Il ransomware è una tipologia di malware che blocca le risorse dell'utente con lo scopo di richiedere un riscatto per poterle sbloccare.

Tipicamente cripta i file della postazione infettata e di tutte le postazioni di rete accessibili.

Il primo ransomware, passato alla storia come PC Cyborg, nasce nel 1989 ad opera di Joseph Popp. Pc Cyborg eseguiva un payload il quale mostrava all'utente un messaggio in cui si diceva che la licenza di un qualche software installato era scaduta, criptava i file dell'hard disk e obbligava l'utente a pagare 189 dollari alla "PC Cyborg Corporation" per sbloccare il sistema. Questo malware, inserito in un dischetto, fu inviato per posta a circa 20.000 partecipanti alla "World Health Organization's AIDS Conference" e conteneva un'etichetta con scritto "AIDS information - Introductory Diskettes"

Rispondere a questa domanda è estremamente difficile. Sicuramente uno dei più famosi è Wannacry.

WannaCry è stato uno dei primi attacchi Ransomware a far tremare il mondo e fu causato da una negligenza della NSA (National Security Agency) americana.

Infatti, l’NSA all’epoca era a conoscenza di una vulnerabilità zero day nel protocollo SMB di Microsoft e al posto di comunicarla al vendor, sviluppò un exploit, ribattezzato Eternal Blue, volto al suo sfruttamento.

Purtroppo, l’NSA non riuscì ad utilizzare quest’arma in quanto nel febbraio del 2017 il gruppo hacker The Shadow Broker riuscì a bucare le sue difese e a rubare praticamente tutto il suo arsenale.

The Shadow Broker mise a disposizione della comunità criminale quanto sottratto e il gruppo Lazarus riuscì così a venire in possesso di Eternal Blue e a sferrare il micidiale attacco Wanna Cry.

L’attacco avvenne a settembre del 2017 sebbene Microsoft avesse già rilasciato una patch per il difetto a maggio, molti utenti non l’avevano installata e molte organizzazioni avevano la porta SMB – 445 – apertamente esposta a Internet.

Questa è un’altra domanda di difficile risposta in quanto molte vittime non dichiarano quanto hanno pagato di riscatto. Ma ad oggi il caso di CNA Financials è sicuramente è uno dei più eclatanti.

Infatti, nel marzo del 2021, il colosso assicurativo CNA Financial ha subito un attacco ransomware che ha causato un'interruzione diffusa della rete e ha avuto un impatto su diversi sistemi interni, inclusa la posta elettronica aziendale. Il malware utilizzato è stato Phoenix CryptoLocker ed il gruppo criminale ha ottenuto il pagamento di un riscatto di ben $ 40 milioni.

I numeri sopra sono solo una parte della storia, tuttavia. Molte organizzazioni si rifiutano di pagare o non ammettono di pagare riscatti ancora più pesanti. Degno di nota è l'attacco di REvil ad Acer, con una richiesta di pagamento di $ 50 milioni, sebbene Acer abbia taciuto sul fatto che abbiano pagato o meno questo riscatto.

REvil ha anche colpito il fornitore Apple Quanta con una richiesta di $ 50 milioni e, quando si sono rifiutati di pagare, sono passati a chiedere il pagamento ad Apple. E come se ciò non bastasse, REvil ha anche attaccato la società di software con sede in Florida Kaseya con una richiesta di riscatto di 70 milioni di dollari, anche se Kaseya si è rifiutata di pagarlo.

Decisamente NO! Questo per 3 validi motivi:

• Il pagamento del riscatto non garantisce di riavere la disponibilità di quanto criptato
• Le aziende che hanno pagato un riscatto sono soggette ad un maggior numero di attacchi in quanto i criminali le identificano come aziende propense a pagare
• Pagando il riscatto si alimenta questo mercato

I Ransomware è il malware che si è maggiormente evoluto nel tempo. Partendo da un software in grado di criptare file su disco e di richiedere un riscatto per l’ottenimento delle chiavi di decrittazione è diventato una minaccia sempre più pericolosa.

Il gruppo criminale dietro il Ransomware Clop è stato il primo a portare l’estorsione ad un livello superiore. Questo gruppo, infatti, prima di criptare i file ha iniziato ad esfiltrarli dall’organizzazione vittima minacciandola, se non avesse pagato il riscatto, di divulgarli su Internet.

Questo naturalmente aggiunge pressione alla vittima che, anche se avesse custodito diligentemente i backup e avesse potuto permettersi di non pagare il riscatto, avrebbe visto divulgate su web le proprie informazioni riservate.

Nella loro continua evoluzione i Ransomware hanno inserito un altro livello di estorsione, infatti gli autori del Ransomware Avaddon, per la prima volta hanno minacciato colpire la vittima con un micidiale attacco DDos se non avesse pagato il riscatto.

E siamo così arrivati al terzo livello.

Il quarto è stato raggiunto nuovamente dal gruppo Clop che oltre a criptare i file, minacciare di diffonderli in rete e attaccare la vittima con un micidiale DDos, invia e-mail a tutti i clienti del malcapitato informandoli di avere informazioni confidenziali sul loro conto, ottenute dai dati esfiltrati dalla vittima, e che verranno diffuse se il riscatto non venisse pagato.

Potete immaginare la pressione in seguito ad un’azione di questo tipo.

Il modello estorsivo è continuamente in evoluzione al punto che alcuni gruppi, se si accorgono di aver in mano segreti industriali, provano a venderli ai competitor, inviandogli un’e-mail con un saggio delle informazioni che verrebbero ad avere se dovessero pagar.

Immaginate se un Ransomware colpisse la Ferrari ed inviasse di dati sulla nuovissima e rivoluzionaria macchina ai loro competitor!

Questa minaccia è talmente temuta che a Maggio 2021 il Presidente degli Stati Uniti ha dichiarato che la minaccia Ransomware verrà trattata alla stregua della minaccia terroristica creando così una task force ad hoc per il suo contrasto.

Sicuramente sì! Per evitare di cadere vittima di questo malware sono necessarie attività su 3 differenti livelli:

• Infrastrutturali, ovvero partizionare opportunamente la propria rete e proteggerla con sistemi adeguati
• Procedurali, ovvero creare procedure di backup per consentire di poter riottenere i propri dati anche dopo che questi siano stati corrotti
• Formative, ovvero rendere i propri dipendenti coscienti delle azioni che compiono e per fare in modo di farli diventare la prima linea di difesa

Il fenomeno è in aumento: ora ci sono più di 50 famiglie di questo malware in circolazione e si sta evolvendo rapidamente. Con ogni nuova variante arriva una migliore crittografia e nuove funzionalità.

Uno dei motivi per cui è così difficile trovare un'unica soluzione è perché la crittografia in sé non è dannosa. In realtà è un buon sviluppo e molti programmi benigni lo usano.

Il primo malware crittografico, PC Cyborg, utilizzava un algoritmo a chiave simmetrica, con la stessa chiave per la crittografia e la decrittografia.

Nel corso del tempo, i criminali informatici hanno iniziato a implementare algoritmi di crittografia asimmetrica che utilizzano due chiavi separate: una pubblica per crittografare i file e una privata, necessaria per la decrittazione.

Il trojan CryptoLocker è uno dei ransomware più famosi. Utilizza un algoritmo a chiave pubblica. Quando ogni computer viene infettato, si connette al server di comando e controllo per scaricare la chiave pubblica. La chiave privata è accessibile solo ai criminali che hanno scritto CryptoLocker. Di solito, la vittima non ha più di 72 ore per pagare il riscatto prima che la sua chiave privata venga cancellata per sempre ed è impossibile decrittografare qualsiasi file senza questa chiave.

Quindi devi pensare prima alla prevenzione.

È possibile nei seguenti casi:

• Gli autori del malware hanno commesso un errore di implementazione, rendendo possibile la violazione della crittografia. Questo è stato il caso di Petya e CryptXXX.
• Gli autori del malware sono dispiaciuti per le loro azioni e pubblicano le chiavi, o una "chiave master", come nel caso TeslaCrypt.
• Le forze dell'ordine sequestrano un server con le chiavi su di esso e le condividono. Uno di questi esempi è CoinVault.