Ripristino dopo un ransomware: guida pratica per imprese e utenti privati

Il ripristino da un ransomware non inizia con la ricerca di un programma "magico", ma con l'arresto corretto dell'attacco, la conservazione delle prove e il ritorno sicuro dei sistemi al lavoro. In questo articolo vengono esaminate le prime azioni da intraprendere in caso di infezione, i metodi per valutare i danni, le opzioni per il ripristino dei file, il lavoro con i backup, il controllo dei decrittatori e le misure che riducono il rischio di attacchi futuri.

Un ransomware è un programma dannoso che blocca l'accesso ai dati, di solito cifrando i file. Gli aggressori richiedono quindi un riscatto per la chiave di decrittazione. A volte l'attacco è accompagnato da furto di dati e minacce di pubblicazione. Pertanto, è importante agire rapidamente, ma senza panico.

L'obiettivo principale nelle prime ore è non "riparare tutto subito", ma non peggiorare la situazione. Non è consentito riavviare qualsiasi cosa, collegare dischi di backup a una rete infetta o pagare un riscatto senza una valutazione della situazione. Un approccio sistematico aumenta le possibilità di recuperare i dati e conservare le prove per un'indagine.

Cosa succede durante un attacco ransomware

I moderni ransomware raramente vengono attivati in modo casuale e immediato. Spesso l'attacco si sviluppa a catena:

• l'aggressore ottiene accesso attraverso un'email di phishing, una password rubata, un VPN vulnerabile, RDP o un server obsoleto;
• si radica nella rete e aumenta i privilegi;
• disattiva i sistemi di protezione e le copie shadow;
• cerca server di file, database, sistemi contabili e backup;
• cifra i dati e lascia un messaggio con la richiesta di riscatto;
• in alcuni casi, pre-carica documenti in uno storage esterno.

Di conseguenza, il recupero dopo un ransomware non riguarda solo il ritorno dei file. È necessario comprendere come è avvenuta l'intrusione, quali account sono stati compromessi e se l'aggressore è ancora presente nella rete.

Prime azioni al rilevamento di un'infezione

Se sullo schermo appare un messaggio con la richiesta di riscatto, i file hanno ricevuto estensioni strane o gli utenti lamentano l'impossibilità di accedere ai documenti, agisci seguendo il piano.

Checklist passo passo per i primi 60 minuti

Passo	Cosa fare	Perché è necessario
1	Disconnettere i dispositivi infetti dalla rete	Fermare la diffusione della cifratura attraverso le cartelle di rete e i server
2	Non spegnere i computer senza necessità	In memoria potrebbero rimanere chiavi, processi e tracce dell'attacco
3	Disconnettere cartelle condivise e dischi di rete	Proteggere i dati non ancora cifrati
4	Isolare i backup	Impedire al ransomware di accedere ai backup
5	Conservare il messaggio di riscatto e campioni di file	Aiutare a identificare la famiglia del ransomware
6	Informare le persone responsabili	Includere rapidamente esperti di cybersecurity, amministratori di sistema, dirigenza e legali
7	Iniziare un registro degli eventi	Registrare l'orario, le azioni e i segni di compromissione scovati

Importante: se l'infezione ha colpito server, infrastruttura virtuale o sistemi critici per il business, è meglio coinvolgere subito specialisti di risposta agli incidenti. Tentativi autonomi di "ripulire" il sistema possono distruggere prove importanti.

Cosa non fare subito dopo l'attacco

Non eseguire azioni che spesso peggiorano la situazione:

• non collegare dischi esterni con backup a computer infettati;
• non avviare "decrittatori" casuali da fonti non attendibili;
• non eliminare il messaggio di riscatto, i log e i file sospetti;
• non formattare dischi prima di effettuare copie e analisi;
• non utilizzare password compromesse per accedere ai sistemi ripristinati;
• non pagare un riscatto senza consultare legali, esperti di cybersecurity e la dirigenza.

Una pulizia affrettata può portare a una nuova infezione. Inoltre, alcuni dati a volte possono essere recuperati solo se sono presenti i file cifrati originariamente e le tracce tecniche dell'attacco.

Come isolare l'infrastruttura infetta

L'isolamento è una fase chiave nel recupero dei dati dopo un ransomware. Il suo obiettivo è separare i nodi infetti da quelli sani e conservare ciò che non è stato ancora cifrato.

Per un computer singolo è solitamente sufficiente scollegare il cavo di rete e il Wi-Fi. Se si tratta di un laptop, disattiva il Bluetooth e non collegare chiavette USB. Non spegnere il dispositivo se non sta continuando attivamente a cifrare dati e se hai la possibilità di trasferirlo a un tecnico.

Nella rete aziendale, agisci su scala più ampia:

• negare l'accesso alle unità di file per account sospetti;
• bloccare temporaneamente VPN, RDP e accesso remoto, se potrebbero essere stati punti di ingresso;
• segmentare la rete, separando le workstation dai server;
• disattivare la sincronizzazione delle cartelle cloud se vi sono finiti file cifrati;
• controllare i controller di dominio, i hypervisor, i server di posta e i sistemi di backup;
• interrompere i task pianificati che potrebbero sovrascrivere buoni backup con dati danneggiati.

Se utilizzi EDR, SIEM o antivirus centralizzato, controlla la console di gestione. Spesso lì sono visibili i primi host infetti, i processi sospetti e gli account che hanno avviato la cifratura.

Come valutare l'entità dei danni

Prima del ripristino, è necessario comprendere quali dati sono stati persi, quali sistemi possono essere considerati affidabili e dove si trova la causa dell'attacco.

Inventario dei sistemi colpiti

Crea un elenco:

• workstation infette;
• server di file;
• database;
• macchine virtuali;
• archiviazione cloud;
• cartelle di rete;
• depositi di backup;
• account utilizzati durante l'attacco.

Per ogni oggetto, registra lo stato: operativo, spento, isolato, parzialmente cifrato, completamente cifrato, dati accessibili, backup presenti o assenti.

Segni di furto di dati

Non tutti i ransomware si limitano a bloccare i file. Molti operatori di ransomware prima estraggono i dati. Controlla:

• traffico in uscita anormalmente elevato;
• archivi con nomi tipo backup.zip, data.7z, docs.rar in cartelle non standard;
• avvio di strumenti di amministrazione remota;
• connessioni a indirizzi IP sconosciuti;
• eventi di accesso in orari non lavorativi;
• utilizzo di utility cloud e file hosting pubblici.

Se ci sono segni di fuga di dati personali, segreti commerciali o informazioni di pagamento, coinvolgi legali. Potrebbe essere necessario informare i regolatori, i clienti o i partner in conformità con la legislazione applicabile e i contratti.

È necessario pagare il riscatto?

Il pagamento non garantisce il ripristino dei file. Il decrittore potrebbe non funzionare, la chiave potrebbe essere parziale e gli aggressori potrebbero richiedere un pagamento ripetuto. Inoltre, il pagamento alimenta il modello criminoso e a volte comporta rischi legali, specialmente se il destinatario è legato a liste di sanzioni.

Tuttavia, la decisione di pagare un riscatto in ambito aziendale viene solitamente presa non in modo emotivo, ma attraverso una valutazione dei rischi. Si tiene conto della disponibilità di backup, della criticità del fermo, della probabilità di una fuga, dei requisiti di legge e delle raccomandazioni degli esperti. Anche se un'organizzazione sta considerando di negoziare, ciò non esclude la necessità di indagini, isolamento e preparazione al ripristino.

Per gli utenti privati, la miglior strada quasi sempre è non pagare, ma controllare i backup, provare decrittori affidabili e ripristinare il sistema in modo sicuro.

Come identificare il ransomware

Determinare la famiglia di ransomware aiuta a capire se esiste uno strumento di decrittazione gratuito e quali indicatori di compromissione cercare.

Utilizza i seguenti dati:

• estensione dei file cifrati;
• testo del messaggio di riscatto;
• indirizzi email o siti web degli aggressori;
• nomi di file dannosi;
• hash di file eseguibili sospetti;
• orario delle modifiche massicce dei file.

Controllare i campioni è meglio farlo attraverso noti e sicuri servizi di identificazione del ransomware o con specialisti. Non inviare documenti riservati a servizi pubblici se questo potrebbe violare le politiche aziendali o la legge. Per l'analisi, di solito è sufficiente il messaggio di riscatto e un singolo file cifrato non importante.

Ripristino dei file dopo un ransomware

Non esiste un metodo unico che si adatti a tutti. La scelta dipende dal tipo di ransomware, dallo stato dei backup, dai sistemi colpiti e dal fatto che siano state eliminate copie shadow.

Opzione 1: ripristino da backup

Questo è il modo più affidabile, se i backup non sono danneggiati. Ma prima del ripristino, devono essere verificati.

Sequenza corretta:

1. Isola l'archiviazione dei backup dalla rete infetta.
2. Trova un punto di ripristino prima dell'inizio dell'attacco, non solo prima del momento della scoperta.
3. Controlla la copia su un banco di prova o su una macchina separata.
4. Scansiona i dati ripristinati con un antivirus e EDR.
5. Assicurati che non ci siano compiti dannosi, script o account salvati nel sistema.
6. Ripristina prima i servizi critici, poi quelli secondari.
7. Dopo il ripristino, cambia le password e le chiavi di accesso.

È importante scegliere un punto precedente alla compromissione. Se l'aggressore era presente nella rete da una settimana, il backup di ieri potrebbe contenere un backdoor, uno script dannoso o un account modificato.

Opzione 2: decrittori gratuiti

Per alcune famiglie di ransomware sono disponibili strumenti di decrittazione gratuiti. Appaiono quando i ricercatori trovano un errore nell'implementazione della cifratura, ottengono chiavi o le forze dell'ordine confiscano l'infrastruttura dei criminali.

Utilizza solo fonti affidabili: siti di noti produttori di antivirus, iniziative internazionali contro il ransomware e raccomandazioni ufficiali di CERT/CSIRT. Prima di avviare un decrittore, fai copia dei file cifrati. Se lo strumento commette errori o i file sono danneggiati, la copia permetterà di provare un altro metodo.

Non fidarti di siti che promettono "decrittazione 100% di qualsiasi file". Non esiste un decrittore universale per tutti i ransomware.

Opzione 3: copie shadow e versioni precedenti

Windows può memorizzare copie shadow dei volumi. Alcuni ransomware le eliminano, ma non sempre con successo. Controlla la possibilità di ripristinare versioni precedenti di file e cartelle.

Controlla anche:

• la cronologia dei file di Windows;
• snapshot locali di NAS;
• snapshot di macchine virtuali;
• versioni di oggetti in archiviazioni cloud;
• cestino e cartelle archivio;
• copie su laptop dei dipendenti non collegati alla rete durante l'attacco.

Non ripristinare i dati direttamente sopra ai file cifrati. È meglio copiarli in un luogo pulito separato e poi trasferirli nell'ambiente di lavoro.

Opzione 4: recupero di dati cancellati

A volte il ransomware crea una copia cifrata di un file e elimina l'originale. In questo caso, parte dei dati può teoricamente essere recuperata con programmi di recupero file cancellati. La probabilità aumenta se il disco non è stato utilizzato dopo l'attacco.

Per gli SSD, la probabilità è più bassa a causa di TRIM. Per gli archivi di rete, tutto dipende dal file system, dalle impostazioni degli snapshot e dal volume delle scritture successive. Questo metodo non dovrebbe essere il primo, ma vale la pena considerarlo se non ci sono backup.

Opzione 5: ripristino manuale da fonti

Se i documenti non possono essere restituiti completamente, puoi ripristinare almeno dati critici da fonti secondarie:

• allegati nelle email;
• rapporti inviati;
• esportazioni da CRM, ERP e sistemi contabili;
• versioni cloud dei documenti;
• copie locali dei dipendenti;
• dati da appaltatori e clienti;
• documenti stampati e archivi PDF.

Questa strada richiede tempo, ma aiuta a riavviare più velocemente processi chiave mentre si svolge l'indagine tecnica.

Come ripristinare in sicurezza server e workstation

La semplice eliminazione di un file dannoso non è sufficiente. Dopo un ransomware, è necessario considerare che le credenziali potrebbero essere state rubate e che potrebbero restare meccanismi di accesso nascosti nel sistema.

Preparazione di un ambiente pulito

La scelta migliore è ricreare i sistemi da zero utilizzando immagini affidabili. Questo è particolarmente importante per i controller di dominio, i server di amministrazione, i gateway VPN e i hypervisor.

Ordine raccomandato:

1. Crea una rete di recupero isolata.
2. Installa server puliti da immagini verificate.
3. Installa gli aggiornamenti di sicurezza più recenti.
4. Configura antivirus, EDR e registrazione.
5. Ripristina i dati da un backup verificato.
6. Cambia le password degli amministratori, degli account di servizio e degli utenti.
7. Rigenera chiavi API, certificati e token se potrebbero essere stati accessibili agli aggressori.
8. Controlla i diritti di accesso secondo il principio del minimo privilegio.
9. Collega le workstation per fasi, dopo verifica.

Controllo di Active Directory

Nell'infrastruttura di dominio, presta particolare attenzione ad Active Directory. Gli aggressori creano spesso nuovi account, si aggiungono a gruppi di amministratori o utilizzano vecchie password di servizio.

Controlla:

• membri dei gruppi Domain Admins, Enterprise Admins e amministratori locali;
• nuove e recentemente modificate credenziali;
• policy di gruppo sospette;
• script di accesso;
• diritti delegati;
• eventi di accesso da nodi inusuali;
• anomalie Kerberos e utilizzo di protocolli obsoleti.

Dopo, attiva l'autenticazione multifattoriale per l'accesso remoto e per account amministrativi. Limita anche l'accesso degli amministratori a workstation normali.

Ritorno degli utenti al lavoro

Non collegare tutti contemporaneamente. Inizia con un gruppo pilota e con reparti critici. Monitora i log, il traffico di rete e gli eventi di sicurezza. Se compaiono segni di nuova cifratura, interrompi immediatamente il processo e torna all'indagine.

La comunicazione con gli utenti è anche importante. Comunica quali password devono essere cambiate, quali file sono temporaneamente non disponibili e dove inviare email sospette. Maggiore è la chiarezza delle istruzioni, minore sarà il caos.

Come lavorare con i backup dopo un attacco

I backup sono lo strumento principale per il recupero, ma spesso diventano obiettivo di attacco. Pertanto, è necessario valutare non solo la presenza di un backup, ma anche la sua qualità.

Segni di un backup affidabile

Un buon backup dovrebbe essere:

• creato prima dell'inizio della compromissione;
• non accessibile a normali amministratori di dominio;
• protetto da modifiche o eliminazione;
• verificato mediante ripristino, non solo da un rapporto di successo;
• isolato dalla rete principale;
• cifrato e protetto da credenziali separate.

Una regola utile è 3-2-1: mantenere almeno tre copie di dati, su due tipi diversi di supporti, con una copia off-site. Per proteggersi da ransomware, si utilizzano inoltre copie immutabili: immutable backup, archiviazioni WORM, archiviazione oggetti con blocco delle versioni o supporti offline.

Perché non sovrascrivere subito i backup

Dopo un attacco, alcuni sistemi di backup continuano a funzionare secondo il programma. Possono conservare dati già cifrati sopra i vecchi punti. Quindi, prima di tutto, interrompi i task, verifica le politiche di archiviazione e proteggi le vecchie copie da eliminazione.

Se esiste il sospetto che il server di backup sia stato compromesso, non usarlo come fidato. Prima, fai copie di log e configurazioni, poi analizza in isolamento.

Indagine sulla causa dell'infezione

Senza cercare la causa principale, il ripristino rimane incompleto. La sistema potrebbe essere di nuovo cifrato attraverso il medesimo accesso vulnerabile.

Punti di accesso comuni:

• email di phishing con allegati dannosi;
• password rubate di VPN o email;
• RDP aperto su Internet;
• server web vulnerabili e CMS;
• gateway VPN obsoleti;
• password degli amministratori deboli;
• assenza di MFA;
• dispositivi personali infetti;
• connessioni di appaltatori non sicure.

Raccogli i log dai sistemi di posta, VPN, controller di dominio, firewall, EDR, proxy e server. Confronta l'orario dei primi accessi sospetti con l'orario della cifratura. Spesso tra i due passa un periodo significativo, quindi analizza non solo le ultime ore.

Azioni legali e organizzative

Il recupero tecnico dopo un ransomware deve procedere parallelamente alla gestione dei rischi. Per l'azienda non è solo un incidente IT.

Si raccomanda di:

• nominare un coordinatore responsabile dell'incidente;
• tenere un registro delle decisioni e delle azioni;
• conservare prove per un'eventuale segnalazione alle forze dell'ordine;
• valutare se sono coinvolti dati personali;
• controllare i requisiti contrattuali con clienti e partner;
• informare la compagnia assicurativa, se esiste copertura per cyber risk;
• preparare messaggi chiari per dipendenti e clienti.

Non è consigliabile nascondere il problema ai team interni che devono essere coinvolti nel recupero. Ma diffondere dettagli non verificati è rischioso. È meglio utilizzare un canale unico di comunicazione e formule concordate.

Come ridurre il rischio di attacchi futuri

Dopo il ripristino, si entra nella fase più importante: il rafforzamento della protezione. Se si ripristina tutto come prima, rischi di un nuovo incidente rimangono elevati.

Misure tecniche di protezione

Azioni prioritarie:

• attivare l'MFA per VPN, email, amministratori e servizi cloud;
• chiudere l'RDP da Internet o proteggerlo tramite VPN e regole di accesso rigorose;
• aggiornare i sistemi operativi, i gateway VPN, i hypervisor, i server di posta e i CMS;
• attivare EDR o protezione endpoint moderna;
• limitare i diritti degli utenti;
• segmentare la rete;
• vietare l'esecuzione di macro da Internet;
• configurare il filtraggio delle email e degli allegati;
• monitorare PowerShell, PsExec, WMI e altri strumenti di amministrazione;
• mantenere log centralizzati e conservarli separati dalle workstation;
• controllare regolarmente il ripristino di backup.

Inizia con le misure che chiudono le ovvie porte d'ingresso. L'MFA e la correzione dei servizi esterni vulnerabili spesso producono un effetto immediato.

Misure organizzative

Le tecnologie non sostituiscono i processi. Sono necessarie regole chiare:

• chi prende la decisione di disattivare la rete;
• dove è conservato il piano di ripristino;
• chi ha accesso ai backup;
• con quale frequenza è verificato il ripristino;
• come i dipendenti segnalano il phishing;
• chi comunica con clienti, partner e regolatori;
• quali sistemi sono considerati critici.

Svolgi esercitazioni di formazione. Anche un breve esercizio sullo scenario "server di file cifrato" mette in evidenza le debolezze: password dimenticate, backup non verificati, dipendenza da un solo amministratore o assenza di contatti da parte del fornitore.

Piano di recupero per piccole imprese

Le piccole imprese spesso non dispongono di un team separato di cybersecurity. Pertanto, il piano deve essere semplice e realizzabile.

Set minimo:

1. Elenco dei sistemi critici: contabilità, CRM, sito web, email, file, home banking;
2. Contatti dell'amministratore, hosting, fornitore, legale e dirigenza;
3. Backup giornalieri dei dati importanti;
4. Una copia offline o una copia cloud immutabile;
5. MFA su email, VPN e accesso remoto;
6. Divieto di account amministrativi condivisi;
7. Aggiornamenti regolari;
8. Istruzioni per i dipendenti: cosa fare in caso di email sospette o file cifrati.

Se il budget è limitato, inizia dai backup, dall'MFA e dalla chiusura dell'RDP aperto. Queste misure non risolvono tutti i problemi, ma coprono le cause comuni di perdite ingenti.

Piano di recupero per utenti privati

Se un ransomware ha infettato un computer domestico, l'ordine delle azioni è simile, ma più semplice.

Fai quanto segue:

1. Disconnetti il computer da Internet e dalla rete domestica.
2. Non collegare un disco esterno con foto e documenti.
3. Fai una foto del messaggio di riscatto e conservalo.
4. Copia alcuni file cifrati su un supporto separato per analisi, se è sicuro farlo.
5. Controlla se ci sono backup nel cloud, su disco esterno o su un altro dispositivo.
6. Trova un decrittore affidabile per la famiglia del ransomware, se esiste.
7. Reinstalla il sistema o ripristinalo da un'immagine pulita.
8. Cambia le password per email, banche, social media e archiviazione cloud da un altro dispositivo pulito.
9. Ripristina i dati solo dopo aver effettuato i controlli.

Se nei file cifrati c'erano scansioni di documenti, password o dati finanziari, considera che potrebbero essere stati compromessi. Cambia le password e attiva l'autenticazione a due fattori.

Errori comuni durante il ripristino

Gli errori spesso costano più dell'attacco stesso. Ecco i più comuni:

• ripristino dei dati in una rete ancora infetta;
• utilizzo di vecchie password amministrative;
• assenza di controllo sui backup prima di un ripristino massivo;
• eliminazione di log e file dannosi prima dell'analisi;
• fiducia in decrittori casuali;
• collegamento di backup offline a un server infetto;
• ignorare la causa della penetrazione;
• dichiarazione prematura dell'incidente come chiuso.

Una buona pratica è dividere il ripristino in fasi: fermare l'attacco, analisi, ambiente pulito, ripristino dei dati, monitoraggio, miglioramento della protezione. Così si riduce il rischio di perdere dettagli importanti.

FAQ: risposte alle domande frequenti sul ripristino dopo un ransomware

È possibile ripristinare i file dopo un ransomware senza backup?

A volte, sì, ma non sempre. Controlla i decrittori gratuiti, le copie shadow, le versioni in cloud, gli snapshot NAS e gli originali remoti dei file. Se la cifratura è stata implementata correttamente e non ci sono copie, un completo ripristino potrebbe non essere possibile.

Esiste un programma universale per decrittare i file?

No. Ogni ransomware utilizza le proprie chiavi e metodi. Non esiste un decrittore universale. Usa solo strumenti verificati per la specifica famiglia di ransomware.

È necessario spegnere il computer in caso di infezione?

Se la cifratura continua e non c'è modo di fermarla, disattivare l'alimentazione può limitare i danni. Ma in un ambiente aziendale, è meglio prima isolare il dispositivo dalla rete e conservare lo stato per l'analisi, se possibile.

Perché è necessario cambiare le password dopo il ripristino?

Perché gli aggressori potrebbero aver rubato le credenziali prima dell'avvio della cifratura. Se lasci le vecchie password, potrebbero rientrare nella rete e ripetere l'attacco.

È possibile utilizzare il computer dopo aver rimosso il virus?

È meglio non considerare tale sistema come fidato. Per dispositivi importanti, è più sicuro reinstallare il sistema operativo o distribuire un'immagine pulita, e poi ripristinare i dati verificati.

Come capire se il backup non è infetto?

Devi scegliere un punto precedente all'inizio della compromissione, ripristinarlo in un ambiente isolato, controllarlo con un antivirus e analizzarlo per account sospetti, task, script e modifiche di configurazione.

Cosa fare se i file sono cifrati nel cloud?

Interrompi la sincronizzazione, cambia la password e termina le sessioni attive. Poi controlla la cronologia delle versioni, il cestino e le funzioni di recupero account. Molti servizi cloud consentono di ripristinare i file a uno stato precedente.

Piano d'azione rapido

Se hai bisogno di orientarti rapidamente, usa questo ordine:

1. Isola i dispositivi infetti e i backup.
2. Registra i segni dell'attacco: messaggi, estensioni dei file, orari degli eventi.
3. Valuta l'entità: workstation, server, cloud, backup.
4. Determina la famiglia del ransomware e verifica la disponibilità di un decrittore.
5. Trova un punto di ripristino pulito.
6. Distribuisci un ambiente fidato e aggiorna i sistemi.
7. Ripristina i dati da backup verificati.
8. Cambia password, chiavi e token.
9. Trova e rimuovi la causa dell'attacco.
10. Rinforza la protezione e verifica il piano di ripristino.

Conclusione

Il ripristino dopo un ransomware richiede disciplina: prima ferma la diffusione, poi conserva le prove, verifica i backup e ripristina i sistemi solo in un ambiente pulito. Non fare affidamento su decrittori casuali e non collegare backup a una rete infetta. Inizia con isolamento, inventario e ricerca di un punto di ripristino affidabile, e dopo aver ripristinato l'attività, assicurati di rimuovere la causa dell'intrusione e aggiornare il piano di protezione.