Il ransomware è una brutta bestia: ne ho parlato spesso in questo blog e ho visto personalmente i danni e le angosce che può causare quando colpisce una piccola o media azienda, magari una di quelle che pensa di essere stata sufficientemente diligente perché fa i backup ogni giorno sul disco di rete (che però viene attaccato e cifrato anch'esso).

È un errore comune: per salvarsi dal ransomware, il backup dovrebbe essere invece su un supporto che viene fisicamente scollegato alla fine dell'operazione di copia.

Ma per fortuna a volte anche i creatori di ransomware fanno errori. Prendete quelli di CryptXXX, uno dei ransomware più popolari di questo periodo, che oltre a cifrare i dati e chiedere un riscatto ruba anche le password. La prima versione è comparsa ad aprile del 2016, ma nel giro di pochi giorni gli esperti di sicurezza hanno approntato uno strumento gratuito di recupero dei dati.

I criminali hanno messo in circolazione un'altra versione, ma anche questa è stata prontamente debellata dagli esperti di Kaspersky. E così i creatori di CryptXXX hanno creato una terza versione, che ha colpito centinaia di migliaia di vittime, generando profitti illeciti per circa 50.000 dollari in meno di due settimane.

Indovinate cos'è successo? Gli esperti hanno da poco reso disponibile Rannoh Decryptor, un nuovo strumento di recupero gratuito che batte anche la terza versione di CryptXXX oltre alle due precedenti. È uno dei tanti rimedi che trovate raccolti presso NoMoreRansom.org.

Ovviamente questo non vuol dire che si possono abbandonare le buone tecniche di prevenzione perché tanto c'è il software che recupera tutto: non tutti i ransomware sono contrastabili in questo modo e spesso lo strumento di recupero arriva giorni o mesi dopo l'attacco, per cui nel frattempo i dati di lavoro restano bloccati e quindi la produzione è costretta a fermarsi.

Tuttavia ci sono dei casi in cui l'attacco del ransomware colpisce dati preziosi che però non è urgente riavere: è il caso, particolarmente crudele, dei computer personali sui quali c'è l'unica copia dei video o delle foto di famiglia. In circostanze come questa può valere la pena di conservare il disco rigido colpito dal ransomware, scollegarlo in modo che non possa essere alterato ulteriormente, e ricollegarlo solo quando diventa disponibile un software di recupero.

Un'ultima raccomandazione: scaricate gli strumenti di recupero soltanto da siti affidabili (per esempio quelli di marche note di antivirus o da NoMoreRansom.org), perché i criminali fabbricano e diffondono anche falsi strumenti di recupero che in realtà infettano chi casca nella trappola.

Fonte: Tripwire.