Ransomware: in Italia il 39% delle vittime paga il riscatto

Tratto da www.bitmat.it

Autore: Redazione BitMAT – 31/03/2021

Il 43% non è comunque stato in grado di recuperare le informazioni rubate

Un recente studio globale di Kaspersky ha mostrato che, nel 2020, il 39% degli italiani vittima di ransomware ha pagato il riscatto per ripristinare l’accesso ai propri dati. Tuttavia, il 43% non ha comunque recuperato le informazioni rubate. Fortunatamente, gli utenti sono sempre più consapevoli in tema di sicurezza informatica e questo è un ottimo segnale per la lotta contro i ransomware.

Il ransomware è un tipo di malware che viene utilizzato per estorcere denaro. In questo tipo di attacchi, viene usata la crittografia per impedire agli utenti di recuperare i propri dati o di accedere al proprio dispositivo.

Guardando ai dati a livello globale e alle fasce di età degli intervistati, nel 2020, gli utenti di età compresa tra 35 e 44 anni si sono dimostrati i più propensi a pagare il riscatto con il 65% di persone che ha dichiarato di averlo fatto. Inoltre, più della metà (52%) degli utenti di età compresa tra i 16 e i 24 anni e solo l’11% di quelli di età superiore ai 55 anni hanno versato denaro ai criminali, dimostrando che gli utenti più giovani sono più propensi a pagare un riscatto rispetto a quelli di età superiore ai 55 anni.

Tra gli italiani intervistati che hanno subito un attacco ransomware, il 33% ha dichiarato di aver perso quasi tutti i suoi dati. Indipendentemente dal fatto che abbiano pagato o meno, in Italia solo l’11% delle vittime è stato in grado di ripristinare tutti i file criptati o bloccati dopo l’attacco. Il 17%, invece, ne ha persi solo alcuni mentre il 22% non è riuscito a recuperarne una quantità significativa.

“Questi numeri mostrano che una percentuale significativa di utenti, negli ultimi 12 mesi, ha pagato un riscatto per recuperare i propri file. Purtroppo, pagare non garantisce nulla, anzi incoraggia i criminali informatici a proseguire con i loro attacchi e consente a questa pratica di prosperare, ha commentato Marina Titova, Head of Consumer Product Marketing presso Kaspersky. Per proteggersi gli utenti dovrebbero prima di tutto investire nella protezione e nella sicurezza dei propri dispositivi e fare regolarmente il backup di tutti i dati. Questo renderebbe l’attacco stesso meno redditizio per i criminali informatici, riducendo la diffusione di queste minacce e garantendo un futuro più sicuro per gli utenti del web.”

Oggi, il 28% ha sentito parlare dei ransomware negli ultimi 12 mesi. È importante che questa percentuale di persone consapevoli aumenti man mano che cresce il lavoro da remoto ed è fondamentale che gli utenti capiscano come comportarsi in presenza di un ransomware.

Kaspersky raccomanda di:

Non pagare il riscatto se il dispositivo è stato bloccato, questo incoraggerebbe i criminali a continuare nelle estorsioni. Si consiglia di contattare le forze dell’ordine locali e segnalare l’attacco
Cercare di scoprire il nome del trojan ransomware. Queste informazioni possono aiutare gli esperti di cybersecurity a decifrare e risolvere la minaccia
Visitare noransom.kaspersky.com per scoprire gli ultimi decryptor, i tool per la rimozione dei ransomware e le informazioni su come proteggersi da queste minacce
Evitare di cliccare sui link presenti nelle email spam o su siti web sconosciuti e non aprire gli allegati delle email inviate da utenti di cui non ci si fida.
Non inserire mai chiavi USB o altri dispositivi rimovibili di archiviazione nel proprio computer se non si è certi della loro provenienza
Proteggere il proprio computer dai ransomware con una soluzione completa di sicurezza online come Kaspersky Internet Security
Eseguire il backup dei dispositivi in modo che i propri dati rimangano al sicuro in caso di attacco

Per informazioni sulle soluzioni Kaspersky: dircom@argonavis.it

Kaspersky avverte: Lazarus prende di mira il settore della difesa

Tratto da BitMAT

Autore: Redazione BitMAT – 26/02/2021

I ricercatori di Kaspersky hanno identificato una nuova campagna APT a opera di Lazarus, un threat actor di minacce avanzate molto prolifico che risulta attivo almeno dal 2009 e al quale sono state attribuite una serie di campagne diverse tra loro.

A partire dai primi mesi del 2020, il gruppo ha preso di mira il settore della difesa con una backdoor personalizzata e soprannominata ThreatNeedle. La backdoor esegue movimenti laterali attraverso le reti infette sottraendo informazioni sensibili.

Lazarus è uno dei threat actor più prolifici del momento. Attivo almeno dal 2009, questo gruppo è stato coinvolto in campagne di cyberspionaggio su larga scala, campagne ransomware e persino attacchi contro il mercato delle criptovalute. Negli ultimi anni il gruppo si è concentrato sulle istituzioni finanziarie ma all’inizio del 2020 ha aggiunto ai suoi obiettivi anche organizzazioni che operano nel settore della difesa.

Silente, Lazarus, si espande a macchia d’olio

I ricercatori di Kaspersky si sono resi conto dell’esistenza di questa nuova campagna nel momento in cui sono stati coinvolti in un’attività di incident response. Il team preposto alla gestione dell’incidente ha scoperto che l’organizzazione coinvolta era vittima di una backdoor personalizzata (ovvero un malware che consente il controllo da remoto completo sul dispositivo). Soprannominata ThreatNeedle, questa backdoor si muove lateralmente attraverso le reti infette ed estrae informazioni riservate.

A oggi, sono state colpite organizzazioni in più di dodici Paesi.

L’infezione iniziale avviene utilizzando una tecnica di spear phishing. Le organizzazioni prese di mira ricevono una e-mail contente un allegato Word dannoso o un collegamento ad un file ospitato sui server aziendali. I messaggi di posta, inviati da presunti centri medici affidabili, dichiarano di contenere aggiornamenti urgenti relativi alla pandemia.

Nel momento in cui si apre il documento il malware viene rilasciato dando così il via al processo di distribuzione. Il malware ThreatNeedle, utilizzato in questa campagna, appartiene a una famiglia di malware del gruppo Lazarus nota come Manuscrypt ed era stato precedentemente rilevato in attacchi rivolti alle imprese di criptovaluta. Una volta installato, ThreatNeedle è in grado di ottenere il pieno controllo del dispositivo della vittima, il che significa che può fare qualsiasi cosa, dalla manipolazione dei file all’esecuzione dei comandi ricevuti.

Una delle tecniche più interessanti di questa campagna è la capacità del gruppo di rubare dati sia dalle reti IT dell’ufficio (ovvero una rete che contiene computer con accesso a Internet) e sia dalla rete limitata di un impianto (ovvero una rete che contiene mission-critical asset e computer con dati altamente sensibili e nessun accesso a Internet). Secondo la policy aziendale, nessuna informazione dovrebbe poter essere trasferita tra queste due reti. Tuttavia, gli amministratori possono connettersi a entrambe le reti per la gestione di questi sistemi. Lazarus è stato in grado di ottenere il controllo delle workstation degli amministratori per poi impostare un gateway malevolo e attaccare la rete limitata estraendo dati riservati.

Lazarus non è solo molto prolifico, ma anche sofisticato

Come sottolineato in una nota ufficiale da Seongsu Park, senior security researcher with the Global Research and Analysis Team (GReAT): «Lazarus è stato forse il threat actor più attivo del 2020 e questo è un trend che non accenna a diminuire. Infatti, già a gennaio di quest’anno, il Threat Analysis Team di Google ha riferito che Lazarus aveva utilizzato questa stessa backdoor per colpire i ricercatori di sicurezza. In futuro, ci aspettiamo di incontrare ancora ThreatNeedle e per questo terremo gli occhi aperti».

Come aggiunto da Vyacheslav Kopeytsev, security expert di Kaspersky ICS CERT: «Lazarus non è solo molto prolifico, ma anche sofisticato. Questo gruppo, infatti, oltre a superare la segmentazione della rete, ha anche condotto ricerche approfondite per creare e-mail di spear phishing altamente personalizzate ed efficaci e ha costruito strumenti personalizzati per estrarre le informazioni rubate su un server remoto. Tenuto conto che molti settori e aziende fanno ancora molto affidamento al lavoro a distanza e che, quindi, sono ancora più vulnerabili, è importante che vengano prese ulteriori precauzioni di sicurezza per proteggersi da questo genere di attacchi avanzati».

Per proteggersi da attacchi come ThreatNeedle, gli esperti di Kaspersky raccomandano di:

Fornire al personale una formazione di base sulla cyber hygiene, poiché molti attacchi mirati iniziano proprio con tecniche di ingegneria sociale come il phishing.
Se un’azienda utilizza una tecnologia operativa (OT) o ha una infrastruttura critica, è importante assicurarsi che queste siano separate dalla rete aziendale o che non ci siano connessioni non autorizzate.
Assicurarsi che i dipendenti conoscano e seguano le politiche di sicurezza informatica.
Fornire al team SOC l’accesso alla più recente threat intelligence (TI). Il Kaspersky Threat Intelligence Portal è un punto di accesso unico per la TI dell’azienda, che fornisce dati sugli attacchi informatici e approfondimenti raccolti da Kaspersky in oltre 20 anni di esperienza.
Implementare una soluzione di sicurezza di livello aziendale che rilevi tempestivamente le minacce avanzate a livello di rete, come Kaspersky Anti Targeted Attack Platform.
Implementare una soluzione dedicata ai nodi e alle reti industriali che consenta il monitoraggio del traffico di rete OT, l’analisi e il rilevamento delle minacce, come Kaspersky Industrial CyberSecurity.

Per informazioni sulle soluzioni Kaspersky: dircom@argonavis.it

Ottenere un decryptor gratuito per il ransomware Fonix

Tratto da Blog Kaspersky

Autore: Hugh Aver – 04/02/2021

Quando il gruppo ransomware Fonix ha improvvisamente annunciato la fine della sua attività e ha pubblicato la master key per decifrare i file criptati, i nostri esperti hanno immediatamente aggiornato il tool Rakhni Decryptor per automatizzare il processo. Potete scaricarlo proprio qui.

L’esempio di Fonix illustra ancora una volta perché, anche se non avete intenzione di pagare il riscatto (ed è una scelta intelligente), dovreste comunque mantenere i dati cifrati. Non tutti i criminali informatici si pentono e pubblicano le loro chiavi (o vengono catturati e i loro server confiscati), ma se a un certo punto le chiavi diventano disponibili, è possibile utilizzarle per ripristinare l’accesso alle vostre informazioni, ma solo se le avete conservate ovviamente.

Perché Fonix era considerato pericoloso

Il ransomware Fonix era conosciuto anche come Xinof. I criminali informatici hanno utilizzato entrambi i nomi, e i file cifrati sono stati rinominati con entrambe le estensioni, .xinof o .fonix. Gli analisti hanno descritto il ransomware come abbastanza aggressivo: oltre a cifrare i file sui sistemi delle vittime, il malware manipolava il sistema operativo per ostacolare gli sforzi di rimozione. Cifrava praticamente tutti i file sul computer obiettivo, lasciando solo quelli critici per il sistema operativo.

Gli autori del malware hanno creato Fonix seguendo il modello di ransomware-as-a-service (RaaS), lasciando ai client il compito di occuparsi degli attacchi effettivi. Più o meno a partire dalla scorsa estate, sui forum dei cybercriminali è apparsa un’intensa attività di pubblicità del malware. Chi si serviva del ransomware all’inizio poteva farlo gratuitamente, dando a Fonix un vantaggio competitivo: gli autori prendevano solo una percentuale di qualsiasi riscatto ottenuto.

Di conseguenza, varie campagne non collegate tra loro hanno aiutato il malware a diffondersi, di solito attraverso messaggi di spam. E così Fonix ha colpito sia i singoli utenti che le aziende. Fortunatamente, il ransomware non ha guadagnato una grande popolarità, quindi le vittime sono state relativamente poche.

Il cybercrimine dentro il cybercrimine

Nel suo annuncio, il gruppo Fonix ha dichiarato che non tutti i membri erano d’accordo con la decisione di chiudere. L’amministratore del suo canale Telegram, per esempio, sta cercando di vendere il codice sorgente del ransomware e altri dati. Tuttavia, quel codice non è reale (almeno, secondo l’account Twitter del gruppo Fonix), quindi è essenzialmente una truffa rivolta agli acquirenti del malware. Anche se le uniche vittime potenziali qui sono altri cybercriminali, si tratta comunque di una truffa.

Le ragioni di questa scelta

L’amministratore del progetto FonixCrypter ha detto che non ha mai avuto intenzione di impegnarsi in attività criminali, ma la crisi economica lo ha portato a creare il ransomware. In seguito ha cancellato il codice sorgente e, mosso dalla coscienza sporca, si è scusato con le vittime e ha pubblicato la master key. In futuro, ha riferito, ha intenzione di impiegare la sua conoscenza di analisi dei malware per scopi più nobili e spera che i suoi colleghi si uniranno a lui in questa impresa.

Come difendersi dai ransomware

Fonix non è più un problema; tuttavia, nel 2021 esistono altre tipologie di ransomware e sono più attivi che mai. Il nostro consiglio per stare al sicuro è sempre lo stesso:

Diffidate delle e-mail con allegati;
Non eseguite file ottenuti da fonti non verificate;
Utilizzate soluzioni di sicurezza su tutti i dispositivi di casa e di lavoro che hanno accesso a Internet;
Eseguite copie di backup di tutti i dati critici e custoditeli su dispositivi non collegati alla rete.

I prodotti Kaspersky per utenti privati e aziende rilevano Fonix (e altri ransomware) in modo proattivo. Inoltre, i nostri file scanner identificano Fonix prima che abbia la possibilità di essere eseguito.

Per ribadire: se siete vittima del ransomware Fonix, potete recuperare i vostri dati utilizzando il nostro strumento RakhniDecryptor 1.27.0.0, che potete scaricare da NoRansom.kaspersky.com

Per ulteriori informazioni: dircom@argonavis.it

Cyber security: la sicurezza aziendale che ti salva la vita!

Tratto da BitMAT

Autore: Redazione BitMAT – 19/01/2021

Con il termine cyber security si intende la protezione dei sistemi informatici (computer, reti di telecomunicazione, smartphone, ecc.) e delle informazioni digitali da attacchi interni e, soprattutto, esterni. Sinonimi di questo termine sono IT security, ICT security, sicurezza informatica e sicurezza delle informazioni.

I principali attacchi hacker

1. Attacchi brute force (forza bruta) e password sicure

Le misure di sicurezza sono utilizzate per ridurre i rischi, non per eliminarli. Per capire questo concetto, partiamo dalle password. I malintenzionati che quotidianamente provano ad attaccare i servizi sul web utilizzano programmi specializzati che provano migliaia di password al secondo, ventiquattr’ore su ventiquattro. Questo il motivo per cui la password dovrebbe essere complessa: idealmente dovrebbe essere composta da caratteri casuali, in modo da non dare nessun indizio all’attaccante su quale potrebbe essere la password. L’unico modo per indovinarla a questo punto sarebbe quello che si chiama attacco di forza bruta o brute force, che consiste semplicemente nel provare tutte le password fino a che non si trova quella giusta.

Per creare password sicure esiste una soluzione chiamata password manager. I password manager sono piccoli programmi installabili su pc o su smartphone, che permettono di generare password casuali senza alcuno sforzo, conservandole e proteggendole per noi con un’unica password. Dovendo accedere a un servizio, dal password manager copiamo la sua specifica password e la incolliamo nella pagina di autenticazione senza più bisogno di ricordarla. L’unica password che ci dovremo ricordare, e che dovrà essere veramente buona, sarà quella di accesso al password manager.

2. Attacchi di phishing

Attacco di phishing è il metodo usato dai malintenzionati per convincere gli utenti ad accedere a un sito esca/fasullo utilizzando le proprie credenziali. Il sito all’apparenza è uguale a quello originale, ma nella realtà è gestito dagli stessi malintenzionati.

Come proteggersi? Due sono le soluzioni: abbandonare la semplice password a favore di meccanismi di strong authentication e monitorare gli accessi per rilevare anomalie. I due meccanismi possono essere uniti per utilizzare la sola password quando si tratta di accessi “normali’ o di operazioni poco critiche, utilizzando invece l’autenticazione forte per accessi anomali od operazioni critiche.

La tecnologia però da sola non basta: fondamentale che gli utenti siano sensibili al problema.

3. Ransomware (Cryptolocker)

Attraverso gli stessi canali, e principalmente con la posta elettronica, può entrare in azienda il ransomware. Si tratta di malware che, una volta installatosi su di un computer aziendale, cifra i file di dati a cui hanno accesso, costringendo l’azienda a pagare un riscatto (ransom) per avere le chiavi di decifratura.

E’ proprio grazie al ransomware se il panorama della cyber security è cambiato. Diverse erano infatti le aziende, soprattutto medio-piccole, con la convinzione di non essere particolarmente vulnerabili e interessanti per gli attacchi da Internet.

Come proteggersi dal ransomware?

Sicuramente uno strumento fondamentale è l’antivirus, utile a prevenire le infezioni. Va anche detto che però da soli sono sempre meno efficaci poiché chi scrive i malware acquista gli antimalware e testa i propri prodotti fino a che non riescono a non essere rilevati. Solo a quel punto li diffondono mettendo in difficoltà i produttori di antivirus che necessitano poi di tempo per rilevare queste nuove varianti di malware e per istruire i propri prodotti a riconoscerli.

Fra le procedure per la protezione dei propri dati dal ransomware, è fondamentale il processo di backup che permette all’azienda di ripristinare i propri dati limitandone i danni. Nulla garantisce però all’azienda che, una volta pagato il riscatto, otterrà effettivamente la chiave efficace per decifrare i file; sempre più spesso accade che la chiave non venga inviata o che un difetto del malware non permetta il recupero dei file nonostante si sia ricevuta la chiave.

Cyber security: prevenzione e difesa

Primo step è la sponsorizzazione da parte dei manager aziendali di iniziative atte alla sicurezza, non riducendola a un mero problema del reparto IT. Si tratta di tutelare il patrimonio aziendale: la protezione non è rivolta ai pc ma a tutte le informazioni di valore per l’azienda.

Di conseguenza, il primo passo è identificare e valutare i rischi principali.

Da cosa partire? Da due documenti fondamentali: la policy di sicurezza e il regolamento utente. La policy di sicurezza è un documento che definisce i principi fondamentali nella gestione della sicurezza in azienda, si dichiara il commitment dell’azienda verso la protezione del proprio patrimonio informativo e si identificano le figure chiave che hanno in carico la gestione della cyber security, dando quindi loro l’autorevolezza per stabilire regole nell’uso e nella gestione del sistema informativo, diversamente difficile da far valere verso il personale. Il regolamento utente, invece, chiarisce quali sono i corretti e legittimi usi del sistema informativo e quali i comportamenti che gli utenti (personale ma anche consulenti, fornitori ecc.) devono tenere nell’utilizzo del sistema informativo aziendale e delle risorse quali Internet, posta elettronica, ecc.

A questi due documenti fondamentali si possono affiancare altre policy e procedure (gestione dei backup, gestione degli incidenti, ecc.) che, a seconda delle caratteristiche dell’organizzazione, possono essere più o meno strutturate.

Un’attenzione particolare va ai fornitori esterni: affidare la sicurezza a un servizio non significa scaricare il problema al fornitore pensando che non ci riguardi più; le risorse che si vogliono proteggere continuano ad essere patrimonio e responsabilità dell’azienda, che quindi dovrà assicurarsi che il livello della sicurezza del fornitore si mantenga adeguato, prima di tutto attraverso impegni contrattuali adeguati, e poi mediante audit e reportistica.

Infine, come anticipato, sono fondamentali la formazione e la sensibilizzazione del personale. Il comportamento e la disattenzione del personale sono la strada principale attraverso cui gli attaccanti riescono ad accedere al sistema informativo aziendale, molto più che attraverso vulnerabilità tecniche. La capacità degli utenti di comportarsi in modo sicuro e la formazione del personale tecnico sulle buone pratiche di sicurezza nella gestione del sistema informativo, sono quindi essenziali.

Perdita di dati e come comportarsi

Anche con la migliore gestione della sicurezza però, gli incidenti avvengono.

Come reagire?

L’azienda dovrà valutare se ripristinare sistemi e servizi o se invece non sarà più opportuno contenere l’incidente e raccogliere al contempo informazioni sull’attacco, attraverso quali canali è stato praticato e quali altre parti del sistema informativo sono state coinvolte, in modo da eliminare le vulnerabilità e migliorare la gestione della sicurezza.

Per gli incidenti più gravi, se definito, può anche scattare il piano di continuità operativa aziendale, in particolare le attività di disaster recovery che si occupano specificamente del ripristino dell’operatività del sistema informativo, sistema nervoso dell’azienda senza il quale questa non può funzionare a lungo.

La gestione della sicurezza, come si evince, richiede un impegno sia da parte delle piccole che delle grandi aziende che dovranno assegnare risorse coerenti con le esigenze aziendali.

Esigenze che finalmente le aziende cominciano a comprendere, investendo anche nei professionisti della cyber security, figure oggi molto ricercate.

Ragnar Locker e Egregor: il ransomware 2.0

Tratto da: BitMAT

Autore: Redazione BitMAT – 12/11/2020

I criminali ampliano il raggio d’azione dall’encryption dati alla pubblicazione di informazioni riservate

I comuni attacchi ransomware sono stati sostituiti, negli ultimi due anni, da attacchi mirati contro aziende e settori specifici: gli attaccanti non solo minacciano di criptare i dati ma pubblicano online le informazioni riservate. I ricercatori di Kaspersky hanno osservato questo trend nella recente analisi su Ragnar Locker ed Egregor, due importanti famiglie di ransomware.

In generale, gli attacchi ransomware sono considerati una delle minacce più gravi per le imprese. Non solo possono interrompere le operazioni aziendali critiche, ma possono anche causare ingenti perdite finanziarie. In alcuni casi, le multe e le cause legali sostenute in seguito alla violazione di leggi e regolamenti possono persino portare un’azienda al fallimento. Ad esempio, si stima che gli attacchi di WannaCry abbiano causato più di 4 miliardi di dollari di perdite finanziarie. Tuttavia, le nuove campagne ransomware stanno modificando il loro modus operandi, minacciando di rendere pubbliche le informazioni aziendali rubate.

Ragnar Locker e Egregor sono due note famiglie di ransomware che impiegano questo nuovo metodo di estorsione.

Ragnar Locker è stato scoperto per la prima volta nel 2019, ma è diventato noto solo nella prima metà del 2020, quando ha rivolto la propria attenzione a grandi organizzazioni. Gli attacchi sono estremamente mirati con ogni campione specificatamente adattato alla vittima designata. I dati riservati di chi si rifiuta di pagare il riscatto, così come le conversazioni intercorse con gli attaccanti, vengono pubblicati nella sezione “Wall of Shame” del loro sito dedicato informazioni rubate. I principali obiettivi di Ragnar Locker sono aziende situate negli Stati Uniti che operano in diversi settori industriali. Lo scorso luglio, Ragnar Locker ha dichiarato di aver aderito al cartello del ransomware Maze, una delle più note famiglie ransomware del 2020, e questo sta a indicare che i due collaboreranno e si scambieranno le informazioni rubate.

Egregor, osservato per la prima volta a settembre, è un ransomware più recente rispetto a Ragnar Locker. Utilizza però molte tattiche simili a quelle usate da Maze oltre a presentare delle somiglianze nel codice. Il malware viene in genere rilasciato violando la rete e, una volta che i dati dell’obiettivo sono stati esfiltrati, concede alla vittima 72 ore di tempo per pagare il riscatto prima che le informazioni rubate diventino di dominio pubblico. Nel caso in cui le vittime si rifiutassero di pagare il riscatto, i loro nomi e i collegamenti per scaricare i dati aziendali riservati verrebbero pubblicati sul sito preposto alla fuga di notizie creato dagli attaccanti.

La superficie d’attacco di Egregor è molto più estesa di quello di Ragnar Locker. Sono state registrate vittime in Nord America, Europa e in alcune zone della regione APAC (Asia Pacific).

“Il trend che stiamo osservando in questo momento è l’ascesa dei ransomware 2.0. Rileviamo attacchi sempre più mirati che utilizzano un processo di estorsione che non si basa più solo sulla crittografia, ma implica anche la pubblicazione online di dati riservati. La reputazione aziendale non è la sola a essere messa a repentaglio. Nel caso in cui i dati pubblicati violino norme come l’HIPAA o il GDPR, è possibile che vengano intraprese anche azioni legali, con delle conseguenze che vanno oltre le perdite finanziarie”, ha dichiarato Dmitry Bestuzhev, Head del Latin American Global Research and Analysis Team (GReAT).

“Nello scenario attuale, le organizzazioni devono considerare i ransomware come una minaccia più pericolosa di un semplice malware. Il ransomware è spesso solo la fase finale di una violazione della rete. Nel momento in cui il ransomware viene implementato, l’attaccante ha già eseguito una ricognizione della rete, identificato i dati confidenziali e provveduto all’esfiltrazione. È importante, quindi, che le organizzazioni implementino tutte le buone pratiche in materia di sicurezza informatica. Identificare l’attacco in una fase iniziale, prima che gli attaccanti raggiungano il loro obiettivo finale, permette un notevole risparmio economico”, ha aggiunto Fedor Sinitsyn, security expert di Kaspersky.

Per proteggersi dagli attacchi ransomware, gli esperti di Kaspersky raccomandano alle aziende di:

Non esporre i servizi di desktop remoto (come l’RDP, il Remote Desktop Protocol) a reti pubbliche se non strettamente necessario e utilizzare sempre password complesse.
Aggiornare sempre il software su tutti i dispositivi utilizzati. Per impedire al ransomware di sfruttare le vulnerabilità, servirsi di strumenti in grado di rilevarle in modo automatico e scaricare e installare le patch
Installare tempestivamente le patch disponibili per le soluzioni VPN commerciali che forniscono l’accesso ai dipendenti da remoto e agiscono come gateway all’interno della rete.
Non aprire allegati sospetti ricevuti via mail da mittenti sconosciuti.
Utilizzare soluzioni come Kaspersky Endpoint Detection and Response e Kaspersky Managed Detection and Response per identificare e bloccare l’attacco nella sua fase iniziale, prima che gli attaccanti raggiungano l’obiettivo.
Focalizzare la propria strategia di difesa nel rilevare tattiche di movimento laterale e esfiltrazione di dati su internet. Prestare particolare attenzione al traffico in uscita in modo da rilevare connessioni da parte dei cybercriminali, eseguire regolarmente il backup dei dati e assicurarsi di potervi accedere rapidamente in caso di emergenza quando necessario.
Formare i dipendenti per proteggere le risorse aziendali. I corsi di formazione dedicati, come quelli forniti da Kaspersky Automated Security Awareness Platform, possono offrire un valido aiuto.
Utilizzare una soluzione di sicurezza affidabile per i dispositivi personali come Kaspersky Security Cloud, che protegga dagli encryption malware e ripristini le modifiche apportate dalle applicazioni dannose.
Migliorare la protezione aziendale con Anti-Ransomware Tool for Business, uno strumento gratuito offerto da Kaspersky. La versione recentemente aggiornata integra una funzionalità di prevenzione degli exploit per evitare che il ransomware e altre minacce sfruttino le vulnerabilità di software e applicazioni. È utile anche per i clienti che utilizzano Windows 7, poiché al termine del supporto per questo sistema operativo lo sviluppatore non rilascerà più patch per le nuove vulnerabilità
Per una protezione completa, utilizzare una soluzione di sicurezza degli endpoint, come Integrated Endpoint Security, che si basa sulla prevenzione degli exploit, sulle tecnologie di behavior detection e su un motore di remediation in grado di annullare le operazioni dannose.

Per ulteriori informazioni: dircom@argonavis.it