Dopo un attacco hacker o un ransomware: ripristinare senza reinfettarsi

Modulo 8: Quando qualcosa va storto · Tempo di lettura: 11 minuti

Obiettivo di apprendimento: dopo questa lezione sarà in grado di affrontare la fase di ripristino dopo un attacco hacker o un ransomware: contenere, capire come è successo, ripristinare in modo pulito, denunciare, comunicare e trarne insegnamento.

Concetti chiave: contenimento, isolamento, accesso iniziale, persistenza, analisi forense, reinstallazione pulita, ordine di ripristino, denuncia, No More Ransom, riscatto, cyberassicurazione, valutazione

L'errore più grande: ripristinare tutto troppo in fretta

Uno sviluppatore web riceve un martedì una segnalazione: il sito WordPress di un cliente reindirizza i visitatori verso un negozio falso. Ripristina il backup della settimana precedente, il sito torna a funzionare, fine. Giovedì succede di nuovo. L'aggressore era entrato tramite un plugin obsoleto e aveva lasciato un account amministratore aggiuntivo e un file nascosto. Il backup della settimana precedente li conteneva già. Ripristinare senza sapere come qualcuno sia entrato significa riaprire anche la porta.

La stessa cosa accade con il ransomware in una rete aziendale. I criminali rimangono spesso all'interno per giorni o settimane prima di cifrare i dati. In quel periodo creano account aggiuntivi, installano software per l'accesso remoto e cercano i backup. Chi ripristina solo i file cifrati lascia l'aggressore dentro.

Il ripristino avviene quindi in cinque fasi, in quest'ordine.

Fase 1: contenere

Contenere significa: evitare che la situazione peggiori. I primi minuti sono descritti nella Sua scheda di gestione degli incidenti (lezione 8.1).

• Isoli i dispositivi colpiti: scolleghi il cavo di rete, disattivi Wi-Fi e rete mobile, oppure attivi la modalità aereo. L'ACN consiglia di scollegare i sistemi colpiti anziché spegnerli; la modalità sospensione è consentita. In questo modo le tracce rimangono conservate nella memoria di lavoro e la diffusione si blocca.
• Scolleghi i dischi esterni e i supporti di backup e non li colleghi a un dispositivo potenzialmente infetto.
• Se non può isolare un sistema, interrompa il collegamento con il disco di rete. Se l'intera rete è stata colpita, la scolleghi da internet (per esempio disattivando la connessione internet o il firewall).
• Modifichi le password da un dispositivo pulito, iniziando da quelle più importanti: account amministratore, posta, il gestore di password, la banca. Chiuda tutte le sessioni ovunque. Non lo faccia da un computer potenzialmente contenente un infostealer o un keylogger (lezione 1.4), perché in tal caso la nuova password verrebbe letta direttamente dall'aggressore.
• Conservi le prove: foto del messaggio di riscatto, le e-mail, le richieste di pagamento, gli indirizzi di criptovaluta, gli orari. Non getti via nulla.

In caso di sito web violato, contenere significa: mettere temporaneamente il sito offline o in modalità manutenzione, modificare tutte le password (gestione, FTP, database, hosting) e contattare la Sua società di hosting.

Fase 2: capire cosa è successo

Deve conoscere tre cose:

1. Come sono entrati? L'accesso iniziale: un'e-mail di phishing, una password rubata senza 2FA, un server VPN o un plugin obsoleti, una connessione aperta per la gestione remota.
2. Cosa hanno lasciato? La persistenza: account aggiuntivi, attività pianificate, software di gestione remota, regole di inoltro nelle caselle di posta, file aggiuntivi sul server web.
3. Cosa hanno sottratto? Nel ransomware moderno, i criminali spesso copiano prima i dati e minacciano di pubblicarli (doppia estorsione, lezione 1.3). In tal caso si verifica anche una fuga di dati (lezione 8.2).

Per una piccola impresa, questo è raramente fattibile da soli. Si rivolga al Suo fornitore IT, oppure a un'azienda specializzata in risposta agli incidenti. Molte cyberassicurazioni hanno un numero fisso per un team di questo tipo. Chieda a un'azienda esterna quale esperienza abbia con il Suo tipo di incidente e concordi in anticipo cosa comprende l'indagine.

Per un sito web, sono utili il log degli accessi e il log degli errori del server web, una scansione malware dei file e un confronto con una copia pulita del CMS e dei plugin.

Fase 3: ripristinare in modo pulito

Solo quando sa come è entrato l'aggressore e quella falla è stata chiusa, inizi il ripristino.

Ripristini nell'ordine stabilito nel Suo piano (lezioni 8.1 e 6.3): prima ciò di cui l'azienda ha bisogno per continuare a operare. Mantenga separata la parte ripristinata da quella non ancora verificata.

È qui che emerge se il Suo backup è affidabile. Un backup collegato alla rete viene spesso cifrato o cancellato anch'esso. Un backup offline o immutabile (lezione 6.2) e una procedura di ripristino testata (lezione 6.3) fanno la differenza tra giorni e settimane di fermo.

Fase 4: denuncia, notifica e riscatto

Denuncia. Sporga denuncia presso la Polizia Postale (https://www.commissariatodips.it/). Porti con sé le prove (messaggio di riscatto, e-mail, dati di pagamento). La denuncia è necessaria per le indagini, aiuta le forze dell'ordine a individuare collegamenti, e spesso viene richiesta dalle assicurazioni.

No More Ransom. Su https://www.nomoreransom.org (un'iniziativa promossa, tra gli altri, da Europol e dalle forze dell'ordine) può far riconoscere un file cifrato o il messaggio di riscatto. Per alcune famiglie di ransomware esiste un decryptor gratuito. Per la maggior parte delle nuove varianti no, ma verificare richiede poco tempo.

Notifica. Verifichi quali notifiche sono necessarie: una fuga di dati al Garante per la protezione dei dati personali entro 72 ore (lezione 8.2), un incidente significativo tramite il portale ACN se rientra nel decreto legislativo 4 settembre 2024, n. 138 (lezione 9.1), e quanto concordato con clienti o committenti.

Riscatto. L'ACN consiglia di non pagare il riscatto; anche le forze dell'ordine raccomandano "preferibilmente di non pagare". Le ragioni:

• Non ha alcuna garanzia di ricevere una chiave funzionante, né che i dati non vengano comunque pubblicati.
• I dati recuperati possono risultare danneggiati o alterati.
• Chi paga viene segnato come qualcuno disposto a pagare. Le vittime vengono talvolta ricattate di nuovo o attaccate successivamente una seconda volta.
• Sta finanziando il prossimo attacco.

Se nonostante tutto considera di pagare, o se ha già pagato, lo segnali sempre alla Polizia Postale: i dati di pagamento possono aiutare le indagini. Questa decisione spetta al responsabile designato nel Suo piano di gestione degli incidenti, non a chi vede il messaggio per primo.

Cyberassicurazione. Una cyberassicurazione può coprire i costi di indagine, ripristino e danno aziendale, e spesso dà accesso a un team di gestione degli incidenti. Legga le condizioni: molte polizze richiedono misure di base come la 2FA e i backup, e impongono una notifica rapida. L'ACN, sulla base di analisi relative a numerosi incidenti ransomware nelle PMI, ha segnalato che gli aggressori, dopo essere entrati, cercano file con nomi come "assicurazione" o "polizza" per rafforzare la propria posizione negoziale. Verifichi quindi quanto sia facile per un intruso trovare la Sua polizza, e preferibilmente non la conservi su un disco condiviso. Un'assicurazione non sostituisce le misure di sicurezza: copre il danno, ma non lo previene.

Fase 5: comunicare e imparare

Faccia raccontare dal referente per la comunicazione indicato nel Suo piano un'unica versione chiara a personale, clienti e fornitori: cosa è successo, cosa significa per loro, cosa devono fare (per esempio: prestare attenzione a e-mail che sembrano provenire da noi), e quando riceveranno ulteriori notizie. Essere onesti e tempestivi funziona meglio che tacere fino a quando la notizia trapela.

Pianifichi entro qualche settimana una valutazione: cosa è andato bene, cosa è andato storto, cosa cambierà? Emergono quasi sempre gli stessi punti: la 2FA mancava da qualche parte, un sistema non era aggiornato, il backup non era stato testato, oppure nessuno sapeva chi avesse l'autorità di decidere. Inserisca questi punti nel Suo piano della lezione 9.3, con un responsabile e una data.

Nella pratica: ecco come si presenta

In caso di sito web violato su un piano di hosting, spesso si lavora con gli strumenti della propria società di hosting. Presso WebOké, questi sono ad esempio una scansione malware (Imunify360), i file di log in DirectAdmin, il ripristino di un backup da WebOké Backups e una procedura guidata nella documentazione di DirectAdmin. Presso altri fornitori di hosting esistono strumenti simili; chieda al Suo fornitore cosa è disponibile e fino a quanto tempo indietro arrivano i backup, prima che ne abbia bisogno.

Riepilogo

• Il ripristino avviene in cinque fasi: contenere, indagare, ripristinare in modo pulito, denunciare e notificare, comunicare e imparare.
• Isoli, non spenga, e modifichi le password solo da un dispositivo pulito.
• Non ripristini nulla prima di sapere come è entrato l'aggressore; altrimenti riapre anche la porta.
• Reinstalli i dispositivi infetti e ripristini da un backup precedente all'intrusione.
• Sporga denuncia, consulti No More Ransom, e preferibilmente non paghi il riscatto.

Quiz

Esercizio

Esercizio A8.3: Metta il ripristino nell'ordine corretto. Riceve un caso e dieci fasi separate (per esempio "ripristinare il backup", "scollegare il cavo di rete", "verificare come è entrato l'aggressore", "sporgere denuncia"). Le metta nell'ordine corretto. Il programma verifica che le regole d'ordine fisse siano rispettate (per esempio: isolare prima di ripristinare, individuare la causa prima di ripristinare, reinstallare prima di ripristinare i dati) e spiega il motivo di ogni errore.

Per approfondire

I passaggi descritti negli articoli di WebOké valgono per l'ambiente di WebOké; presso altri fornitori il funzionamento è simile.

• Guida DirectAdmin 18.2: Il mio sito web è stato violato: piano d'azione
• Aiuto! Il mio sito è stato hackerato. Come posso risolvere o prevenire il problema?
• Scanner Imunify360
• WebOké Backup: visualizzare, ripristinare o scaricare un backup
• ACN, risorse sulla gestione degli incidenti ransomware: https://www.acn.gov.it/
• CSIRT Italia: https://www.csirt.gov.it/
• No More Ransom: https://www.nomoreransom.org/it/index.html