Nel panorama delle minacce informatiche, pochi nomi evocano lo stesso timore di Cryptolocker.

Spesso utilizzato in modo improprio per identificare virus generico che cifra dei dati, il Cryptolocker appartiene ad una specifica famiglia di malware che fin dal primo attacco ha rivoluzionato le regole della cybersecurity.

Comprendere come in che modo agisce, come si diffonde e come neutralizzarlo non è solo una sfida tecnica, ma una necessità vitale per aziende e privati.

 

Che cosa si intende per Cryptolocker

Cryptolocker appartiene alla categoria dei ransomware, una tipologia di malware progettata per estorcere denaro alle vittime, che comprende:

• lock screen: sfruttano una pagina web o un’immagine a tutto schermo per bloccare l’accesso al computer;
• encryption: bloccano e criptano i documenti attraverso una password, impedendo l’accesso al file; di questa categoria fanno parte i Cryptolocker.

Il tratto distintivo di un Cryptolocker è pertanto l’uso di algoritmi di crittografia asimmetrica estremamente sofisticati (come RSA e AES).
Una volta penetrato nel sistema il malware non si limita a infettare il dispositivo locale, ma scansiona attivamente la rete alla ricerca di unità condivise, server e backup collegati.

 

Come funzionano i Cryptolocker

Il processo di attacco segue generalmente questo schema:

1. infiltrazione: il codice malevolo viene eseguito sul computer della vittima;
2. contatto con il C&C: Il malware contatta un server di Comando e Controllo (C&C) gestito dai criminali per generare una coppia di chiavi crittografiche;
3. cifratura: i file con estensioni specifiche (documenti Office, PDF, immagini, database) vengono criptati;
4. richiesta di riscatto: sullo schermo appare una nota che informa l’utente del blocco dei dati, richiedendo il pagamento di una somma, in Bitcoin o altre criptovalute, entro un limite di tempo prestabilito, pena la distruzione definitiva della chiave di decifratura.

 

Qual è il veicolo dell’attacco cyber di Cryptolocker?

Nonostante l’evoluzione tecnologica, il fattore umano rimane l’anello debole della catena.

Le modalità di diffusione di Cryptolocker sono varie, ma tutte basate sull’inganno e/o sullo sfruttamento di vulnerabilità note ovvero:

PHISHING E INGEGNERIA SOCIALE

È il vettore di infezione più sfruttato.

L’utente riceve un’e-mail che appare legittima in quanto proveniente da corrieri, banche o enti pubblici. Il messaggio contiene un allegato malevolo, spesso un file .zip o un documento Word con macro attive, caratterizzato da un’icona e un’estensione pdf.

In realtà il file è un eseguibile (ovvero .exe) che, quando viene cliccato, fa partire l’installazione del Cryptolocker.

EXPLOIT KIT

Navigando su siti web compromessi, il nostro browser può essere colpito da script che sfruttano falle di sicurezza non patchate nel software (vulnerabilità note in software o sistemi operativi che non sono state corrette tempestivamente) per installare il malware senza alcun intervento dell’utente (attacchi drive-by download).

SERVIZI RDP VULNERABILI

I criminali utilizzano attacchi “brute force” o credenziali rubate per accedere tramite Desktop Remoto (RDP) ai server aziendali, disattivando gli antivirus e lanciando manualmente il ransomware.

 

Cosa fare per difendersi da un Cryptolocker, ecco come costruire una fortezza digitale

Difendersi da Cryptolocker richiede un approccio “a strati”, dove la tecnologia e la consapevolezza dell’utente collaborano per ridurre la superficie di attacco.

SVILUPPARE CONSAPEVOLEZZA ATTRAVERSO LA FORMAZIONE

Educare i dipendenti a riconoscere le e-mail di phishing è la prima linea di difesa. Regole semplici, come non cliccare su link sospetti e non scaricare allegati da mittenti sconosciuti, possono prevenire la maggior parte delle infezioni.

SICUREZZA ENDPOINT E PATCH MANAGEMENT

È fondamentale mantenere aggiornati tutti i sistemi operativi e le applicazioni. Le “patch” di sicurezza chiudono i buchi che gli exploit kit cercano di sfruttare.
Inoltre, l’adozione di soluzioni antivirus di nuova generazione (EDR – Endpoint Detection and Response) permette di monitorare comportamenti anomali del sistema, bloccando i processi di cifratura prima che sia troppo tardi.

GESTIONE DEI POLICY DI ACCESSO

È consigliabile applicare il principio del “minimo privilegio” ovvero non concedere gli stessi diritti di amministrazione a tutti gli utenti se non strettamente necessario.
Limitando i permessi di scrittura sulle cartelle condivise, si limita drasticamente la capacità del malware di propagarsi all’intera rete aziendale.

 

Il ruolo cruciale del backup periodici

Può accadere di restare vittima di Cryptolocker nonostante le misure di prevenzione implementate.

Quando la prevenzione “fallisce” l’unica ancora di salvezza è una strategia di backup e storage solida che prevede di conservare le copie su dispositivi differenti.

Per una protezione reale, è necessario seguire la regola del 3-2-1 che prevede di:

• avere almeno 3 copie dei dati;
• conservare i backup su 2 supporti diversi;
• mantenere 1 copia offline o “immutabile”.

Oggi il metodo più sicuro è l’immutabilità dei dati. Si tratta di backup che non possono essere modificati o cancellati per un certo periodo. In questo modo, i virus come i ransomware non riescono a criptarli o a renderli inutilizzabili.

 

Cosa fare in caso di infezione?

Se il sistema è già stato colpito, la gestione dei primi minuti è quella più importante. In questi frangenti è opportuno:

1. scollegare immediatamente il computer dalla rete (Wi-Fi e cavo LAN) isolandolo, per impedire al malware di raggiungere il server o altri PC;
2. identificare la tipologia di ransomware che ha colpito il sistema. Esistono portali come “No More Ransom” che offrono strumenti di decifratura gratuiti per le versioni meno recenti o meno sofisticate;
3. non pagare in alcun modo il riscatto: sia le autorità che gli esperti di sicurezza sconsigliano vivamente il pagamento. Non vi è alcuna garanzia di ricevere la chiave di decodifica e, inoltre, il pagamento finanzia direttamente le attività criminali, rendendo l’azienda un bersaglio per futuri attacchi.

 

Oltre la difesa: costruire una cultura della resilienza

Cryptolocker non è più solo un software, ma un simbolo dell’era del cyber-crimine industrializzato.

La minaccia si è evoluta verso la “doppia estorsione”, dove i criminali non solo cifrano i dati, ma minacciano di pubblicarli online se non ricevono il pagamento.

La resilienza non si ottiene con un singolo prodotto, ma con una cultura della sicurezza che comprenda tecnologie all’avanguardia, backup inattaccabili e una costante vigilanza umana.

In un mondo interconnesso, la domanda non è più “se” si verrà attaccati, ma “quando”; farsi trovare preparati è l’unico modo per garantire la continuità del proprio lavoro e la protezione del proprio patrimonio informativo.

Scopri come prevenire i rischi informatici e garantire continuità operativa alla tua azienda: vai ai Servizi e Soluzioni ICT !