Allarme Cryptovirus: prevenire per non pagare il riscatto

Veniamo alla domanda più calda quando si parla di ransomware: cosa è possibile fare quando, nonostante le dovute attenzioni, il proprio sistema viene colpito da uno di questi malware? Estinguiamo subito le speranze sottolineando che tutti i casi in cui le società di sicurezza sono state in grado di recuperare i file criptati si riconducono a poche circostanze: sequestro dei server che ospitano le chiavi di cifratura, infiltrazione di ricercatori di sicurezza nei sistemi degli attaccanti o implementazione non corretta dei sistemi di crittografia. Un ransomware correttamente programmato e le cui chiavi di cifratura siano adeguatamente protette lascia pochissimo se non nullo spazio alla possibilità di recuperare i dati senza la giusta chiave, per la quale è richiesto il riscatto.

Riscatto che sconsigliamo nella maniera più assoluta di corrispondere: non vi è infatti alcuna garanzia che l'attaccante fornisca la chiave corretta, non vi è nessuna assicurazione che il problema non si ripresenti e, in ultima istanza, si alimenterebbe il giro criminale cui Manzoni faceva riferimento nella pagina precedente. E' interessante osservare, a tal proposito, che molti servizi di cambio bitcoin stanno approntando un sistema di monitoraggio per individuare quelle somme che più frequentemente sono state chieste come riscatto, allo scopo di ostacolare il fenomeno.

Chiarito ciò, quali eventuali contromisure immediate è possibile adottare non appena ci si accorge di essere stati colpiti da un ransomware? Suggerisce Giuliani: "Molti ransomware necessitano di una connessione ad Internet. Un primo trucco banale ma efficace contro qualche variante di ransomware è quello di interrompere appena possibile la connessione al web. In questo modo per alcune versioni la routine di crittografia dei dati viene interrotta, permettendo di limitare i danni. In alternativa si può spegnere il computer il prima possibile, per poter recuperare in un secondo momento ciò che ancora non è stato compromesso". Successivamente si può tentare di avviare il sistema tramite un antivirus con boot da CD (ad esempio Kaspersky Rescue Disk, Windows Defender Offline, BitDefender bootable CD, Dr.Web Live Disk) o da altra unità per trattare l'infezione: è consigliabile in questo caso non eliminarla ma confinarla in quarantena poiché rivolgendosi ad una società di sicurezza è possibile far analizzare la minaccia e tentare un recupero dei dati.