Un porto del Nord Europa bloccato dal ransomware: perché stavolta il backup non basta a dormire tranquilli

Per qualche ora, le gru e la movimentazione dei container di un terminal del Nord Europa si sono fermate. La causa è un attacco ransomware: un tipo di malware che cifra i file della vittima — cioè li rende illeggibili con una password che solo l'attaccante conosce — e poi chiede denaro per restituirli.

Fin qui la storia la conosciamo. La novità degli ultimi anni, e di questo caso, è la doppia estorsione. Prima di cifrare, gli attaccanti copiano via i dati. Così hanno due leve invece di una: «ti ridiamo i file se paghi» e, soprattutto, «se non paghi pubblichiamo tutto quello che ti abbiamo rubato». Questa seconda minaccia è quella che conta, perché rende inutile anche un buon backup.

Come sono entrati e cosa hanno fatto

La catena d'attacco ricostruita è quella classica del ransomware moderno, e vale la pena seguirla passo passo perché ogni anello è un punto in cui ci si poteva difendere.

Tutto comincia quasi sempre con una email di phishing: un messaggio ingannevole che convince un dipendente ad aprire un allegato o cliccare un link. Da lì entra un beacon (un programma-sentinella che apre un canale verso gli attaccanti). Poi gli intrusi rubano le password salvate in memoria sui computer — la tecnica tecnica si chiama dump di LSASS, dal nome del componente di Windows che custodisce le credenziali. Con quelle password si spostano da un computer all'altro usando le cartelle condivise di rete (il protocollo SMB), fino ad arrivare ai sistemi che contano. Solo alla fine fanno partire la cifratura su tutti insieme.

Quando parte la cifratura, la partita è già persa da giorni: è l'ultimo atto di un'intrusione cominciata molto prima. Il tempo per difendersi è prima.

Come ci si difende davvero

Proprio perché il furto dei dati viene prima della cifratura, la difesa non può limitarsi al backup. Serve fermare l'intrusione a monte. I segnali più utili da sorvegliare sono tre: qualcuno che legge la memoria dove stanno le password, la creazione di servizi su altri computer via rete, e improvvisi caricamenti di grandi quantità di dati verso l'esterno. Ecco come si traduce in pratica:

# Allarme: un processo insolito legge le password in memoria (log Sysmon)
Processo bersaglio: lsass.exe
Permesso richiesto: lettura della memoria (0x1010 / 0x1410)
Processo origine: NON antivirus o processi di sistema legittimi

# Misure che riducono il danno
- Impedire l\u2019esecuzione di programmi dalle cartelle condivise
- Attivare la protezione delle password in memoria (RunAsPPL)
- Backup non modificabili, tenuti offline, e provati davvero

Perché conta. Il backup ti protegge dal fermo macchina, ma non dalla pubblicazione dei dati già usciti. La vera difesa è a monte: password forti con secondo fattore, reti separate in compartimenti (così un attaccante che entra in uno non arriva ovunque) e un occhio costante su chi si muove dentro la rete.