Tecnica di attacco

Ransomware

Il ransomware si evolve, e anche la vostra strategia di rilevamento e risposta alle minacce dovrebbe fare lo stesso.

Definizione

Come funziona

Perché gli hacker lo utilizzano

Rilevamento

Domande frequenti

Definizione

Che cos'è un ransomware?

Il ransomware è un tipo di software dannoso progettato per crittografare i file presenti su un dispositivo, impedendo di fatto agli utenti di accedere ai propri dati o sistemi. Gli autori dell'attacco richiedono quindi alla vittima il pagamento di un riscatto, solitamente in criptovaluta, in cambio della chiave di decrittografia necessaria per riottenere l'accesso ai file.

‍

Come funziona

Come funziona il ransomware?

Il ransomware si insinua solitamente in un sistema tramite phishing , download dannosi o kit di exploit che sfruttano le vulnerabilità. Una volta all'interno, segue queste fasi principali:

Infiltrazione ed esecuzione: il ransomware si installa sul dispositivo e inizia a funzionare.
Crittografia dei dati: il programma individua i file importanti, come documenti, immagini e database, e li crittografa utilizzando algoritmi di crittografia avanzati, rendendoli inaccessibili.
Richiesta di riscatto: il ransomware visualizza un messaggio che informa l'utente dell'attacco e fornisce le istruzioni per il pagamento del riscatto al fine di ottenere la chiave di decrittazione.
Propagazione (facoltativa): alcune varianti di ransomware tentano di diffondersi ad altri sistemi collegati, bloccando ulteriormente la rete della vittima.

Perché gli hacker lo utilizzano

Perché gli hacker ricorrono alle tecniche del ransomware?

Gli autori degli attacchi utilizzano le tecniche di ransomware principalmente per ottenere profitti ricattando le vittime. Ecco i motivi principali:

Guadagno economico: il pagamento dei riscatti, spesso effettuato tramite criptovalute non tracciabili, offre profitti rapidi e potenzialmente elevati, soprattutto quando si prendono di mira organizzazioni che non possono permettersi lunghi periodi di inattività.
Interruzioni e pressioni: il ransomware provoca interruzioni operative immediate e gravi, soprattutto nei settori che dipendono dall'accesso costante ai dati (ad esempio, sanità, finanza). Queste pressioni possono spingere le vittime a pagare più rapidamente.
Furto di dati e doppia estorsione: Alcuni autori di attacchi ransomware rubano i dati prima della crittografia, minacciando di renderli pubblici se il riscatto non viene pagato. Questa tatticadi “doppia estorsione”può aumentare significativamente la pressione sulla vittima.
Accessibilità e automazione: il Ransomware-as-a-Service (RaaS) consente anche agli hacker meno esperti di diffondere ransomware tramite kit preconfigurati, rendendolo un metodo accessibile e scalabile per i criminali informatici.
Basso rischio: i criminali informatici corrono rischi limitati, poiché possono operare in modo anonimo da paesi con leggi sull'estradizione poco rigorose, mentre le transazioni in criptovaluta garantiscono un ulteriore livello di anonimato.

Questi motivi spingono gli hacker a ricorrere al ransomware come mezzo efficace per ottenere un guadagno economico, causando al contempo il massimo impatto sui propri bersagli.

Rilevamenti della piattaforma

Come individuare un ransomware?

Vectra AI il ransomware individuando modelli anomali di accesso e modifica dei file, tipici del comportamento di questo tipo di malware. Ecco come:

Analisi comportamentale: Vectra AI monitora Vectra AI l'attività dei file, rilevando accessi rapidi, tentativi di crittografia e modifiche tipiche del ransomware.
Anomalie nei privilegi: il ransomware spesso eleva i propri privilegi per accedere a file critici o crittografarli. Vectra AI gli accessi insoliti ad account con privilegi o a file system critici.
Rilevamento dei movimenti laterali: Vectra AI i tentativi sospetti di movimento laterale, ovvero quando il ransomware cerca di diffondersi all'interno di una rete, avvisando i team di sicurezza affinché isolino i sistemi colpiti.

Grazie a sistemi di rilevamento avanzati basati sull'intelligenza artificiale, Vectra AI le attività di ransomware nelle prime fasi della catena di attacco, consentendo ai team SOC di intervenire rapidamente e prevenire la crittografia su larga scala dei dati o danni ingenti.

Rilevamento

Attività dei file del ransomware