Ransomware

Il ransomware è un malware che utilizza la crittografia per trattenere le informazioni della vittima a scopo di riscatto.

I dati critici di un utente o di un’organizzazione vengono crittografati in modo che non possano accedere a file, database o applicazioni.

Viene quindi richiesto un riscatto per fornire l’accesso.

Il ransomware è spesso progettato per diffondersi attraverso una rete e prendere di mira database e file server e può quindi paralizzare rapidamente un’intera organizzazione. Si tratta di una minaccia crescente, che genera miliardi di dollari in pagamenti ai criminali informatici e infligge danni e spese significativi ad aziende e organizzazioni governative.

Come funziona il ransomware?

Il ransomware utilizza la crittografia asimmetrica. Questa è la crittografia che utilizza una coppia di chiavi per crittografare e decrittografare un file. La coppia di chiavi pubblica-privata viene generata in modo univoco dall’aggressore per la vittima, con la chiave privata per decrittografare i file archiviati sul server dell’aggressore. L’aggressore mette a disposizione della vittima la chiave privata solo dopo il pagamento del riscatto, anche se, come visto nelle recenti campagne di ransomware, non è sempre così. Senza l’accesso alla chiave privata, è quasi impossibile decrittografare i file tenuti in ostaggio.

Esistono molte varianti di ransomware. Spesso il ransomware (e altri malware) vengono distribuiti tramite campagne di spam via e-mail o tramite attacchi mirati. Il malware necessita di un vettore di attacco per stabilire la propria presenza su un endpoint. Una volta stabilita la presenza, il malware rimane nel sistema fino al completamento del suo compito.

Dopo un exploit riuscito, il ransomware rilascia ed esegue un file binario dannoso sul sistema infetto. Questo binario quindi cerca e crittografa file preziosi, come documenti di Microsoft Word, immagini, database e così via. Il ransomware può anche sfruttare le vulnerabilità del sistema e della rete per diffondersi ad altri sistemi e possibilmente a intere organizzazioni.

Una volta crittografati i file, il ransomware richiede all’utente il pagamento di un riscatto entro 24-48 ore per decrittografare i file, altrimenti andranno persi per sempre. Se un backup dei dati non è disponibile o tali backup sono stati crittografati, la vittima deve pagare un riscatto per recuperare i file personali.

Perché si sta diffondendo il ransomware?

Gli attacchi ransomware e le loro varianti si stanno evolvendo rapidamente per contrastare le tecnologie preventive per diversi motivi:

Facile disponibilità di kit malware che possono essere utilizzati per creare nuovi campioni di malware su richiesta
Utilizzo di interpreti generici noti per creare ransomware multipiattaforma (ad esempio, Ransom32 utilizza Node.js con un payload JavaScript)
Utilizzo di nuove tecniche, come la crittografia dell’intero disco invece dei file selezionati
I ladri di oggi non devono nemmeno essere esperti di tecnologia. I mercati del ransomware sono spuntati online, offrendo ceppi di malware per qualsiasi potenziale criminale informatico e generando profitti extra per gli autori di malware, che spesso chiedono una riduzione dei proventi del riscatto.

Perché è così difficile trovare gli autori del ransomware?

L’uso di criptovalute anonime per i pagamenti, come i bitcoin, rende difficile seguire le tracce del denaro e rintracciare i criminali. Sempre più spesso, i gruppi di criminalità informatica stanno escogitando schemi di ransomware per ottenere un rapido profitto. La facile disponibilità di codice open source e piattaforme drag-and-drop per sviluppare ransomware ha accelerato la creazione di nuove varianti di ransomware e aiuta i principianti degli script a creare il proprio ransomware. In genere, i malware all’avanguardia come i ransomware sono polimorfici per progettazione, il che consente ai criminali informatici di aggirare facilmente la tradizionale sicurezza basata sulle firme basate sull’hash dei file.

Che cos’è il ransomware come servizio (RaaS)?

Il ransomware-as-a-service è un modello economico del crimine informatico che consente agli sviluppatori di malware di guadagnare denaro per le loro creazioni senza la necessità di distribuire le loro minacce. I criminali non tecnici acquistano la loro merce e lanciano le infezioni, pagando agli sviluppatori una percentuale del ricavato. Gli sviluppatori corrono relativamente pochi rischi e i loro clienti svolgono la maggior parte del lavoro. Alcuni casi di ransomware-as-a-service utilizzano abbonamenti mentre altri richiedono la registrazione per accedere al ransomware.

BlogInnovazione.it