Ransomware

Cos’è Ransomware?

Gli attacchi ransomware costano alle organizzazioni in media 4,54 milioni di dollari per incidente secondo il rapporto IBM Cost of a Data Breach 2023, e il tempo mediano tra l'accesso iniziale e la distribuzione della crittografia e sceso a meno di 24 ore. Questa simulazione ti colloca nel momento esatto in cui un attacco ransomware inizia, partendo da un allegato email sospetto che innesca una catena di eventi attraverso la tua rete. Apri quello che sembra una fattura di routine o un documento HR. Entro pochi secondi, noti un comportamento anomalo del sistema: file che si rinominano con estensioni sconosciute, programmi che diventano non responsivi e una nota di riscatto che appare sullo schermo. L'esercizio ti costringe a prendere decisioni rapide sotto pressione. Ti disconnetti dalla rete immediatamente? Spegni la macchina? Chiami l'IT o provi a chiudere il file sperando per il meglio? Ogni scelta che fai nella simulazione rivela come il ransomware si propaga attraverso le unita condivise, sfrutta le connessioni di rete aperte e crittografa i dati sia localmente che attraverso le risorse di rete mappate. Imparerai a identificare i segnali d'allarme che precedono la crittografia, incluse modifiche inaspettate del tipo di file negli allegati email, attivita insolita di CPU e disco e software di sicurezza disabilitato. L'esercizio copre anche cosa fare dopo il fatto: isolare la macchina infetta, preservare le prove forensi e seguire il tuo piano di risposta agli incidenti piuttosto che pagare un riscatto che finanzia operazioni criminali e non offre alcuna garanzia di recupero dei dati.

Cosa imparerai in Ransomware

• Riconoscere i segnali d'allarme della distribuzione di ransomware attraverso allegati email, inclusi tipi di file inattesi e pressione di ingegneria sociale
• Eseguire i passaggi immediati di contenimento disconnettendosi dalla rete e isolando il dispositivo colpito entro i primi 60 secondi
• Identificare come il ransomware si propaga lateralmente attraverso unita condivise, connessioni SMB aperte e risorse di rete mappate
• Seguire il piano di risposta agli incidenti della tua organizzazione per il ransomware, inclusa la preservazione delle prove e le corrette procedure di escalation
• Spiegare perche pagare un riscatto non garantisce il recupero dei dati e come finanzia operazioni criminali in corso

Ransomware — Fasi della formazione

1. Una telefonata sospetta

   È un tipico lunedì mattina e Alice si sta sistemando alla scrivania. Mentre organizza le sue attività, il suo cellulare squilla, visualizzando 'Sconosciuto' sull'ID del chiamante.

2. Richiesta urgente

   Incuriosita, Alice risponde alla chiamata. Il chiamante si presenta come Bob dell'IT. 'Ciao, Alice. Oggi stiamo lanciando un aggiornamento critico per la sicurezza. Riceverai un'e-mail con le istruzioni per installarlo immediatamente. Seguile tempestivamente.' Alice ringrazia il chiamante e riattacca, sentendo l'urgenza di obbedire.

3. Controllo dell'e-mail

   Dopo la chiamata, Alice apre il suo client di posta elettronica per verificare la presenza del messaggio promesso. Nella posta in arrivo nota un'e-mail proveniente dal 'Supporto IT' con oggetto 'Urgente: aggiornamento di sicurezza richiesto'. L'e-mail si distingue per il suo tono urgente e Alice ricorda la telefonata credendo che fosse l'aggiornamento legittimo di cui le era stato informato.

4. Leggere l'e-mail

   Alice apre e legge l'e-mail. L'e-mail appare professionale e l'allegato sembra coerente con la telefonata. Alice, fidandosi della fonte, decide di procedere.

5. Avviso antivirus

   Alice fa clic per scaricare l'allegato e 'security_update.exe' viene visualizzato nel suo file manager. Viene visualizzato un breve avviso antivirus che suggerisce che il file potrebbe essere sospetto. Rassicurata dalla telefonata e dall'urgenza dell'e-mail, Alice respinge l'avviso, pensando che si tratti di un aggiornamento di routine da parte del team IT di Nexlify Solutions.

6. L'attacco ransomware

   Non appena Alice esegue il file, il suo schermo lampeggia e appare un messaggio minaccioso: 'Tutti i tuoi file sono stati crittografati. Per riottenere l'accesso, paga 1 BTC. Non tentare di rimuovere questo software, altrimenti perderai i tuoi file per sempre.' Il cuore di Alice sprofonda quando si rende conto di essere stata vittima di un attacco ransomware. I suoi file di lavoro critici sono ora inaccessibili e prova panico e rimorso.

7. Resistere al riscatto

   Alice si prende un momento per riprendersi. Ricorda una sessione di formazione di Nexlify Solutions in cui si sconsigliava il pagamento dei riscatti, poiché non garantisce il recupero dei file e non finanzia i criminali informatici. Determinata a non cedere alle richieste di Bob, decide di seguire il protocollo adeguato per affrontare la situazione.

8. Disconnessione dalla rete

   Per evitare che il ransomware si diffonda ad altri sistemi Nexlify Solutions, Alice spegne immediatamente il suo PC e lo disconnette dalla rete. Sa che il ransomware può propagarsi attraverso i drive condivisi, causando potenzialmente più danni. Isolando il suo dispositivo, limita l'impatto dell'attacco.

9. Riconoscere l'indirizzo email falso

   Ancora scossa, Alice usa il suo secondo PC e riapre l'e-mail dannosa per capire cosa è andato storto. Nota che l'indirizzo del mittente, 'itsupport@nexlifysolution.com', è leggermente discosto dal dominio legittimo di Nexlify Solutions, 'itsupport@nexlifysolutions.com'.

10. Sistema di supporto interno

    Alice sa che deve informare tempestivamente il reparto IT di Nexlify Solutions. Utilizza il browser Web per aprire il sistema di ticketing del supporto IT interno dell'azienda e accede al suo account.