RestoreMyData Ransomware

Le campagne malware sono in continua evoluzione e il ransomware rimane una delle minacce più dannose per utenti e organizzazioni di ogni dimensione. Una singola intrusione riuscita può bloccare le operazioni, corrompere i backup, innescare estorsioni tramite fuga di dati e imporre lunghi e costosi ripristini. Difese proattive e una risposta disciplinata svolgono un ruolo decisivo nel limitare il raggio d'azione quando, non se, si verifica un attacco.

Che cos'è il ransomware RestoreMyData?

RestoreMyData blocca i dati delle vittime e chiede loro un riscatto. Questa varietà di ransomware è stata identificata durante le indagini di threat hunting in corso. Come altre famiglie contemporanee, crittografa i file e richiede il pagamento di un'utilità di decrittazione, sostenendo inoltre di esfiltrare dati aziendali sensibili per fare pressione sulle vittime con fughe di notizie pubbliche.

Come si svolge l'attacco

Dopo aver preso piede, spesso tramite ingegneria sociale, download dannosi o malware secondario, il ransomware esegue la sua routine di crittografia. Ogni nome di file interessato viene modificato aggiungendo ".restoremydata.pw". Ad esempio, "1.png" diventa "1.png.restoremydata.pw" e "2.pdf" diventa "2.pdf.restoremydata.pw". Al termine della crittografia, il malware rilascia una richiesta di riscatto denominata "HOW_TO_RECOVERY_FILES.txt". La nota è chiaramente rivolta alle aziende piuttosto che agli utenti privati, avvertendo che le operazioni sono a rischio, che i file sono inaccessibili senza l'aiuto degli aggressori e che i dati aziendali rubati verranno pubblicati se le richieste vengono ignorate.

Dentro la nota di riscatto: tattiche e pressione

Il messaggio afferma che solo gli aggressori possiedono la chiave di decrittazione univoca e che i decryptor utilizzati per altre vittime non funzioneranno. Mette in guardia dal modificare i file crittografati per evitare danni irreversibili. Come "prova di decrittazione", gli operatori offrono il ripristino di un singolo file di prova, in genere fino a 2 MB, e non di una risorsa critica come un database, un backup o un foglio di calcolo di grandi dimensioni. Si tratta di una comune tecnica di ingegneria sociale progettata per creare credibilità e spingere le vittime a pagare.

Pagare il riscatto: rischi e realtà

Nella maggior parte dei casi, decifrare i file bloccati dai ransomware moderni non è possibile senza le chiavi dell'aggressore. Tuttavia, il pagamento non garantisce il recupero; le vittime spesso segnalano di non aver ricevuto nulla di utile dopo aver trasferito i fondi. Pagare alimenta anche l'ecosistema criminale. La soluzione difendibile è evitare il pagamento, concentrarsi sull'eradicazione e ripristinare da backup puliti.

Persistenza, movimento laterale e diffusione

Oltre alla compromissione iniziale, alcune minacce tentano di spostarsi lateralmente attraverso le reti locali, abusare degli strumenti amministrativi, raccogliere credenziali e propagarsi tramite supporti rimovibili (unità USB, dischi esterni). RestoreMyData dovrebbe essere in grado di sfruttare tecniche simili a quelle osservate nell'ecosistema, il che significa che la velocità di contenimento è fondamentale una volta individuati gli indicatori.

Canali di accesso e distribuzione iniziali

Gli autori di ransomware si affidano a percorsi di distribuzione collaudati: email e messaggi di phishing con allegati o link trappola, trojan e loader che rilasciano payload in un secondo momento, download drive-by da siti compromessi, portali di software libero e reti P2P con installer riconfezionati, malvertising, falsi aggiornamenti e strumenti di "crack". I contenuti dannosi sono spesso mascherati da archivi (ZIP/RAR), file eseguibili, PDF, documenti di Office o OneNote, JavaScript e altro ancora; l'esecuzione inizia nel momento in cui l'utente apre o esegue il file.

Strategia di eradicazione e recupero

Isolare immediatamente i sistemi interessati dalla rete per arrestare la diffusione della crittografia e l'esfiltrazione dei dati. Eseguire una rimozione completa utilizzando strumenti di sicurezza affidabili e completamente aggiornati. Tenere presente che la rimozione impedisce ulteriori danni, ma non decrittografa i dati già bloccati. Il ripristino dovrebbe avvenire da backup che non siano già stati interessati.

Conclusione

Il ransomware RestoreMyData esemplifica l'attuale strategia di doppia estorsione: crittografia rapida, chiavi di accesso univoche per la vittima, richieste di riscatto pressanti e minacce di fuga di dati rubati. Evitate di pagare quando possibile, rimuovete il malware con decisione e affidatevi a backup rinforzati e regolarmente testati per il ripristino. Le organizzazioni che combinano prevenzione a più livelli, rigoroso controllo dei privilegi, backup resilienti e una risposta agli incidenti collaudata migliorano significativamente le loro probabilità di resistere a questo tipo di attacco.