Se un Cryptolocker ha cifrato i database della tua azienda e non hai la chiave, i dati cifrati non si possono decifrare, nemmeno in laboratorio. Con i database criptati da Cryptolocker si può però cercare quello che l’attacco non ha toccato: vecchie copie dei file rimaste sui dischi, backup sfuggiti alla cancellazione, parti del database che il virus non ha cifrato. Per avere qualche possibilità, i dischi non vanno toccati fino all’analisi.
Come arriva l’attacco
Le tecniche usate per superare le difese sono sempre più raffinate. Le email infette sono difficili da riconoscere: spesso sembrano arrivare da contatti con cui scrivi tutti i giorni, e alcune ondate si sono presentate come PEC.
Poi ci sono gli attacchi diretti. Una persona entra nella rete aziendale sfruttando le falle del desktop remoto (RDP). A quel punto non c’è un programma che colpisce a caso: c’è qualcuno, spesso dall’altra parte del mondo, che cancella le copie di sicurezza e i backup e poi cifra per primi i dati più importanti per l’azienda.
La storia di questa minaccia la raccontiamo nell’infografica su ransomware e Cryptolocker.
Perché i primi file a essere cifrati sono spesso i database
Perdere documenti, foto e video è un danno grave. Quando il ransomware cifra un database, si ferma l’intera azienda. Sul database girano la contabilità, l’anagrafica dei clienti, il magazzino, gli ordini in entrata e in uscita. Senza questi strumenti l’azienda non lavora e accumula perdite ogni giorno.
Chi attacca lo sa, e punta proprio lì.
Cosa si può recuperare senza la chiave
I dati cifrati, senza la chiave, restano illeggibili. Il lavoro di laboratorio si concentra su quello che è rimasto in chiaro:
- copie precedenti dei file, rimaste nello spazio libero dei dischi dopo la cifratura;
- backup e copie di sicurezza cancellati ma non ancora sovrascritti;
- parti non cifrate dei file: alcuni ransomware, per fare prima, cifrano solo una parte dei file più grandi, e da quello che resta a volte si estraggono tabelle e record.
Quanto si recupera dipende dal ransomware, dal database e da quello che è successo ai dischi dopo l’attacco. Lo diciamo in diagnosi, caso per caso, senza promesse. Per la parte sui file in generale, leggi la guida su come recuperare file criptati da Cryptolocker.
Cosa fare subito dopo l’attacco
La prima regola è non alterare in nessun modo i dischi che contengono i file cifrati.
- Scollega dalla rete i computer e i server colpiti.
- Non formattare, non reinstallare il sistema e non cancellare file.
- Non provare programmi di recupero o di decifratura sui dischi originali.
- Se vuoi fare delle prove, falle su una copia dei dischi, mai sugli originali.
Se vuoi affidarti a noi, mandaci i dischi originali: così possiamo analizzarli per intero. Trovi come lavoriamo nella pagina sul recupero file criptati.
Per il futuro, la difesa che funziona è un backup scollegato dalla rete, che chi attacca non può raggiungere. Trovi le diverse soluzioni nella guida ai tipi di backup.
Per informazioni puoi chiamarci allo 06 6220 5004.
