Ottobre è il mese europeo della sicurezza informatica, e lo apriamo con il rischio che oggi pesa di più sulle piccole e medie imprese. Non parleremo di cosa fare nei primi minuti dopo la scoperta: quella sequenza l'abbiamo descritta nell'articolo sui primi 30 minuti di un data breach. E non rifaremo il discorso sul backup, che ha già il suo pezzo con la regola 3-2-1-1-0. Qui interessa tutto quello che succede prima: la cronologia reale di un attacco, fase per fase, perché ogni fase lascia tracce e ognuna è un punto in cui la catena si può spezzare.
Non è un fulmine: è una cronologia
Il ransomware che colpisce una PMI raramente è un virus che si diffonde da solo e cifra tutto in un pomeriggio. Nella grande maggioranza dei casi è un'operazione condotta da persone, spesso organizzate come un'azienda vera: c'è chi procura l'accesso e lo rivende, chi lo sfrutta, chi tratta il riscatto. La sequenza ha quattro tempi abbastanza costanti: l'ingresso, la permanenza, il furto dei dati e solo alla fine la cifratura. La parte visibile, quella con la richiesta di riscatto, dura poche ore. Le altre tre possono durare giorni o settimane.
La cifratura non è l'inizio dell'attacco. È il momento in cui l'attaccante ha finito il lavoro e decide di farsi vedere.
Come entra: tre porte, quasi sempre le stesse
Credenziali comprate. La via d'ingresso più banale è anche la più frequente: un nome utente e una password validi. Arrivano da un vecchio furto di dati di un altro sito dove il dipendente usava la stessa password, da un programma malevolo installato sul PC di casa che raccoglie tutto ciò che viene digitato, da un mercato dove gli accessi alle aziende si vendono a pacchetti, a volte per poche centinaia di euro. Se l'account non ha un secondo fattore, quella password basta per entrare nella posta o nell'accesso remoto. È il motivo per cui abbiamo insistito sull'MFA e sul password manager: non sono comodità, sono la porta principale chiusa a chiave.
Un servizio esposto su internet. Il desktop remoto aperto direttamente verso l'esterno, una VPN o un firewall con una vulnerabilità nota e mai corretta, un portale web dimenticato. Sono porte che si trovano con una scansione automatica di tutto internet, senza nemmeno sapere chi ci sia dietro: l'azienda non viene scelta, viene trovata. Le porte aperte sul router le abbiamo cercate nel pezzo sulla rete dell'ufficio, e le correzioni da installare per prime in quello sugli aggiornamenti rimandati: in cima alla coda, non a caso, c'è proprio ciò che è esposto su internet.
Una persona che apre qualcosa. Un allegato, un link, un finto aggiornamento del browser, un documento che chiede di «abilitare il contenuto». Rispetto a qualche anno fa questa via pesa un po' meno, perché le altre due sono più comode, ma non è sparita. I segnali per riconoscere l'email sospetta sono quelli dei sette punti che abbiamo pubblicato ad aprile.
Le settimane di silenzio
Entrato in un PC o in una casella, l'attaccante non cifra niente. Sarebbe uno spreco: colpirebbe una sola postazione e verrebbe scoperto subito. Comincia invece un lavoro paziente di ricognizione. Guarda com'è fatta la rete, quali server ci sono, dove stanno i file, chi sono gli amministratori. Cerca di ottenere privilegi più alti: la password di un account amministrativo salvata in un file, un tecnico che ha usato la propria utenza di dominio su quel PC, un servizio configurato male. Poi si sposta da una macchina all'altra.
Qui la differenza la fa com'è costruita la rete. In una rete piatta, in cui ogni dispositivo vede tutti gli altri, il passaggio dal portatile del commerciale al server del gestionale è questione di minuti. In una rete segmentata, con un firewall che fa da vigile fra i reparti, ogni passaggio è un ostacolo e ogni ostacolo è un rumore che qualcuno può sentire. Era la frase con cui abbiamo chiuso settembre: la rete piatta è il miglior alleato del ransomware.
La cosa che sorprende di più, quando si ricostruisce un attacco a posteriori, è che i segnali c'erano. Un accesso alle tre di notte da un'utenza che lavora di giorno. Un account amministrativo nuovo che nessuno ricorda di aver creato. Strumenti di amministrazione perfettamente legittimi, usati però da una postazione che non ne ha mai avuto bisogno. L'antivirus disattivato su un server. Tutto registrato, tutto visibile — a patto che qualcuno guardasse. Non è un caso che fra i controlli dell'audit di rientro ci fossero gli allarmi che nessuno legge.
Prima di cifrare, copia
Prima dell'ultimo atto c'è un passaggio che ha cambiato la natura del ransomware negli ultimi anni: l'esfiltrazione. L'attaccante individua i dati che valgono qualcosa — contabilità, contratti, dati dei clienti, buste paga, documenti sanitari, progetti — e li copia fuori, di solito di notte, spesso verso servizi di archiviazione cloud del tutto normali, così che il traffico non dia nell'occhio. Si parla di decine o centinaia di gigabyte che escono dalla rete senza che nessuno se ne accorga.
Il motivo è la doppia estorsione. Un tempo il ricatto era uno solo: paga, o non rivedrai i tuoi file. Le aziende hanno cominciato a rispondere con backup migliori, e gli attaccanti si sono adeguati: ora il ricatto è doppio. Anche se ripristini tutto, i dati li abbiamo noi, e se non paghi li pubblichiamo, li mandiamo ai tuoi clienti, li vendiamo. A quel punto il backup ti restituisce l'operatività, ma non può restituirti la riservatezza. E un furto di dati personali è, a tutti gli effetti, una violazione da gestire secondo il GDPR, con le sue notifiche e le sue scadenze.
Perché sempre il venerdì sera
Quando tutto è pronto, l'attaccante sceglie il momento. Non è un dettaglio: la cifratura viene lanciata quasi sempre di notte, nel fine settimana o alla vigilia di un ponte, quando in ufficio non c'è nessuno, il tecnico non risponde e ogni ora di vantaggio vale molto. Venerdì sera, la notte di Ferragosto, il lungo fine settimana di inizio novembre, i giorni fra Natale e Capodanno: le date preferite sono le stesse in cui un'azienda ha meno occhi aperti.
E prima di cifrare, l'ultimo gesto è cercare i backup. Le copie raggiungibili dalla rete, il NAS montato come disco, la console del software di backup protetta dalla stessa password dell'amministratore di dominio: tutto ciò che l'attaccante può raggiungere, lo cancella o lo cifra per primo. Poi parte la cifratura vera, che su una rete di una PMI richiede poche ore. Il lunedì mattina è solo il momento in cui qualcuno se ne accorge.
Il backup che l'attaccante non può raggiungere
Da qui discende l'unica cosa che vale la pena dire sul backup in questo articolo: non basta averlo, deve essere fuori dalla portata di chi è già dentro. Una copia che si raggiunge con le credenziali dell'amministratore di rete è una copia che l'attaccante, una volta diventato amministratore, cancella. Servono almeno una copia immutabile o scollegata, che non si possa modificare né eliminare per un periodo stabilito nemmeno avendo le chiavi di casa, e credenziali di gestione del backup separate da tutto il resto, con il loro secondo fattore. È esattamente l'«1» in più della regola 3-2-1-1-0; nelle aziende che seguiamo questo ruolo lo svolge una soluzione Datto con copie nel cloud non modificabili dalla rete del cliente. E poi lo «0»: un ripristino provato, non dato per scontato.
Pagare non chiude la partita
Prima o poi, in una riunione d'emergenza, qualcuno pronuncia la frase: «quanto chiedono? Forse conviene pagare e ripartire». È una decisione che spetta all'azienda, ma va presa sapendo cosa si compra, e cosa no.
La chiave funziona, ma non sempre bene. Il programma di decifratura fornito dagli attaccanti è spesso lento, a volte fallisce su file grandi o database, e ripristinare un server con quello strumento può richiedere giorni. Pagare non significa ripartire domattina.
I dati restano copiati. La promessa di cancellare ciò che è stato portato via è, appunto, una promessa di chi ti ha appena ricattato. Non c'è modo di verificarla, e capita che gli stessi dati ricompaiano mesi dopo.
La porta è ancora aperta. Se non si è capito come sono entrati e non lo si è chiuso, l'accesso è ancora lì. Le aziende che pagano sono, prevedibilmente, quelle che ricevono una seconda visita: hanno dimostrato di essere clienti solvibili.
A questo si aggiungono questioni legali e assicurative da valutare con chi di dovere, e che non si risolvono in una notte. La sintesi è semplice: il pagamento, nel migliore dei casi, risolve un pezzo del problema. Gli altri restano tutti sul tavolo.
Dove si spezza la catena
La buona notizia sta tutta nella cronologia: perché l'attacco riesca, l'attaccante deve superare ogni fase; per fermarlo, all'azienda basta interromperne una. Rimettendo in fila i quattro tempi, le contromisure si dispongono quasi da sole:
All'ingresso: MFA su posta e accessi remoti, niente desktop remoto esposto su internet, gli apparati esposti aggiornati per primi, persone che sanno riconoscere e — soprattutto — segnalare.
Durante la permanenza: account amministrativi separati da quelli di lavoro quotidiano e usati solo quando servono, una rete segmentata, e un sistema di protezione delle postazioni che non si limiti a bloccare i virus noti ma registri i comportamenti anomali, con qualcuno che legge gli allarmi. Chi ha Microsoft 365 Business Premium ha già Defender incluso nella licenza, come raccontavamo nel pezzo sulle funzioni che si pagano e non si usano.
Durante il furto dei dati: un firewall che controlla anche il traffico in uscita e segnala volumi anomali verso l'esterno, soprattutto di notte. Nelle sedi che seguiamo è uno dei compiti degli apparati WatchGuard.
Al momento della cifratura: il backup irraggiungibile e un ripristino già provato, che trasformano un disastro in qualche giorno di lavoro faticoso ma gestibile.
In sintesi
Il ransomware non arriva il lunedì mattina: entra settimane prima, quasi sempre con una password rubata, un servizio esposto su internet o un allegato aperto; resta in silenzio per giorni, studiando la rete e salendo di privilegi; copia fuori i dati che valgono, per poter ricattare anche chi ha un buon backup; e solo alla fine, in un fine settimana o alla vigilia di un ponte, cancella le copie raggiungibili e cifra. Pagare non restituisce i dati rubati e non chiude la porta da cui sono entrati. Ogni fase, però, lascia tracce, e ogni fase è un'occasione per fermarlo.
C'è un elemento che ricorre in tutte e quattro le fasi: una persona. Quella che riusa la password, quella che apre l'allegato, quella che vede qualcosa di strano e non sa se dirlo. Martedì prossimo, proseguendo il mese della sicurezza, passiamo proprio dalle persone: come si fa una formazione sulla sicurezza che lasci qualcosa, e perché la misura che conta non è quanti cliccano, ma quanto in fretta qualcuno segnala.
Vuoi sapere a che punto si fermerebbe un attacco nella tua azienda? Contattaci: verifichiamo le porte d'ingresso esposte, i privilegi amministrativi, la segmentazione della rete, chi legge gli allarmi e se il tuo backup sopravvive a un attaccante che ha già le chiavi di casa.
Articoli collegati: Data breach: i primi 30 minuti · La regola 3-2-1-1-0 · La rete dell'ufficio: lenta, piatta e senza schema