Come curare un computer da un virus ransomware: guida passo passo

Se hai bisogno di curare il computer da un virus ransomware, la cosa principale è non farti prendere dal panico e non agire impulsivamente. Un ransomware blocca l'accesso ai file e richiede un riscatto per la decriptazione. In questo articolo verranno trattati i primi passi da compiere dopo l'infezione, la rimozione sicura del malware, le opzioni di recupero dei dati, la prevenzione di attacchi futuri e risposte alle domande frequenti.

Un punto importante: la cura del computer e il recupero dei file sono compiti diversi. Un antivirus può rimuovere il codice maligno attivo, ma non sempre riesce a decriptare documenti, foto, database o archivi già danneggiati. Pertanto, l'ordine delle azioni è di vitale importanza.

Cos'è un virus ransomware

Un virus ransomware è un programma maligno che trova file dell'utente e li cripta. Dopo di ciò appare uno avviso sullo schermo o nelle cartelle che richiede un riscatto. In genere, vi è indicato l'importo, il portafoglio in criptovaluta, il termine di pagamento e le minacce di cancellare la chiave di decrittazione.

Di solito vengono criptati:

• documenti Microsoft Office e PDF;
• foto e video;
• archivi ZIP, RAR, 7z;
• database e file contabili;
• progetti, disegni, codice sorgente;
• file su dischi di rete e dispositivi di archiviazione esterni.

Il ransomware può entrare nel computer tramite un allegato in un'email, un link maligno, un software pirata, una vulnerabilità nell'accesso remoto, una chiavetta USB infetta o un account compromesso. In una rete aziendale, un solo computer infetto può diventare un punto d'ingresso per attacchi a server e cartelle condivise.

Come capire se il computer è infetto da ransomware

I segni di un'infezione sono di solito evidenti subito, ma a volte l'attacco si sviluppa gradualmente. Prima lo riconosci, maggiore è la possibilità di limitare i danni.

Sintomi principali

• I file hanno smesso di aprirsi, anche se prima funzionavano.
• I documenti hanno acquisito strane estensioni, come .locked, .crypt, .encrypted o un insieme casuale di caratteri.
• Nelle cartelle sono apparsi file con nomi come readme.txt, how_to_decrypt.html, restore_files.txt.
• Il desktop è cambiato, è apparso un messaggio di riscatto.
• Il computer è diventato improvvisamente lento, il disco lavora attivamente, ma non hai avviato nulla.
• L'antivirus segnala ransomware, trojan, dropper o un processo sospetto.
• Le copie shadow di Windows o i punti di ripristino non sono accessibili.

Cosa non fare

Azioni errate possono peggiorare la situazione. Pertanto, non avere fretta di reinstallare Windows e di eliminare tutto indiscriminatamente.

Non è consigliato:

• pagare il riscatto senza consultare uno specialista;
• eliminare il messaggio degli estorsori, se contiene l'identificativo dell'infezione;
• formattare il disco prima di fare una copia dei dati criptati;
• collegare i dischi di backup a un computer compromesso;
• eseguire sospetti "decrittatori" trovati su forum;
• continuare a lavorare in rete se il computer è connesso a cartelle condivise.

Il pagamento non garantisce il recupero. Inoltre, i malintenzionati potrebbero inviare una chiave non funzionante, richiedere un pagamento aggiuntivo o attaccare nuovamente la stessa infrastruttura.

Prime azioni in caso di infezione

Di seguito è riportato un ordine di base che si applica sia a un PC domestico che a una postazione di lavoro in ufficio. Se è infetto un server, una rete di dominio o un database importante, è meglio coinvolgere subito uno specialista di sicurezza informatica.

Piano passo passo

1. Disconnetti internet e la rete locale. Scollega il cavo di rete, disattiva il Wi‑Fi e il Bluetooth. Questo aiuterà a fermare la connessione con il server di comando e ridurrà il rischio di infezione delle cartelle di rete.
2. Non spegnere il computer bruscamente, se il processo di criptazione è ancora in corso. Prima disconnetti la rete. Poi controlla se c'è un carico attivo sul disco. Nei casi dubbi, è meglio fotografare lo schermo e contattare uno specialista.
3. Disconnetti i dispositivi di archiviazione esterni. Se sono collegati pen drive, dischi USB o archiviazioni di rete, scollegali. Ma non collegarli ad altri computer fino a che non siano stati controllati.
4. Fotografa il messaggio di riscatto. Registra indirizzi, estensioni dei file, ID della vittima e nomi dei file contenenti istruzioni.
5. Fai una copia dei file criptati. Copia i dati importanti su un dispositivo pulito o su un'immagine disco. Questo è necessario per una futura decriptazione, se appare un decrittatore funzionante.
6. Controlla se la criptazione continua. Apri il task manager e cerca processi sospetti con un alto carico su disco o CPU. Non eliminarli a caso, se non sei sicuro.
7. Esegui una scansione con una soluzione antivirus affidabile. È meglio usare un disco antivirus avviabile o uno scanner di un produttore noto.
8. Dopo aver rimosso la minaccia, procedi al recupero dei dati. Utilizza copie di backup, le copie shadow di Windows o decrittatori ufficiali, se esistono per la tua variante di ransomware.

Queste azioni riducono il rischio di perdere ulteriori file e aiutano a preservare le prove di infezione.

Come rimuovere in modo sicuro il virus ransomware

La rimozione di un ransomware deve essere effettuata con cautela. L'obiettivo è fermare il malware, rimuovere l'avvio automatico, controllare il sistema e assicurarsi che la minaccia non ritorni dopo il riavvio.

Preparazione al trattamento

Prima di iniziare il trattamento, esegui tre azioni:

• conserva una copia del messaggio degli estorsori;
• copia alcuni file criptati per analisi;
• crea una copia di backup dell'intero disco, se i dati sono importanti.

Anche se i file ora non si aprono, non possono essere considerati inutilizzabili. Per alcune famiglie di ransomware potrebbero successivamente apparire decrittatori gratuiti. Senza i file criptati originali, il recupero sarà impossibile.

Controllo in modalità provvisoria

Su Windows, puoi avviarti in modalità provvisoria con o senza supporto di rete. Se c'è il rischio che il ransomware continui a comunicare con il server, è meglio scegliere prima la modalità senza rete.

Ordine generale:

1. Apri le opzioni di ripristino di Windows.
2. Vai alla sezione opzioni di avvio avanzate.
3. Seleziona la modalità provvisoria.
4. Esegui una scansione antivirus.
5. Elimina le minacce trovate o mettile in quarantena.
6. Riavvia il computer ed esegui una nuova scansione.

Tuttavia, la modalità provvisoria non aiuta sempre. Alcuni ransomware moderni utilizzano servizi, pianificatori di attività, driver o credenziali amministrative. Pertanto, la sola rimozione manuale spesso non è sufficiente.

Utilizzare un antivirus avviabile

Un supporto antivirus avviabile è una delle soluzioni più sicure. Si avvia prima di Windows e controlla il disco senza che il sistema infetto sia attivo.

I vantaggi di questo approccio:

• i processi malevoli non hanno il tempo di avviarsi;
• è più semplice rimuovere file bloccati;
• minore il rischio che il ransomware ostacoli la scansione;
• puoi controllare il sistema con basi dati aggiornate.

Utilizza soluzioni di fornitori di sicurezza noti. Scaricale solo dai siti ufficiali. Crea una penna USB avviabile su un computer pulito.

Controllo manuale dell'avvio automatico

Dopo la pulizia automatica è utile controllare i luoghi da cui il malware potrebbe avviarsi nuovamente:

• cartelle di avvio automatico dell'utente e di sistema;
• pianificatore di attività di Windows;
• sezioni del registro Run e RunOnce;
• cartelle temporanee %Temp% e %AppData%;
• programmi recentemente installati;
• servizi sospetti;
• regole del firewall;
• estensioni del browser.

La rimozione manuale richiede esperienza. Se non sei sicuro, è meglio non modificare il registro e i servizi di sistema. Un errore potrebbe portare a un funzionamento instabile di Windows.

Quando è meglio reinstallare il sistema

A volte curare un computer da un virus ransomware non fornisce sufficiente certezza. La reinstallazione di Windows è giustificata se:

• l'infezione è avvenuta con diritti di amministratore;
• l'antivirus trova nuovamente minacce;
• i servizi di sicurezza sono stati disattivati;
• non è chiaro quali altri malware siano stati introdotti nel sistema;
• il computer è stato utilizzato per operazioni bancarie, contabilità o amministrazione di server;
• l'attaccante ha ottenuto accesso remoto.

Prima di reinstallare, conserva i file criptati, i messaggi degli estorsori e i registri importanti. Poi pulisci il disco, reinstalla il sistema, aggiorna Windows, installa l'antivirus e solo dopo collegati alle copie di backup.

Come recuperare file dopo un ransomware

Dopo aver rimosso la minaccia attiva, puoi passare al recupero. Qui è importante non promettere l'impossibile: non esiste un modo universale per decriptare tutti i ransomware. Ma ci sono alcune opzioni legittime e sicure.

Confronto delle modalità di recupero

Metodo	Quando è adatto	Rischi e limitazioni
Backup	C'è un backup pulito prima dell'infezione	È necessario assicurarsi che il backup non sia infetto e non sia criptato
Copie shadow di Windows	È attivata la protezione di sistema, le copie non sono state eliminate	Molti ransomware eliminano le copie shadow
Decrittatore ufficiale	La famiglia di ransomware è stata già studiata	Non ci sono decrittori per tutte le varianti
Recupero di file eliminati	Il ransomware ha creato copie e eliminato gli originali	Il risultato dipende dallo stato del disco e dal tempo trascorso dall'attacco
Contattare specialisti	I dati sono criticamente importanti	Ha un costo, ma riduce il rischio di errori

Recupero da backup

Il modo più affidabile è recuperare i dati da un backup creato prima dell'infezione. Ma non collegare il backup a un computer compromesso fino a completa pulizia. Altrimenti, il ransomware potrebbe criptare anche le copie.

Ordine corretto:

1. Pulisci o reinstalla il sistema.
2. Installa aggiornamenti e software di protezione.
3. Controlla il supporto di backup con l'antivirus.
4. Assicurati che la data del backup preceda l'infezione.
5. Recupera i dati in una cartella separata.
6. Controlla in modo selettivo alcuni documenti.
7. Solo dopo questa fase, restituisci i file alle cartelle di lavoro.

Per le aziende, è desiderabile ripristinare i dati in un ambiente isolato inizialmente. Ciò consentirà di controllare l'integrità dei database, dei diritti di accesso e dei registri.

Controllo delle copie shadow di Windows

Windows può creare copie shadow di file e punti di ripristino. Se il ransomware non le ha eliminate, puoi ripristinare le versioni precedenti.

Puoi provare in questo modo:

1. Fai clic con il tasto destro sulla cartella con i file danneggiati.
2. Seleziona "Proprietà".
3. Apri la scheda "Versioni precedenti".
4. Seleziona la versione precedente all'infezione.
5. Copiala in un luogo sicuro.

Se la scheda è vuota, le copie potrebbero essere state disattivate o eliminate. Non installare programmi sospetti che promettono di "ripristinare tutte le copie shadow". Spesso sono inutili o pericolosi.

Ricerca di un decrittatore gratuito

Per alcuni ransomware esistono utilità di decrittazione gratuite. Vengono pubblicate dalle aziende antivirus e dai progetti internazionali contro il ransomware.

Per verificare la possibilità di decriptare:

• trova il nome della famiglia di ransomware nel rapporto antivirale;
• controlla l'estensione dei file criptati;
• conserva il messaggio degli estorsori;
• utilizza i servizi di identificazione ransomware di organizzazioni affidabili;
• scarica il decrittatore solo da una fonte ufficiale.

Non inviare file aggiuntivi ai malintenzionati se non è necessario. Non avviare il decrittatore se la sua origine è sconosciuta. Strumenti di recupero contraffatti potrebbero infettare nuovamente il computer.

Recupero di originali eliminati

Alcuni ransomware più vecchi creavano una copia criptata del file e eliminavano l'originale. In tal caso, i programmi di recupero dati eliminati a volte possono funzionare. Ma il successo dipende dal fatto che i settori del disco siano stati sovrascritti.

Importante:

• non installare il programma di recupero sullo stesso disco;
• non salvare i file trovati sulla partizione originale;
• lavora con un'immagine disco se i dati sono particolarmente preziosi;
• non eseguire la deframmentazione e la pulizia del disco prima di tentare il recupero.

Su SSD il risultato è spesso peggiore a causa del comando TRIM, che pulisce i blocchi eliminati. Quindi, prima si fermano eventuali scritture sul disco, meglio è.

Vale la pena pagare il riscatto

Pagare il riscatto è estremamente rischioso. Potresti non ricevere la chiave, ricevere un programma non funzionante o diventare l'obiettivo di un attacco ripetuto. Inoltre, il pagamento sostiene lo schema criminale.

Tuttavia, nella vita reale, le aziende a volte prendono in considerazione questa opzione se una produzione critica è stata fermata o non ci sono backup. In tal caso, la decisione deve essere presa dopo una consulenza legale, la valutazione dei rischi di sanzioni, il controllo dell'incidente da parte degli esperti e l'analisi delle alternative. Per l'utente domestico, il pagamento è quasi sempre la peggiore opzione.

Meglio esaurire prima le soluzioni sicure: backup, copie shadow, decrittatori ufficiali, recupero di file eliminati e consulenze professionali.

Come capire quale ransomware ha infettato il computer

Identificare la famiglia di ransomware aiuta a scegliere il metodo di recupero. A volte, da un solo tipo di estensione del file, è possibile già trovare informazioni, ma questo non è sempre affidabile. Diversi programmi maligni possono usare estensioni simili.

Raccogli le seguenti informazioni:

• testo del messaggio degli estorsori;
• indirizzi email o siti indicati nelle istruzioni;
• estensione dei file criptati;
• esempio di file criptato senza dati personali;
• versione originale non criptata dello stesso file, se disponibile;
• data e ora approssimativa dell'infezione;
• rapporto antivirale.

Queste informazioni aiuteranno i servizi di identificazione e gli specialisti. Ma non pubblicare documenti riservati in pubblico.

Cura del computer domestico e della rete aziendale

L'approccio dipende dall'entità dell'infezione. Di solito è più semplice isolare e recuperare un PC domestico. In ufficio è necessario considerare cartelle condivise, server, account e registri eventi.

Se il computer domestico è infetto

Per un utente domestico, un piano ragionevole è il seguente:

1. Disconnetti internet.
2. Conserva le prove e le copie dei file criptati.
3. Controlla il sistema con un antivirus avviabile.
4. Rimuovi le minacce trovate.
5. Cambia le password da un altro dispositivo pulito.
6. Controlla gli archivi cloud e la cronologia delle versioni.
7. Recupera i dati dai backup o tramite decrittatori ufficiali.
8. Aggiorna Windows, browser e programmi.
9. Imposta backup regolari.

Controlla separatamente la sincronizzazione con il cloud. Se i file criptati sono stati caricati in un'archiviazione cloud, usa la cronologia delle versioni o il cestino del servizio.

Se l'azienda è infetta

Nell'azienda è importante non solo curare un computer da ransomware, ma anche capire il percorso di infiltrazione. Altrimenti, l'attacco potrebbe ripetersi.

È necessario:

• isolare le stazioni di lavoro e i server infetti;
• disabilitare gli account compromessi;
• raccogliere registri eventi;
• controllare i controller di dominio;
• analizzare l'accesso remoto, VPN e RDP;
• cercare processi e script maligni;
• valutare la perdita di dati;
• recuperare da backup verificati;
• cambiare password e chiavi di accesso;
• documentare l'incidente.

Se i dati personali, i sistemi finanziari o le infrastrutture critiche sono coinvolti, potrebbero sorgere obblighi legali di informare i regolatori e i clienti. Tali questioni è meglio affrontarle con avvocati e specialisti del settore.

Come proteggersi da una reinfezione

La prevenzione è più economica e affidabile rispetto al recupero dopo un attacco. I ransomware utilizzano spesso le stesse vulnerabilità: software obsoleti, password deboli, RDP aperto, assenza di backup e disattenzione verso gli allegati.

Imposta il backup secondo la regola 3-2-1

La regola 3-2-1 significa:

• 3 copie di dati importanti;
• 2 tipi diversi di supporti;
• 1 copia deve essere conservata separatamente dal sistema principale.

Ad esempio, i file di lavoro si trovano sul computer, una copia su un disco esterno, un'altra nel cloud con cronologia delle versioni. Il disco esterno non deve essere sempre collegato. Altrimenti, il ransomware potrebbe criptare anche quello.

Controlla regolarmente il recupero. Un backup che non può essere ripristinato non è una protezione affidabile.

Aggiorna il sistema e i programmi

Le vulnerabilità in Windows, nei browser, nei pacchetti office, nei file compressi e nell'accesso remoto vengono spesso utilizzate per l'infezione. Attiva gli aggiornamenti automatici. Rimuovi i programmi che non usi. Non lavorare costantemente con un account di amministratore.

Fai particolare attenzione a:

• Windows Update;
• Microsoft Office o un pacchetto office alternativo;
• browser e estensioni;
• Java, se è veramente necessaria;
• file compressi;
• client VPN;
• programmi di accesso remoto.

Proteggi l'accesso remoto

Un RDP aperto con una password semplice è una causa frequente di incidenti ransomware. Se l'accesso remoto è necessario, utilizza VPN, autenticazione multifattoriale, password complesse e limitazione agli indirizzi IP.

È consigliabile:

• disabilitare RDP se non necessario;
• vietare l'accesso diretto degli amministratori tramite internet;
• attivare il blocco dopo alcuni tentativi di accesso non riusciti;
• utilizzare password uniche;
• controllare regolarmente l'elenco degli utenti;
• attivare i registri di accesso e il monitoraggio.

Forma gli utenti

La maggior parte delle infezioni inizia con l'azione di una persona: un allegato aperto, un macro attivato, l'avvio di un "attivatore" o il download di un programma da un sito sospetto.

Regole utili:

• non aprire allegati inattesi;
• controllare l'indirizzo del mittente;
• non attivare macro in documenti senza necessità;
• scaricare programmi solo da siti ufficiali;
• non utilizzare software pirata;
• segnalare email sospette all'amministratore;
• non ignorare gli avvisi dell'antivirus.

Domande frequenti sul virus ransomware

È possibile curare un computer dal virus ransomware senza perdita di dati?

A volte è possibile se esiste un backup pulito, sono rimaste copie shadow o esiste un decrittatore gratuito per un ransomware specifico. Ma la rimozione del virus non garantisce di per sé la decriptazione dei file.

L'antivirus ha rimosso il ransomware, perché i file non si aprono?

Perché l'antivirus rimuove il programma maligno, ma i file rimangono criptati. Per accedervi è necessaria una chiave di decrittazione, un backup o un altro metodo di recupero.

È necessario disconnettere il computer dalla corrente?

Prima disconnetti la rete. Spegnere completamente il computer a volte aiuta a fermare la criptazione, ma potrebbe ostacolare la raccolta di dati per l'analisi. Se i dati sono critici, è meglio isolare il dispositivo e contattare uno specialista.

È possibile decriptare file online?

Alcuni servizi aiutano a identificare il tipo di ransomware e suggeriscono se esiste un decrittatore. Ma non caricare documenti riservati su siti sconosciuti. Utilizza solo risorse autorevoli.

L'operazione di ripristino di Windows sarà utile?

Il ripristino di sistema può ripristinare alcune impostazioni, ma di solito non decripta i file personali. Inoltre, molti ransomware eliminano i punti di ripristino. Puoi provarci solo dopo aver salvato una copia dei dati criptati.

Perché non è possibile collegare subito il disco di backup?

Se il ransomware è attivo, potrebbe criptare il disco collegato. Prima è necessario pulire o reinstallare il sistema, quindi controllare il supporto e solo dopo recuperare i dati.

Cosa fare se i file nel cloud sono stati criptati?

Disabilita la sincronizzazione sul computer infetto. Poi accedi al cloud da un dispositivo pulito e controlla la cronologia delle versioni, il cestino e la funzione di recupero massivo. Molti servizi consentono di ripristinare file allo stato precedente all'attacco.

Breve lista di controllo delle azioni

Se il tempo è poco, utilizza questo elenco:

1. Disconnetti il computer da internet e dalla rete locale.
2. Non collegare pen drive e dischi di backup.
3. Fotografa il messaggio di riscatto.
4. Conserva copie del messaggio e dei file criptati.
5. Controlla il sistema con un antivirus avviabile.
6. Rimuovi le minacce trovate o reinstalla Windows.
7. Cambia le password da un dispositivo pulito.
8. Controlla i backup, le copie shadow e le versioni cloud.
9. Cerca il decrittatore solo su risorse ufficiali.
10. Imposta protezioni e backup regolari.

Conclusione

Per curare un computer da un virus ransomware, agisci in ordine: isola il dispositivo, conserva le prove, rimuovi il malware con uno strumento affidabile e solo dopo recupera i file. Non pagare il riscatto precipitosamente e non avviare decrittatori sospetti. Se i dati sono importanti, crea una copia disco e rivolgiti a uno specialista. Dopo il ripristino, imposta aggiornamenti, protezioni per l'accesso remoto e backup, affinché il prossimo attacco non si trasformi in una catastrofe.