento del leader Dmitry Khoroshev.

Migliori pratiche per la difesa e la Recovery in caso di ransomware

Verificare l’origine e l’autenticità di qualsiasi strumento di decrittazione del ransomware può proteggere da software dannosi che si spacciano per soluzioni di Recovery legittime. Creare copie di backup dei dati compromessi prima di eseguire qualsiasi strumento per preservare le opzioni di Recovery.

Eseguire una scansione dell’ambiente con soluzioni antivirus aggiornate sia prima che dopo la decrittografia aiuta a identificare e rimuovere eventuali componenti di malware residui. L’applicazione regolare di patch e aggiornamenti del sistema operativo aiuta a prevenire la reinfezione attraverso vulnerabilità note che i gruppi di ransomware sfruttano attivamente.

Le seguenti misure difensive costituiscono la base di un’efficace protezione dal ransomware:

• Mantenere backup regolari e immutabili offline e testare le procedure di ripristino.
• Mantenere aggiornati i sistemi operativi, le applicazioni e le soluzioni di sicurezza.
• Formare il personale sulle tattiche di phishing e ransomware.
• Segmentare le reti e applicare il principio del privilegio minimo per le risorse sensibili.

Caso di studio: un’azienda farmaceutica si riprende da un attacco ransomware in nove giorni

Quando Bilthoven Biologicals (BBio) ha subito il suo primo grave attacco ransomware, l’impatto è stato immediato. Gli utenti hanno segnalato l’impossibilità di effettuare l’accesso o di aprire i file, e il consulente IT Paul Vries ha presto scoperto una richiesta di riscatto che esigeva il pagamento per la decrittografia dei file.

«Il ransomware si è diffuso attraverso il dominio e all’interno dello stabilimento. In pratica, tutto ciò che era connesso ad Active Directory è stato compromesso», ha affermato Vries. L’attacco ha messo a rischio le operazioni dell’azienda farmaceutica, dove la produzione di vaccini e la protezione dei dati sensibili sono funzioni mission-critical.

Il team di risposta di BBio è intervenuto rapidamente, scollegando la rete e spegnendo i server infetti, mantenendo al contempo in funzione i computer non compromessi per ridurre al minimo l’impatto sulla produzione. Già dal secondo giorno, il team aveva ripristinato Active Directory e l’ambiente Commvault, avviando un processo di Recovery sistematico.

«Apprezziamo molto la semplicità della dashboard di Commvault. Con pochi clic possiamo ripristinare una macchina virtuale o i backup dopo un attacco, il che è fondamentale nel nostro settore, in quanto azienda farmaceutica che gestisce dati estremamente sensibili», ha spiegato Vries.

L’attività di ripristino è proseguita 24 ore su 24, con i membri del team che si sono alternati per ripristinare i servizi. Grazie alla sua strategia di backup ben preparata, BBio ha ripristinato completamente i servizi in più uffici e nel proprio stabilimento in soli nove giorni. A seguito dell’incidente, BBio ha implementato ulteriori misure di protezione, tra cui la tecnologia air gap per rafforzare la propria resilienza contro il ransomware.

“Se non avessimo avuto Commvault e i backup non fossero stati effettuati prima dell’attacco, la situazione avrebbe potuto essere molto peggiore”, ha concluso Vries. L’azienda dispone ora di un piano formale di disaster recovery che assegna la priorità ai sistemi critici e stabilisce chiare procedure di ripristino.

Il ruolo di Commvault nella resilienza al ransomware

La piattaforma di Commvault supporta il backup dei dati e il Recovery rapido per ridurre al minimo i tempi di inattività in caso di attacco da ransomware. I flussi di lavoro automatizzati della piattaforma possono aiutare a identificare i file infetti, recuperare backup integri e ripristinare le operazioni senza intervento manuale.

La piattaforma centralizzata di Commvault offre protezione in ambienti on-premise, cloud e SaaS, affrontando la complessità delle moderne infrastrutture IT.

La combinazione di robusti strumenti di decrittazione del ransomware con una strategia proattiva di protezione dei dati crea molteplici percorsi di Recovery. Mentre gli strumenti di decrittazione offrono una speranza quando gli attacchi hanno successo, i backup immutabili e i flussi di lavoro di Recovery automatizzati costituiscono le fondamenta per una vera resilienza informatica.

L’aumento degli attacchi ransomware richiede una strategia di difesa completa che combini prevenzione, rilevamento e capacità di Recovery rapido. Sebbene gli strumenti di decrittografia rappresentino una via per la Recovery, il mantenimento di backup sicuri e immutabili rimane la protezione più affidabile contro la perdita di dati e l’interruzione dell’attività aziendale.

Comprendiamo l’importanza cruciale delle vostre esigenze di protezione dei dati e il nostro team è pronto a mostrarvi come le nostre soluzioni possano rafforzare la vostra strategia di resilienza contro il ransomware. Richiedete una demo per scoprire come possiamo aiutarvi a proteggere i dati della vostra organizzazione.