Ransomware: come ripristinare i dati criptati e cosa fare subito

Se un ransomware ha criptato i tuoi file, le prime ore contano. Scollega il computer dalla rete, stacca i dischi di backup, non cancellare nulla e non pagare d’impulso. Per ripristinare i dati criptati da un ransomware le strade sono tre: un backup rimasto pulito, uno strumento di decrittazione gratuito se la variante è nota, oppure il recupero in laboratorio di quello che il virus non ha cifrato.

Se i file sono importanti e non hai un backup, contattaci prima di fare tentativi: dopo la diagnosi ti diciamo cosa si può recuperare.

Cosa fare subito dopo un attacco ransomware

1. Isola il computer: stacca il cavo di rete e spegni il Wi-Fi. Se in rete ci sono altri computer o un NAS, avvisa chi li usa: molti ransomware si diffondono alle cartelle condivise.
2. Scollega dischi esterni e chiavette: un disco di backup collegato viene criptato insieme al resto.
3. Fotografa la richiesta di riscatto e annota l’estensione aggiunta ai file (per esempio .lockbit o un codice di lettere casuali). Servono a riconoscere la variante.
4. Non cancellare i file criptati, la nota di riscatto e il virus stesso, e non lanciare un antivirus che “ripulisce” tutto: elimineresti proprio gli elementi che servono al recupero.
5. Non formattare e non reinstallare Windows: sovrascriveresti i resti dei file originali che a volte si possono ancora recuperare.
6. Non usare programmi di recupero sul disco colpito: scrivono sul disco e possono sovrascrivere quello che resta.
7. Denuncia l’attacco alla Polizia Postale. Se sei un’azienda e sono coinvolti dati personali, valuta con il tuo consulente la notifica al Garante privacy, che va fatta entro 72 ore da quando ti accorgi della violazione.

Come ripristinare i dati criptati da un ransomware

Dal backup

È la strada più sicura, se il backup era scollegato o in un cloud con versioni precedenti. Prima di ripristinare, però, il computer va pulito o reinstallato: altrimenti il ransomware cripta di nuovo i file appena rimessi al loro posto. Verifica anche la data del backup, perché alcuni ransomware restano nascosti per giorni prima di attivarsi.

Con gli strumenti di decrittazione gratuiti

Per molte varianti, soprattutto le più vecchie, i ricercatori hanno trovato errori nella cifratura o recuperato le chiavi dei criminali. Il progetto No More Ransom, nato nel 2016 da Europol, dalla polizia olandese e da aziende di sicurezza, raccoglie gratuitamente questi strumenti su nomoreransom.org. La sezione Crypto Sheriff ti aiuta a riconoscere la variante caricando un file criptato e la nota di riscatto.

Prima di usare qualsiasi strumento, copia i file criptati su un altro disco e lavora sulla copia: se lo strumento sbaglia variante, l’originale resta intatto.

In laboratorio

Quando la chiave non si trova, il laboratorio lavora su quello che il ransomware non ha cifrato: file cancellati prima della cifratura, copie temporanee, parti di database o di macchine virtuali rimaste leggibili. Molti ransomware cancellano le copie shadow di Windows, ma non sempre ci riescono del tutto. Il risultato dipende dalla variante e da quanto il disco è stato usato dopo l’attacco. Trovi come lavoriamo nella pagina sul recupero dei file criptati da virus.

Pagare il riscatto?

Pagare non dà nessuna garanzia: alcuni criminali non mandano la chiave, altri mandano uno strumento che decifra solo una parte dei file, e chi paga diventa spesso il bersaglio di un secondo attacco. Le forze di polizia sconsigliano di pagare. Prima di qualsiasi decisione verifica le altre tre strade.

Cos’è un ransomware

Un ransomware è un malware che cripta i file della vittima e chiede un riscatto, quasi sempre in criptovaluta, per restituire la chiave. Il nome unisce “ransom” (riscatto) e “malware”. I gruppi più organizzati, prima di criptare, copiano anche i dati e minacciano di pubblicarli: è la cosiddetta doppia estorsione. Trovi storia e costi dei riscatti nell’articolo ransomware: cos’è.

Come si prende un ransomware

• Email: allegati e link che sembrano fatture, spedizioni o comunicazioni di banche e fornitori. Resta il canale più usato.
• Accesso remoto: desktop remoto e VPN esposti su internet con password deboli o senza autenticazione a due fattori.
• Vulnerabilità non corrette di sistemi operativi, server, firewall e NAS.
• Programmi pirata e download da siti non ufficiali.
• Dischi e chiavette collegati a computer già infetti.

Ransomware noti

Le famiglie cambiano di continuo. Alcuni nomi aiutano a capire come si è evoluto il fenomeno:

• Cryptolocker (2013) e CTB-Locker (2014), diffusi via email anche in Italia: ne parliamo in come recuperare i file criptati da Cryptolocker;
• TeslaCrypt (2015), la cui chiave principale è stata pubblicata dagli autori nel 2016;
• WannaCry (2017), che si diffondeva da solo sfruttando una vulnerabilità di Windows;
• Ryuk, Maze e LockBit, usati contro aziende ed enti pubblici; LockBit è stato colpito nel 2024 da un’operazione internazionale di polizia;
• i ransomware per NAS, come Qlocker e DeadBolt contro i NAS QNAP: vedi ransomware QNAP.

Software per decriptare i file: attenzione

In rete trovi molti programmi che promettono di decriptare qualsiasi ransomware. Diffida di quelli a pagamento che non indicano le varianti supportate: per i ransomware moderni senza la chiave non esiste un programma che decifri i file. Alcuni sono a loro volta truffe o malware. Gli strumenti affidabili sono quelli raccolti da No More Ransom e quelli pubblicati dalle principali aziende di sicurezza, ciascuno per una variante precisa.

Come prevenire un nuovo attacco

• Backup con la regola 3-2-1: tre copie, su due supporti diversi, una fuori sede o scollegata. Prova il ripristino ogni tanto. Trovi come organizzarlo nella guida ai tipi di backup.
• Aggiornamenti automatici per sistema operativo, programmi, firewall e NAS.
• Password lunghe e diverse per ogni servizio e autenticazione a due fattori su email, VPN e accesso remoto.
• Permessi limitati: ognuno accede solo alle cartelle che gli servono e nessuno lavora ogni giorno con un account amministratore.
• Formazione: insegna a chi usa i computer a riconoscere email sospette e a segnalarle subito.
• Un piano di emergenza scritto: chi chiamare, cosa scollegare, dove sono i backup.

Il recupero dei file criptati da ransomware è possibile?

Spesso sì, almeno in parte, ma dipende dalla variante, dal tipo di file e da cosa è successo al disco dopo l’attacco. Per questo la diagnosi viene prima di qualsiasi promessa. Noi di Recovery Data facciamo la diagnosi gratuita, ti mandiamo il preventivo entro 4 ore dalla consegna in laboratorio e, se i dati non si recuperano, non paghi nulla. Puoi richiedere la diagnosi o chiamarci allo 06 6220 5004.