Ransomware:
le prime ore

Un disco che si guasta per motivi hardware di solito dà segnali meccanici: colpi, ticchettii, il BIOS non lo rileva o il sistema si blocca all'avvio. Il ransomware, invece, lascia il disco perfettamente funzionante: il computer si avvia, Esplora file vede le cartelle, ma ogni file ha un'estensione aggiunta e non si apre con il programma corrispondente. Quasi sempre compare una nota di riscatto, un file di testo o un nuovo sfondo che chiede di mettersi in contatto o di pagare. Un altro indizio forte è che più computer della stessa rete presentino lo stesso problema contemporaneamente: un guasto al disco è un evento isolato su una macchina, mentre il ransomware si propaga e colpisce più postazioni quasi in simultanea. Se ha anche il minimo dubbio su quale dei due sia, agisca come se fosse ransomware: scolleghi quel computer e qualsiasi altro che condivida con esso la rete o le unità prima di esaminare qualcosa più da vicino.

Dipende dal punto in cui si trova. Se il computer sta ancora cifrando, scollegare la rete e lasciarlo acceso interrompe il contatto con l'attaccante senza perdere ciò che c'è in memoria, che a volte contiene tracce della chiave di cifratura sfruttabili da uno strumento forense. Spegnerlo di colpo cancella quella memoria e può lasciare la cifratura a metà, complicando qualsiasi tentativo di recupero successivo. Se il processo è già terminato e il computer è inattivo, spegnerlo non cambia nulla ed evita che qualcuno lo usi per errore. La priorità è sempre la rete, non il pulsante di spegnimento: scolleghi prima cavo e Wi-Fi, decida dopo se spegnerlo, e lo faccia solo quando non condivide più unità né connessione con il resto dell'ufficio. Se qualcuno dovrà analizzare il computer, lo chieda a lui prima di toccare l'interruttore.

Non c'è alcuna garanzia che la chiave arrivi, che funzioni su tutti i file o che l'attaccante non torni a chiedere di più una volta saputo che Lei paga. Oltre alla cifratura, molti attacchi attuali copiano i dati prima di cifrarli, quindi pagare per la chiave non cancella quella copia né impedisce che venga usata o pubblicata in seguito: sono due problemi diversi con la stessa fattura. La vera decisione non è «pago o non pago», ma quali alternative ci sono: se esiste un backup esterno al computer e si può ripristinare, il riscatto perde ogni senso economico. Se non c'è un backup, la domanda diventa se il disco sia recuperabile per altra via, cosa che dipende dal tipo di danno e da quanto è stato scritto sopra dopo la cifratura. Pagare non risolve nessuna di queste due domande, ne aggiunge solo una terza.

La formattazione non è reversibile e cancella proprio le informazioni che permetterebbero di capire cosa è successo e, in alcuni casi, di recuperare qualcosa. Ciò che determina se formattare sia ragionevole è l'esistenza di un backup verificato, conservato fuori dal computer, che non fosse accessibile al ransomware al momento dell'attacco. Se quel backup esiste e si riesce a ripristinare un file di prova senza problemi, il computer infetto si può formattare con tranquillità, perché i dati sono già al sicuro altrove. Se non c'è un backup, o non è sicuro che sia buono, il disco non si tocca: si tratta come un caso di recupero dati, non come qualcosa da ripulire. In quel caso formattare chiude l'unica strada rimasta. Verificare che il backup funzioni è la prima cosa da fare, prima di decidere qualsiasi cosa sul disco.

Lo scolleghi dalla rete e non lo accenda «per vedere se si è salvato qualcosa»: se era montato come unità sul computer infetto, il ransomware probabilmente l'ha già attraversato come gli altri dischi. Ciò che cambia il risultato è come era configurato prima dell'attacco. Un NAS con backup con versioni o con snapshot che il ransomware non poteva cancellare, perché non aveva i permessi per modificarli, conserva versioni precedenti all'infezione, anche se i file attuali sono cifrati. Un NAS usato solo come un'altra cartella condivisa, senza versioni né protezione da scrittura, viene cifrato come un disco locale e non offre nulla in più da recuperare. Prima di toccarlo, bisogna controllare la configurazione degli snapshot o delle versioni del NAS stesso senza ripristinare ancora nulla. È lo stesso principio che distingue un vero backup da una semplice cartella duplicata: la differenza sta nel fatto che il ransomware potesse scriverci sopra o no.

Sì, soprattutto se sui computer colpiti ci sono dati di clienti, fornitori o dipendenti. Sporgere denuncia non sblocca nulla né accelera il recupero, ma lascia una traccia ufficiale dell'incidente, che può servire in seguito con assicurazioni, clienti o enti che chiedano cosa è successo. Se l'attacco riguarda dati personali, bisogna valutare se sia il caso di informare l'autorità per la protezione dei dati e, in alcuni casi, le persone interessate; questa valutazione dipende dal tipo di dato e dal rischio reale per quelle persone, non è automatica in ogni caso. Conservi le schermate della nota di riscatto, l'ora approssimativa in cui è stato rilevato l'attacco e quali computer erano collegati tra loro: sono le informazioni che chiederanno sia la polizia sia qualsiasi consulente legale o in materia di protezione dei dati a cui si rivolgerà dopo. Prima si raccolgono, più sono affidabili.

Solo se quel computer era davvero isolato da quello infetto prima che iniziasse la cifratura: senza unità di rete condivise, senza lo stesso NAS montato e preferibilmente su un segmento di rete diverso. Se condivide lo stesso router o switch senza alcuna segmentazione, «continuare a lavorare» lì significa esporlo allo stesso percorso che il ransomware ha già seguito in rete, solo qualche ora più tardi. Prima di usarlo, controlli quali unità ha mappate e le scolleghi anche se sembrano sane. La domanda che decide se è sicuro non è se quel PC mostri sintomi, ma se avesse una qualche via di accesso alla stessa risorsa del computer infetto. Se la risposta è che non lo sa con certezza, lo tratti come a rischio: lo scolleghi dalla rete finché qualcuno non avrà controllato l'intera infrastruttura, non solo il computer che ha mostrato i sintomi.

Non c'è una risposta unica, e dipende da due cose che si decidono prima dell'incidente. La prima è l'esistenza di un backup verificato e accessibile: se c'è, il lavoro consiste nel ricostruire il computer da zero e ripristinarvi i dati, un processo che dipende dal volume dei dati e dal numero di computer colpiti. La seconda è il caso in cui non ci sia un backup: allora il disco entra in un processo di recupero la cui portata dipende dal tipo di cifratura, dal fatto che sia stato scritto qualcosa sopra dopo l'attacco e dall'esistenza di strumenti in grado di invertire quella specifica famiglia di ransomware, che non sempre esistono. Ciò che fa davvero la differenza tra ripartire in fretta e restare fermi a lungo si decide prima che succeda qualcosa: avere un backup fuori dal computer che il ransomware non potesse toccare. È l'unica cosa sotto il Suo controllo oggi.