Recupero file criptati ultracode: in questo caso del 2013 un ransomware aveva cifrato tutti i file di due computer di uno studio professionale, cambiando la loro estensione in .ultracode. Studiando i file cifrati il nostro laboratorio è riuscito a trovare la chiave di codifica e a recuperare tutti i dati in circa 24 ore dalla consegna dei dischi.
Il caso: tutti i file con l’estensione .ultracode
Uno studio associato ci ha contattati per due dei suoi computer. All’improvviso tutti i file nelle cartelle avevano cambiato estensione in .ultracode e non si aprivano più. Lo studio ci ha consegnato gli hard disk dei due computer.
La diagnosi: un ransomware entrato dal Desktop remoto
Appena arrivati i dischi abbiamo capito che la cifratura di tutto il contenuto era opera di un ransomware. Il ransomware è un tipo di malware che blocca l’accesso ai dati, di solito cifrandoli, per chiedere un riscatto.
In questo caso l’attacco era passato dalla porta 3389, quella del Desktop remoto di Windows. Gli attaccanti cercavano in rete computer con questa porta aperta verso Internet, senza firewall e senza gli aggiornamenti critici del sistema operativo. Preferivano i sistemi con nomi utente e password assenti o deboli. Una volta dentro, lanciavano in background un programma che cifrava tutti i file.
L’intervento in laboratorio
Abbiamo studiato il contenuto cifrato e il modo in cui l’algoritmo aveva trattato i dati. Questa analisi ci ha permesso di trovare la chiave di codifica. Con la chiave abbiamo estratto i dati originali dai dischi.
Il risultato
Abbiamo recuperato tutti i dati, integri, in circa 24 ore dalla consegna degli hard disk.
Perché oggi è più difficile
Questo caso risale al 2013. Alcuni ransomware di quegli anni avevano errori nella cifratura, e in laboratorio si riusciva a volte a ricavare la chiave. I ransomware più recenti usano in genere una cifratura molto più robusta, e senza la chiave i file spesso non si possono decifrare.
Per questo valutiamo ogni caso con la diagnosi: controlliamo di che ransomware si tratta, se esistono decrittatori pubblici, se ci sono copie shadow, file non cifrati o backup recuperabili. Ti diciamo con chiarezza cosa si può fare prima di qualsiasi spesa. Trovi una guida completa su come ripristinare i dati criptati da un ransomware e una sul recupero dei file criptati da Cryptolocker.
Desktop remoto esposto: come proteggersi
La porta del Desktop remoto aperta verso Internet è ancora oggi una delle strade più usate dagli attacchi ransomware. Alcune regole riducono molto il rischio:
- non lasciare il Desktop remoto raggiungibile da Internet; se ti serve l’accesso da fuori, usa una VPN;
- usa password lunghe e diverse per ogni account, e attiva l’autenticazione a due fattori dove puoi;
- tieni aggiornati il sistema operativo e il firewall;
- fai un backup su un supporto scollegato dalla rete, che il ransomware non possa raggiungere.
Per capire meglio come agiscono questi attacchi, leggi la guida su cos’è un ransomware.
Cosa fare se i tuoi file hanno cambiato estensione
- Scollega subito il computer dalla rete, cavo e Wi-Fi.
- Non pagare il riscatto prima di aver sentito un esperto.
- Non cancellare i file cifrati e la nota del riscatto: servono per capire di che ransomware si tratta.
- Non reinstallare il sistema e non formattare.
Facciamo la diagnosi gratuita e ti inviamo il preventivo entro 4 ore dalla consegna. Trovi il servizio nella pagina sul recupero dati da crypto virus.
