È recentissima la notizia di un’operazione condotta da Fbi ed Europol contro la botnet GameOver Zeus, che ha portato al blocco dei server che gestiscono tra gli altri, il malware CryptoLocker. Non è una notizia da poco, perché porta all’attenzione del pubblico una tipologia di malware ancora relativamente poco nota, chiamata ransomware, di cui CryptoLocker fa parte. Con il ransomware, il crimine informatico sta esplorando una nuova frontiera. Spesso e volentieri, infatti, gli hacker non puntano più a sottrarre i dati di un’azienda ma si “limitano” a cifrarli, rendendoli illeggibili. All’azienda arriva poi una vera e propria richiesta di riscatto: se non viene soddisfatta, la chiave di decrittazione viene distrutta, e i dati resteranno per sempre inutilizzabili.
Da quando è stato individuato, a fine estate del 2013, CryptoLocker ha preso di mira oltre 200mila computer, più della metà dei quali negli Stati Uniti. E nei primi due mesi di attività del malware, sempre secondo fonti del Ministero di Giustizia statunitense, CryptoLocker ha fruttato ai suoi ideatori la bella somma di 27 milioni di dollari.
Rapimento e riscatto. Come difendersi
Una volta attivato sul Pc di un utente, CryptoLocker avvia una ricerca su tutte le cartelle e drive a cui è possibile accedere dal computer infetto, compresi dischi di back-up in rete sui server aziendali. Successivamente inizia a scombinare i file utilizzando una crittografia a 2048 bit virtualmente impossibile da decriptare. I file rimarranno crittografati a meno che l’azienda non paghi un riscatto per rilasciare la chiave di decriptazione – supponendo, naturalmente, che i criminali forniscano effettivamente la chiave una volta pagato.
Check Point Software Technologies pone l’attenzione su due aspetti particolari di questa minaccia, evidenziati qui di seguito.
La centralità del dato
“Malware come Cryptolocker sottolineano ulteriormente l’importanza fondamentale che i dati rivestono per un’organizzazione. Sono l’asset fondamentale su cui si basa ogni attività aziendale, e vanno difesi ad ogni costo da eventuali interferenze esterne – spiega David Gubiani, Technical Manager di Check Point Software Technologies Italia –. Oggi più che mai, il concetto di perimetro ha perso valore, e quella che deve essere garantita è la protezione ai dati in sé, ovunque essi si trovino, dentro o fuori da un’organizzazione”.
“È fondamentale innanzitutto che le organizzazioni implementino le stesse best practice di sicurezza di base consigliate per proteggere i computer da qualsiasi altro tipo di malware – continua David Gubiani –. Assicurarsi che il software anti-virus sia aggiornato con le più recenti signature, verificare parallelamente che il sistema operativo e le relative patch siano aggiornati, installare un firewall sia in entrata che in uscita sul Pc di ogni utente, e soprattutto educare gli utenti sulle tecniche di social engineering, specialmente quando si trovano di fronte ad allegati sconosciuti che arrivano nella posta indesiderata”.
L’importanza del sandboxing
Non sempre le soluzioni antivirus convenzionali possono aiutare, perché spesso e volentieri si trovano di fronte a variazioni del codice che rendono il malware formalmente inedito. Per difendersi contro i nuovi exploit che non possono essere rilevati dalle soluzioni antivirus convenzionali, una nuova tecnica di sicurezza permette di isolare i file dannosi prima che entrino nella rete in modo che l’infezione accidentale non si verifichi.
Senza incidere sul flusso aziendale, questa tecnologia apre i file sospetti che arrivano via email e controlla il loro contenuto in un ambiente virtualizzato noto come ‘sandbox’. Nella sandbox, il file viene monitorato in tempo reale per registrare qualsiasi comportamento insolito, come ad esempio tentativi di apportare modifiche di registro, azioni o connessioni di rete anomale. Se il comportamento del file risulta essere sospetto o potenzialmente dannoso, questo viene bloccato e messo in quarantena, per prevenire ogni possibile infezione prima che raggiunga la rete – o le caselle di posta degli utenti – azzerando così il rischio che possa causare danni.
