Come limitare l'effetto di un attacco ransomware sui dati della tua organizzazione
Di tutte le minacce maligne in circolazione, il ransomware è quello in grado di guidare qualsiasi utente di PC nel profondo della disperazione. Inizialmente rivolti ai singoli utenti di PC, il ransomware sta raggiungendo obiettivi molto più grandi, portando spesso in ginocchio agenzie governative, ospedali e aziende. Se le organizzazioni vogliono evitare un infezione da ransomware, devono assicurarsi che nessun codice maligno raggiunga le loro reti. Tuttavia, sapere come ridurre il danno tanto quanto la situazione consente quando il disastro colpisce è altrettanto cruciale. Come dovrebbero reagire le aziende a un infezione da ransomware già in corso ?
Sommario
Dove cercare
Per diffondere malware, i criminali informatici esaminano i PC mirati alla ricerca di punti deboli da sfruttare. Gli attacchi ransomware di solito distribuiscono tre vettori di infezione: email dannose o malvertite, download drive-by o accesso remoto. Pertanto, se la tua organizzazione è appena caduta vittima di un simile attacco, è probabile che provenga da una di queste tre rotte e ciascuna di esse dovrebbe essere sottoposta a un esame approfondito.
Nota! Indipendentemente dal modo in cui un attacco di ransomware è stato utilizzato per intrufolarsi nella rete della tua organizzazione, devi sempre trovare da dove è partito: è stato uno o più PC in rete e ha già effettuato movimenti laterali. In tal caso, il cryptovirus potrebbe già essersi esteso su una parte significativa della rete. Devi:
- Scollegare tutti i computer infetti dalla rete e disattivare tutti gli adattatori di rete.
- Sostituisci i dischi rigidi infetti con quelli nuovi per garantire un installazione del sistema operativo pulita.
- Eseguire un accurato controllo di rete per correggere potenziali punti deboli.
- Applica le patch del sistema operativo e del software necessarie e adotta una politica di sicurezza su più fronti per fornire una protezione maggiore contro gli attacchi futuri.
Lo spam influisce
La distribuzione di ransomware incorporando il suo codice negli allegati di posta elettronica è un metodo ampiamente utilizzato ora come lo è sempre stato. Pertanto, a meno che la tua organizzazione non abbia impostato un sistema di filtraggio affidabile in grado di bloccare allegati sospetti, potrebbe essere molto suscettibile a un infezione da ransomware. Lo stesso vale per la navigazione sul Web, in quanto la mancanza di un filtro appropriato può portare i dipendenti a siti potenzialmente pericolosi e infetti da malware. Per ridurre il rischio di scatenare un infezione in questo modo, impostare un sistema di filtri di posta e bloccanti proxy.
Infezioni drive-by
Per avviare un attacco drive-by, gli attori del malware inseriscono codice dannoso direttamente su un sito web. Tutto ciò di cui ha bisogno un attacco di successo è un dipendente non istruito che utilizza un browser Web non aggiornato. Quest ultimo è molto probabile che contenga un buco di sicurezza senza patch e il malware trarrà senza dubbio vantaggio da tale circostanza. Ecco perché il patching del browser su base regolare è la chiave per mantenere la navigazione sicura.
Ransomware orientato a RDP
Casi di ransomware che attaccano PC che eseguono il servizio Microsoft Remote Protocol Protocol sono diventati sempre più comuni di recente. Il famigerato CMB Dharma ransomware ha afflitto gli utenti di PC con una porta aperta 3389 per mesi sfruttando questa vulnerabilità da sola. Contrariamente alla distribuzione basata sullo spam, le infezioni su misura per RDP sono molto più semplici da eseguire. Si basano su un attacco a forza bruta contro le credenziali di accesso del server. In caso di successo, attore dietro attacco ottiene i diritti di amministratore, incluso il diritto di disabilitare la protezione degli endpoint prima di contrabbandare il ransomware attraverso il foro RDP. Il numero di PC con RDP di Microsoft varia tra 2 e 3 milioni ogni giorno. Tutti loro sono potenziali bersagli di un attacco di ransomware se non adeguatamente protetti. Tali tecniche di protezione richiedono ai dipendenti di utilizzare una rete privata virtuale (VPN) e applicare un autenticazione a due fattori (2FA) ogni volta che necessitano dell accesso remoto alla rete di computer dell organizzazione.