Il primo giorno di un incidente ransomware decide quanto si perde, quanto dura il ripristino e se in seguito sarà possibile spiegare cosa è successo. L’istinto è spegnere tutto e cominciare a ripristinare. Rallenti quanto basta per contenere l’attacco senza distruggere le evidenze che le serviranno.
Ore 0-1: contenere senza distruggere le evidenze
Scolleghi dalla rete i sistemi colpiti: stacchi il cavo, disattivi il Wi-Fi, chiuda la porta dello switch o usi la funzione di isolamento dello strumento di protezione degli endpoint. Se sembrano colpiti più sistemi o intere sottoreti, isoli a livello di switch anziché macchina per macchina.
Non spenga le macchine, a meno che non sia impossibile scollegarle. La #StopRansomware Guide della CISA considera lo spegnimento una soluzione di ripiego per i dispositivi che non possono essere scollegati dalla rete, perché lo spegnimento distrugge le evidenze presenti in memoria. Per ora non cancelli, non reinstalli e non esegua strumenti di pulizia.
Lasci la richiesta di riscatto e i file cifrati dove sono. Fotografi gli schermi che mostrano la richiesta.
Spostare la comunicazione fuori banda
Parta dal presupposto che l’attaccante possa leggere la sua email e la sua chat. La CISA raccomanda metodi fuori banda, come le telefonate, per coordinare la risposta senza metterlo in allarme. Organizzi una conferenza telefonica o un gruppo di messaggistica su dispositivi che non facevano parte dell’ambiente colpito.
Nomini un unico responsabile dell’incidente. Avvii un registro scritto con data e ora di ogni decisione e azione. Le servirà per le autorità di regolamentazione, le assicurazioni e la sua analisi post-incidente.
Preservare le evidenze
Prima di ricostruire qualsiasi cosa, raccolga ciò che servirà all’indagine:
- un’immagine del disco e un’acquisizione della memoria da un campione di macchine colpite, come raccomanda la CISA
- i log di firewall, VPN, protezione degli endpoint, domain controller, email e servizi cloud
- la richiesta di riscatto, alcuni file cifrati e l’estensione che il malware ha aggiunto ai file
I log sui sistemi colpiti potrebbero essere stati modificati o cancellati. Il Comitato europeo per la protezione dei dati (EDPB) avverte che l’assenza di una voce di log non dimostra che i dati non siano stati esfiltrati e raccomanda di inoltrare i log a un server centrale. Esporti ciò che ha prima che le impostazioni di conservazione lo sovrascrivano.
Delimitare la portata
I file cifrati mostrano dove è finito l’attacco, non dove è iniziato. La CISA consiglia di cercare malware delle fasi precedenti e segni di furto di dati. Cerchi di rispondere a quattro domande:
- Quali sistemi e quali dati sono cifrati o coinvolti?
- Quali account ha usato l’attaccante? Cerchi nuovi account, account con privilegi appena elevati e attività insolite degli amministratori.
- Come è entrato? Controlli, ad esempio, accessi remoti senza MFA, sistemi esposti a internet non aggiornati ed email di phishing recenti.
- Sono stati copiati dati all’esterno? Controlli i log di firewall e proxy alla ricerca di grandi trasferimenti in uscita.
L’ultima domanda determina in larga parte la sua posizione legale, quindi tratti ogni incertezza come un “forse sì” finché non può escluderlo.
Reimpostare le credenziali nell’ordine giusto
Parta dal presupposto che ogni credenziale usata o memorizzata su un sistema colpito sia nota all’attaccante. Esegua i reset da un dispositivo pulito, mai da una macchina della rete colpita.
Reimpostare le password mentre l’attaccante ha ancora un punto d’appoggio può semplicemente consegnargli quelle nuove. La checklist della CISA colloca il reset completo dopo la pulizia e la ricostruzione dell’ambiente. Potrebbe comunque servire prima un reset d’emergenza degli account più potenti, per tagliare l’accesso. Concordi l’ordine con chi gestisce la risposta. Una sequenza sensata è:
- Amministratori del dominio e dell’identità cloud, ed eventuali account break-glass
- Amministratori di backup, hypervisor e storage
- Amministratori di accesso remoto, VPN e firewall
- Account di servizio, soprattutto quelli con diritti estesi
- In Active Directory, l’account
krbtgt, due volte. La guida al ripristino della foresta di Microsoft spiega perché servono due reset e quanto attendere tra l’uno e l’altro. - Tutti gli altri utenti, revocando sessioni e token esistenti
Verificare i backup prima di farvi affidamento
La CISA osserva che molte varianti di ransomware cercano i backup accessibili e li cancellano o li cifrano. Prima di pianificare il ripristino, verifichi quali copie di backup sono integre, quando è stata eseguita l’ultima copia pulita e se è possibile ripristinarla.
Ripristini prima in un ambiente isolato. La CISA avverte che i dropper e gli strumenti simili delle fasi precedenti devono essere individuati prima di ricostruire dai backup. Altrimenti si rischia di ripristinare il problema insieme ai dati.
Le scadenze legali e normative
Diverse scadenze possono decorrere dal momento in cui si viene a conoscenza dell’incidente. Corrono in parallelo.
| Norma | Si applica quando | Scadenza | Notifica a |
|---|---|---|---|
| Articolo 33 del GDPR | Sono coinvolti dati personali, a meno che sia improbabile che la violazione presenti un rischio per le persone | Senza ingiustificato ritardo e, ove possibile, entro 72 ore | Autorità di controllo per la protezione dei dati |
| Articolo 23 della NIS2 | L’organizzazione è un soggetto essenziale o importante e l’incidente è significativo | Preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese | CSIRT nazionale o autorità competente |
| KVKK (Turchia) | Sono coinvolti dati personali trattati ai sensi della legge turca | Senza ritardo e comunque entro 72 ore | Comitato turco per la protezione dei dati personali |
Il ransomware è di solito una violazione della disponibilità, e spesso anche della riservatezza. Negli esempi pratici dell’EDPB, un attacco con un buon backup e senza esfiltrazione potrebbe non richiedere la notifica, ma deve comunque essere documentato internamente ai sensi dell’articolo 33, paragrafo 5. Un attacco senza un backup utilizzabile, o con furto di dati, deve in genere essere notificato. Se le persone sono esposte a un rischio elevato, ad esempio per il furto di documenti d’identità, devono essere informate anch’esse.
Non servono risposte complete per rispettare queste scadenze. La notifica NIS2 è per sua natura a fasi, e ai sensi dell’articolo 33, paragrafo 4, del GDPR le informazioni possono essere fornite in fasi successive senza ulteriore ingiustificato ritardo. Verifichi anche la polizza di assicurazione cyber, che può prevedere propri obblighi di notifica, e denunci il reato alla polizia.
Pagare o non pagare
L’NCSC britannico e le forze dell’ordine del Regno Unito non incoraggiano né approvano il pagamento. Pagare non garantisce di riavere i dati. I sistemi resteranno infetti e l’organizzazione potrebbe tornare a essere un bersaglio. Il progetto No More Ransom, sostenuto da Europol e dalla polizia olandese, pubblica strumenti di decifratura gratuiti per alcune famiglie di ransomware: conviene verificare prima lì.
Il pagamento può anche essere illegale. L’Office of Foreign Assets Control (OFAC) del Tesoro statunitense ha avvertito che i pagamenti di riscatti a persone soggette a sanzioni possono violare le norme sanzionatorie statunitensi. Le sanzioni civili possono applicarsi a titolo di responsabilità oggettiva. Il regolamento (UE) 2019/796 concernente gli attacchi informatici vieta di mettere fondi a disposizione delle persone che elenca. Qualsiasi decisione di pagamento spetta alla direzione, ai consulenti legali e alle forze dell’ordine, non al team IT nel cuore della notte.
Cosa non fare
- Non spenga le macchine, a meno che non possa isolarle.
- Non ricolleghi né ripristini i sistemi prima di sapere come è entrato l’attaccante.
- Non negozi con l’attaccante, né gli risponda, senza il parere di esperti e legali.
- Non discuta dell’incidente tramite email o chat aziendali che potrebbero essere monitorate.
- Non cancelli nulla, nemmeno la richiesta di riscatto.
Da dove iniziare, prima che accada
- Stampi il piano di risposta agli incidenti e l’elenco dei contatti, e ne conservi copie fuori dalla rete.
- Stabilisca in anticipo chi può autorizzare la disconnessione dei sistemi.
- Conservi almeno una copia di backup che le credenziali di amministratore non possano cancellare, e verifichi i ripristini.
- Annoti fin d’ora i contatti per le notifiche GDPR, NIS2 e KVKK.
- Si assicuri un supporto per la risposta agli incidenti prima di averne bisogno.
Se sta affrontando un incidente in questo momento, il nostro team di risposta agli incidenti può aiutarla a contenerlo e a seguire questi passaggi.
