Recupero file da ransomware: ripristinare i dati criptati

Sei stato vittima di un attacco ransomware? In questi casi la tempestività è tutto: astieniti dall’utilizzo del dispositivo e CONTATTACI subito. Dopo una prima diagnosi saremo in grado di dirti di più sulla fattibilità del recupero di file e dati.

Prima di vedere come recuperare file e dati criptati da un ransomware, approfondiamo le caratteristiche di questo tipo di malware estremamente insidioso e diffuso oggi (nelle più disparate versioni).

Cos’è un ransomware

Un ransomware è un particolare tipo di malware, il cui nome è un costrutto tra i termini malware appunto e ransom (riscatto). Il nome già in sé ci consente di capire cos’è e come agisce questo virus.

Una volta che un ransomware riesce a penetrare l’hard disk della vittima, i file (o una parte di essi) diventano inaccessibili all’utente (vengono criptati). L’autore del ransomware poi prevede un sistema di richiesta a tempo di un riscatto per “liberare” i dati del device.

I ransomware possono essere sistemi molto remunerativi di guadagni illeciti per i creatori. Inoltre, se è possibile dare una definizione generale del fenomeno, ogni anno vengono creati nuovi tipi di ransomware, spesso anche molti raffinati e difficili da rimuovere.

La prevenzione e l’educazione a un certo utilizzo del web, rimangono l’arma più efficace, non solo contro i ransomware, ma i generale contro le minacce informatiche. Tra le buone norme di comportamento su internet abbiamo:

• Un approccio prudente all’uso delle posta elettronica (non aprire messaggi da mittenti sconosciuti e massima attenzione soprattutto agli allegati).
• Installare sul proprio dispositivo solo software noti e affidabili e tenerli aggiornati.
• Servirsi di un software antivirus e anti-malware (e aggiornarlo costantemente).
• Utilizzare con diffidenza pendrive o altre memorie esterne (in questo caso, è buona norma disattivare l’autoplay).
• Eseguire in modo costante backup, per porsi al riparo da perdita di dati.

Ransomware tristemente noti

I tipi e le varianti di ransomware create sono davvero ampie. Alcuni di questi malware si caratterizzano per essere piuttosto rudimentali (accrescendo la possibilità di recuperare i file), altri invece sono particolarmente potenti e difficili da bypassare (soprattutto quelli con i quali vengono prese di mira aziende anche importanti).

Gli esperti di sicurezza informatica hanno sottolineato come, negli ultimi anni, gli attacchi attraverso ransomware si sono fatti sempre più mirati e raffinati (allo scopo di colpire soprattutto soggetti, come aziende, che possano assicurare, almeno sulla carta guadagni più cospicui).

Seguono alcuni ransomware noti, anche grazie alle citazioni per mezzo stampa (la lista è in costante evoluzione):

• Cryptolocker
• CTB Locker
• CryptoWall
• WannaCry
• DearCry
• Qlocker
• Maze
• TeslaCrypt
• Bonsoir
• Tycoon
• Ragnar Locker
• Zeppelin
• Ryuk
• Popcorn
• Petya
• Reveton

Per approfondire, vedi anche la sezione dedicata al recupero dati da criptovirus.

Come si prende un ransomware

Non esiste un veicolo unico dei ransomware (come anche di altri eventuali virus o software dannosi). La casistica più diffusa però vede come duplice il canale di infezione da ransomware:

• Posta elettronica: si tratta del canale di gran lunga più “battuto” per la diffusione di malware. In alcuni casi le email costruite a tal fine dai malintenzionati sono piuttosto raffinate e frutto di conoscenza dell’utente o del suo ruolo. Altre volte si tratta della mera disattenzione o ingenuità che ci porta a cliccare un link o scaricare un allegato a una mail (che può presentarsi anche come un file dall’estensione “innocua”).
• Hard disk esterni: anche il collegamento di un disco esterno è tradizionalmente una fonte di veicolo di malware e in questo caso di ransomware.

Altri canali di infezione da ransomware possono essere ancora:

• Visita a siti e download di applicativi malevoli: in tal caso è l’utente che navigando il web consente l’ingresso del ransomware. Tali download posso presentarsi come applicativi innocui di altro tipo, oppure penetrare il device della vittima sfruttando vulnerabilità dei browser.
• Attraverso software crackati scaricati per evitare di pagare le rispettive licenze (ad esempio, moltissimi videogiochi per PC).
• Attraverso attacchi di desktop remoto.
• Sfruttando vulnerabilità di sistema (magari di Windows).

Come agisce un ransomware

Il comportamento di un ransomware, dopo la penetrazione nel dispositivo della vittima, varia dal tipo di applicativo malevolo.

In genere però, si traduce nell’impossibilità dell’accesso ai dati, i quali vengono criptati (in alcuni casi il malware riesce anche a procedere alla cancellazione di dati di backup).

La vittima si vede poi recapitare una richiesta di riscatto con timer limitato (2-3 giorni di tempo in diverse fattispecie). Il riscatto in genere viene richiesto in bitcoin o altra criptovaluta.

In passato non sono mancati casi di pagamento del riscatto (che ovviamente non fornisce alcuna garanzia di decriptazione dei file). La decisione di pagare spesso è frutto di una serie di motivazioni: panico, cifra del riscatto non eccessivamente onerosa, valutazioni negative legate alla fattibilità del recupero.

In caso di file criptati da ransomware, il recupero degli stessi è possibile in diversi casi, ma non può essere condotto in maniera fai da te, in quanto necessita di strutture e personale altamente qualificato (inoltre in genere non si ha molto tempo per effettuare valutazioni).

Uso di software per il recupero file criptati da ransomware

Sul mercato non mancano i software applicativi che promettono il recupero dei file criptati da un ransomware. Si tratta spesso di prodotti che fanno capo a software house note e di assoluta autorevolezza (dunque non prodotti di scarso valore).

Il problema è che la natura di queste infezione rende decisamente improbabile il recupero fai da te attraverso un software installato in autonomia. Nei casi di ransomware, magari più datati e rudimentali, potrebbe essere possibile il recupero dei dati.

Noi sconsigliamo sempre questo tipo di soluzioni, in quanto la casistica a cui possiamo attingere, ci indica la generale inefficacia di questo approccio (che anzi in alcuni casi rischia di peggiorare la situazione iniziale).

Il recupero dati e file da ransomware è possibile?

I consigli che diamo in caso di attacco da ransomware sono di disconnettere il dispositivo e di astenersi da soluzioni fai da te, magari frutto di ricerca frenetica in rete. Contattandoci prontamente potremo fornirti maggiori dettagli su come procedere.

Il recupero di file criptati da ransomware passa per la tipologia di applicativo (che in alcuni casi si può dedurre dall’estensione con la quale sono criptati i file).

Alcuni ransomware meno “avanzati” potrebbe contenere delle falle che permettano di recuperare la chiave di decrittazione. In altre fattispecie è possibile aggirare il blocco, recuperando versioni precedenti di file e dati.

In Recovery Data siamo specializzati nel recupero dati su hard disk e altri dispositivi. L’utilizzo di strutture e software professionali, oltreché l’esperienza del nostro personale, ci ha consentito di portare a termine il recupero dei file anche nei casi all’apparenza più difficili di infezione da ransomware.