Virus, ransomware e malware: le differenze spiegate

& Quando si parla di sicurezza informatica, alcuni termini vengono spesso utilizzati in modo intercambiabile, il che può creare confusione. I primi attacchi malware venivano spesso definiti virus. Allo stesso modo, i primi prodotti per la sicurezza informatica venivano spesso presentati come soluzioni antivirus, rafforzando l’idea che i virus fossero la principale minaccia informatica. Tuttavia, negli ultimi decenni, le strategie utilizzate dai criminali informatici si sono evolute notevolmente, dando origine a nuovi tipi di software dannoso con metodi di diffusione, obiettivi ed effetti diversi sui sistemi.

Comprendere le differenze tra virus, malware e ransomware può aiutarti a identificare tempestivamente il rischio, mettere in atto le giuste misure di prevenzione per diversi scenari ed evitare la perdita di dati.

Say no to ransoms with NAKIVO

Use backups for fast data recovery after ransomware attacks. Multiple recovery options, immutable local and cloud storage, recovery automation features and more.

DISCOVER SOLUTION

Che cos’è il malware?

Malware, abbreviazione di “malicious software” (software dannoso), è un concetto generale che include qualsiasi codice dannoso esterno in grado di danneggiare un dispositivo o corrompere i dati. Quando si parla di sicurezza informatica in generale, malware è solitamente il termine più ampio che può essere utilizzato nella maggior parte dei contesti. Ransomware e virus sono due tipi di malware. Altri tipi di malware includono:

• Spyware consente agli hacker di tracciare l’attività di un altro dispositivo. Lo spyware raccoglie dati personali, come informazioni relative a carte di credito, password, nomi utente, ecc., che gli hacker utilizzano in seguito per introdursi nei computer.
• I bot sono malware che collegano i computer compromessi a un server centrale. Questa rete di computer è nota come botnet. Le botnet possono rimanere invisibili, anche quando includono milioni di dispositivi. Sfruttando la potenza di un computer compromesso, le botnet possono inviare messaggi di phishing e spam, rubare informazioni personali ed eseguire attacchi denial-of-service (DDoS).
• Rootkit consente agli hacker di controllare un dispositivo all’insaputa dell’utente. Una volta installato, un rootkit può modificare la configurazione del sistema e scaricare altri file dannosi.
• Worm sono programmi che si diffondono automaticamente tra i computer della stessa rete senza un file host. I worm possono cancellare o modificare informazioni, rubare dati o installare malware aggiuntivo. Oggi i worm non sono molto diffusi, ma altri software dannosi utilizzano ancora lo stesso metodo di attacco.
• I cavalli di Troia, a differenza dei worm, hanno bisogno di un host per funzionare. Si tratta di malware sotto copertura, poiché generalmente sono camuffati da file legittimi. I trojan si diffondono principalmente tramite phishing. Tuttavia, non è l’unico modo. Gli attacchi trojan a volte appaiono integrati in un falso antivirus che compare su un sito web offrendo protezione per un dispositivo. Una volta installati su un computer, i trojan consentono lo spionaggio e la modifica dei dati.
• Adware è un malware che si presenta sotto forma di noti pop-up. Di solito è associato a giochi gratuiti o altri programmi senza licenza. A volte, l’unica minaccia che rappresenta è il rallentamento del computer. Tuttavia, in alcuni casi, può anche portare all’installazione di spyware.
• Il malware senza file è un codice dannoso che entra direttamente nella memoria del computer e corrompe programmi affidabili come PowerShell o gli script di Windows. A differenza di altri tipi, il malware senza file di solito non lascia tracce e, quindi, è più difficile da rilevare dagli scanner.

Tuttavia, i virus e il ransomware sono i tipi di malware più diffusi.

Che cos’è un virus?

Un virus è un programma dannoso che si diffonde attraverso siti web e file infetti. Quando un dispositivo è esposto a un virus, quest’ultimo viene installato e inizia a funzionare all’insaputa dell’utente. I virus possono corrompere i dati, danneggiare un dispositivo e interferire con le sue prestazioni, formattando il disco rigido. Alcuni virus possono replicarsi e diffondersi attraverso una rete locale. Anche un virus semplice può rallentare significativamente il sistema utilizzando la memoria del computer e causare frequenti arresti anomali.

Come si diffondono i virus?

Anche gli amministratori di sistema e gli utenti più attenti, che prendono precauzioni contro potenziali minacce malware, probabilmente sono stati esposti a un virus ad un certo punto. I virus si diffondono in vari modi. Un virus può entrare nella rete di un ambiente attraverso attività quotidiane come:

• Scambio di dati tra dispositivi
• Visita di siti web infetti (un dispositivo può essere infettato anche senza scaricare file)
• Scarica file torrent o altri software gratuiti
• Utilizzare dispositivi di storage esterni (come chiavette USB) che sono stati precedentemente collegati a un computer infetto
• Aprire allegati e-mail infetti

Virus: miti e realtà

Mito 1: Ti accorgerai sicuramente quando il tuo computer viene infettato.

Fatto: Il malware spesso si diffonde senza essere rilevato. Ecco perché non sempre è possibile capire se un dispositivo è stato infettato.

Mito 2: I siti web affidabili non contengono virus e altri malware.

Fatto: Gli hacker possono pubblicare annunci pubblicitari dannosi su siti web affidabili. Anche solo visualizzare un annuncio senza cliccarci sopra può causare l’installazione di malware. A volte, anche i siti web più noti possono essere infettati da malware.

Mito 3: I dispositivi Apple sono al sicuro dai virus.

Fatto: Si tratta di un malinteso profondamente radicato, perché qualsiasi dispositivo può essere infettato, sia che utilizzi macOS o un altro sistema operativo. Gli hacker perfezionano i loro programmi per penetrare in qualsiasi sistema e ambiente.

Mito 4: Le e-mail da origini attendibili non possono essere infette. È sempre sicuro aprire gli allegati delle e-mail da origini attendibili.

Fatto: Anche quando un’e-mail proviene da una fonte attendibile (collega, amico, ecc.), non vi è alcuna garanzia che sia sicura. Alcuni virus si insinuano nella lista dei contatti e infettano le e-mail. Quindi, se un allegato e-mail sembra sospetto, è meglio evitare di aprirlo.

Mito 5: Quando non ci sono dati critici su un computer, il software dannoso non rappresenta una minaccia.

Fatto: Anche se un dispositivo non memorizza dati critici, il malware rappresenta comunque una minaccia per la sicurezza. Il malware raramente cerca dati. Accede invece alla rubrica dei contatti per inviare e-mail di spam o utilizza la memoria e la potenza di un computer e, di conseguenza, dell’intera rete.

Mito 6: I firewall offrono una protezione completa contro i virus.

Fatto: I firewall forniscono vari tipi di protezione, principalmente filtrando il traffico e limitando l’accesso non autorizzato ai dati. Tuttavia, il malware può comunque accedere a un dispositivo e diffondersi attraverso la rete.

Che cos’è un virus ransomware?

A rigor di termini, non esiste un termine come “virus ransomware”. A differenza dei virus, il ransomware non è un’infezione autoreplicante, ma i criminali possono utilizzare i virus come parte di attacchi ransomware più complessi. Il ransomware funziona sulla base della crittografia, una delle tecnologie di sicurezza più efficaci inizialmente creata per proteggere i computer. La crittografia trasforma i dati in un codice segreto che può essere decodificato solo utilizzando una chiave di decrittografia.

Gli hacker chiedono alle vittime di pagare un riscatto, solitamente in Bitcoin, per ottenere la chiave di decrittografia e riottenere l’accesso ai propri file. Tuttavia, non tutti gli attacchi di ransomware mirano al guadagno finanziario. In alcuni casi, come con i ransomware wiper (ad esempio NotPetya), l’obiettivo dell’hacker è quello di causare interruzioni o rimuovere dati, in modo che i criminali possano generare indirizzi di portafogli crittografici falsi o richiedere alle loro vittime il pagamento di riscatti irrealistici.

Naturalmente, le aziende temono la perdita di fiducia e il danno alla reputazione. Pertanto, pagare il riscatto sembra una soluzione rapida per risolvere la situazione. Tuttavia, pagare il riscatto non garantisce mai il ripristino dell’accesso ai propri sistemi.

Invece di finanziare gli hacker e chiedersi se sarà possibile riottenere l’accesso ai propri dati, una soluzione molto migliore è quella di eseguire il backup dei propri carichi di lavoro. L’approccio migliore alla protezione dai ransomware è avere un piano di backup 3-2-1 che includa backup immutabili e con protezione air-gap. Un piano di questo tipo significa che dovreste avere almeno tre (3) copie di backup, memorizzarne due (2) su supporti diversi e conservarne una (1) offsite. Con questo piano di backup, il processo di ripristino sarà veloce e semplice, anche dopo un attacco ransomware.

Come si diffonde il ransomware?

Alcuni dei modi più comuni in cui si diffonde il ransomware sono:

• Le e-mail di phishing sono e-mail di spam che includono un allegato o un link dannoso. Una volta aperto l’allegato o il link, il ransomware viene scaricato sul computer. A volte il mittente dell’e-mail può essere qualcuno presente nella tua rubrica.
• I link nei messaggi sui social media possono contenere un link dannoso in grado di attivare il ransomware su un dispositivo.
• I siti web dannosi possono portare all’implementazione di ransomware dopo averli visitati. Questo è comune sulle piattaforme di streaming video e altri siti web con contenuti gratuiti.
• Malware aggiuntivo attacca i dispositivi che appartengono già a una botnet (un server che raggruppa computer hackerati). In questo caso, il dispositivo viene ulteriormente infettato con software dannoso aggiuntivo.

Ransomware: miti e realtà

Mito 1: Il ransomware attacca le aziende e non i privati.

Realtà: Il ransomware non fa distinzioni. Sia gli individui che le aziende possono essere destinazioni di attacchi ransomware.

Mito 2: Dopo aver pagato il riscatto, si recuperano sempre i dati.

Fatto: Nella maggior parte dei casi, chi paga il riscatto non riottiene l’accesso ai propri dati. Pagare il riscatto sembra una soluzione facile e veloce per risolvere il problema. Tuttavia, pagare il riscatto significa finanziare la criminalità informatica e incentivare gli hacker a compiere ulteriori attacchi senza alcuna garanzia di ottenere le chiavi di decrittografia.

Mito 3: Il ransomware non può crittografare i backup.

Fatto: Sebbene i backup regolari siano il modo migliore per proteggere i dati, esiste il rischio che tali backup possano includere carichi di lavoro infetti o essere danneggiati da terzi. Per mitigare questi rischi, è essenziale eseguire regolarmente scansioni antimalware, seguire la regola di backup 3-2-1e implementare misure di sicurezza quali crittografia, immutabilità e Controllo degli accessi basato sui ruoli (RBAC) per il backup dei dati. Soluzioni complete come NAKIVO Backup & Replication consentono di superare questi rischi con funzionalità di backup, ripristino di emergenza e protezione dai ransomware, il tutto da un unico pannello di controllo.

Ransomware vs. malware vs. virus

Come evitare ransomware, virus e altri threatware?

Dopo aver appreso le differenze tra i vari tipi di malware, la prima domanda che viene in mente è: è possibile prevenire un attacco malware? Esistono diversi modi in cui un utente può garantire la sicurezza di un dispositivo. La soluzione migliore è seguire le regole di base della sicurezza informatica:

• Procuratevi una protezione antivirus, antispyware e firewall e mantenetela sempre aggiornata.
• Aggiornate regolarmente il sistema operativo e le applicazioni.
• Migliorate le impostazioni di sicurezza del browser e bloccate i pop-up.
• Evitate di aprire messaggi ed e-mail provenienti da mittenti sconosciuti.
• Non aprire allegati, link e siti web sospetti.
• Valuta programmi, file e software gratuiti prima di scaricarli.
• Imposta password complesse e modifica regolarmente i tuoi dettagli di accesso.

Attenersi a queste regole riduce al minimo il rischio che un dispositivo venga infettato da software dannoso. Tuttavia, nulla può garantire la sicurezza al 100%. Ecco perché è fondamentale eseguire il backup dei dati in più ubicazioni, preferibilmente attenendosi al piano di backup 3-2-1 che include backup immutabili, crittografati e con protezione air-gap. In questo modo, anche in caso di attacco ransomware, sarà possibile ripristinare i dati con pochi clic.

Come rilevare il malware?

Un’altra domanda frequente è come determinare se un computer o una rete sono stati infettati. Un computer potrebbe essere infetto se si verificano alcuni dei seguenti problemi:

• Prestazioni del computer lente e arresti frequenti
• Comportamento instabile del computer (un computer invia messaggi o e-mail di spam senza il coinvolgimento dell’utente, oppure apre/chiude programmi, ecc.)
• Perdita di dati inspiegabile
• Pop-up e altri messaggi visualizzati sullo schermo
• Schermata blu della morte (BSOD)

L’approccio migliore, tuttavia, consiste nell’utilizzare un software completo per il rilevamento di malware che combini diversi metodi di rilevamento con l’apprendimento automatico. Tali soluzioni sono in grado di eseguire la scansione del sistema alla ricerca di firme di virus note o identificare modelli di codice simili, effettuare il monitoraggio dei sistemi alla ricerca di attività insolite ed eseguire test sandbox con file sospetti.

Come rimuovere il malware?

Rilevare e rimuovere il malware può essere un compito complicato. A meno che non siate dei professionisti, è facile tralasciare alcuni elementi e commettere errori. Inoltre, è difficile stabilire se il malware abbia modificato il sistema in misura tale da rendere impossibile riparare il danno. Una procedura tipica per la rimozione del malware è la seguente:

• Eseguire un software antimalware per cercare potenziali minacce.
• Una volta rilevato il malware, eliminare i file infetti.
• Se non è possibile farlo automaticamente, rivolgersi al tecnico del proprio vendor di sicurezza per assistenza.
• Dopo aver formattato un’unità, ripristina i dati dai backup (alcune soluzioni di backup, tra cui NAKIVO Backup & Replication, consentono di eseguire la scansione dei backup per rilevare i malware prima di eseguire il ripristino) e reinstallare i programmi, se necessario.
• Analizzare come un computer è stato infettato per prevenire attacchi malware in futuro.
• Prenditi il tempo necessario per informare tutti gli utenti delle regole di sicurezza informatica.

Se alcuni dei tuoi file sono stati crittografati a seguito di un attacco ransomware, procedi come segue:

• Non pagare mai il riscatto.
• Se un computer infetto è collegato a una rete, scollegalo o spegni il punto di accesso (in caso di connessione Wi-Fi).
• Scatta una foto della schermata di blocco visualizzata sul monitor. Potrebbe aiutare a identificare il tipo di ransomware.
• Utilizza qualsiasi supporto di sola lettura con software antimalware, esegui la scansione di tutti i dischi del computer ed elimina il malware.
• Se qualcosa va storto, contattare un tecnico specializzato.

Il malware più dannoso

MyDoom

Gli attacchi informatici non causano solo il danneggiamento dei dati e dei computer, ma anche perdite finanziarie significative. Uno degli attacchi informatici più costosi è stato causato dal malware MyDoom, che ha provocato danni stimati in 38 miliardi di dollari. Tecnicamente, MyDoom, noto anche come Novarg, è un worm che si diffonde attraverso e-mail di phishing.

La gravità dell’attacco è stata determinata dall’enorme volume di e-mail inviate. Nel 2004, MyDoom è stato responsabile dell’invio di un quarto di tutte le e-mail. Dopo aver infettato i computer, MyDoom ha preso tutte le liste di indirizzi e-mail e ha inviato copie di se stesso. I computer infettati hanno quindi formato una botnet per eseguire attacchi DDoS.

MyDoom è ancora in circolazione. También a 16 años de su creación, MyDoom envía aún más de un millón de e-mails con una copia de sí mismo. El creador de este worm no ha sido encontrado, a pesar de que se ofreció una recompensa de 250.000 dólares para identificar al autor o a los autores del ataque.

ILOVEYOU

La creación de este malware representó una svolta, o mejor dicho, un punto de no retorno. ILOVEYOU è stato uno dei primi attacchi informatici condotti tramite e-mail. Questo worm è riuscito a infettare 50 milioni di computer in 10 giorni, causando danni per un totale di 15 miliardi di dollari. Innanzitutto, inviava un’e-mail che sembrava una lettera d’amore. Dopo l’installazione, inviava altre 50 e-mail dannose ai contatti della vittima.

Il worm è stato sviluppato da Onel de Guzman, uno studente universitario delle Filippine. Non avendo fondi sufficienti, ha programmato il worm in modo che accedesse ai servizi online con una quota di iscrizione. Non poteva immaginare quanto sarebbe diventato grande. All’epoca, le Filippine non avevano leggi contro i crimini informatici, quindi Onel de Guzman non è mai stato perseguito. Ora 44enne, l’hacker vive a Manila e si rammarica di aver creato ILOVEYOU.

WannaCry

WannaCry è apparso per la prima volta nel 2017. Questo ransomware ha infettato più di 200.000 computer in circa 150 paesi, causando danni per oltre 4 miliardi di dollari. WannaCry ha causato perdite ingenti non solo alle aziende e ai privati, ma anche alle istituzioni governative e agli ospedali. Gli hacker hanno chiesto un riscatto di 300 dollari in bitcoin. Successivamente il riscatto è stato aumentato a 600 dollari.

Si è scoperto che il malware ha sfruttato una vulnerabilità di Microsoft nel protocollo Server Message Block (SMB). Due mesi prima dell’attacco ransomware, Microsoft aveva rilasciato una patch di sicurezza per proteggere i sistemi degli utenti. Tuttavia, coloro che non avevano aggiornato il proprio sistema operativo sono stati esposti all’attacco di WannaCry.

NotPetya (ExPetr)

L’attacco informatico russo del 2017 noto come NotPetya si distingue come uno degli attacchi ransomware più devastanti mai verificatisi fino ad oggi. Impiega solo 45 secondi per mettere fuori uso l’intera rete bancaria, NotPetya ha colpito oltre 2.000 organizzazioni in tutto il mondo, tra cui giganti del settore come Maersk, Merck, la filiale di FedEx TNT Express e Mondelez. Il costo stimato dei danni ha superato i 10 miliardi di dollari, ma le perdite effettive hanno superato di gran lunga questa cifra. Ad esempio, Maersk ha avuto bisogno di 10 giorni e 600 dipendenti per ricostruire la rete, con un ripristino completo che ha richiesto mesi.

Secondo quanto riferito, NotPetya era un ransomware wiper progettato per causare interruzioni e distruzione piuttosto che per ottenere un guadagno finanziario, con l’obiettivo di colpire il governo ucraino. Il ransomware sfruttava lo strumento di penetrazione statunitense EternalBlue (trapelato in una precedente violazione dei dati), utilizzato anche nell’attacco WannaCry all’inizio dello stesso anno, e Mimikatz, una vulnerabilità di sicurezza nota dal 2011. A differenza delle precedenti versioni di Petya che richiedevano l’interazione dell’utente per infettare il sistema, NotPetya poteva diffondersi attraverso le reti in pochi secondi mascherandosi come un normale Aggiornamento software di contabilità.

Ryuk

Il primo attacco Ryuk alla Tribune Publishing nel 2018 ha causato interruzioni al New York Times e al Wall Street Journal, ritardandone la stampa di diversi giorni. Successivamente, il gruppo di hacker Wizard Spider ha utilizzato Ryuk per colpire grandi organizzazioni governative, sanitarie, educative e manifatturiere in tutto il mondo. Il ransomware Ryuk è stato associato ai riscatti più elevati, fino a 12,5 milioni di dollari, mentre il guadagno complessivo degli hacker ha raggiunto i 150 milioni di dollari nel 2021.

Ryuk penetra tipicamente nel sistema attraverso e-mail di spam che trasportano un’infezione TrickBot. Ryuk è anche uno dei software ransomware as a service (RaaS) più utilizzati sul darknet. Gli sviluppatori lo vendono ad altri hacker, prendendo una percentuale sul pagamento del riscatto.

ShrinkLocker

Panoramica di ShrinkLocker

ShrinkLocker è un nuovo ceppo di ransomware rilevato da Kaspersky nel maggio 2024. Questo ransomware sfrutta la funzione di crittografia di Windows BitLocker per bloccare gli utenti dai loro dispositivi senza alcuna opzione di ripristino.

Come ShrinkLocker sfrutta Windows BitLocker

ShrinkLocker si basa sul linguaggio di programmazione deprecato per Windows: VBSscript. Dopo essere entrato nel sistema, identifica innanzitutto il sistema operativo Windows e si spegne (2000, 2003, XP, Vista) oppure esegue le parti del proprio codice corrispondenti al sistema operativo specifico.

ShrinkLocker sfrutta BitLocker per effettuare la crittografia dei dati e quindi rimuovere le protezioni predefinite come PIN, chiave di avvio, chiave di ripristino, ecc., lasciando le vittime senza alcun mezzo per ripristinare i dati crittografati. I criminali ottengono quindi l’accesso alla chiave di crittografia di BitLocker utilizzando TryCloudflare, lo strumento legittimo di CloudFlare per gli sviluppatori. Dopo un attacco riuscito, ShrinkLocker elimina tutti i suoi file e cancella i log di PowerShell per eludere il rilevamento.

Non è la prima volta che un ransomware utilizza BitLocker per effettuare la crittografia dei dati, tuttavia la nuova variante è andata oltre per massimizzare i danni e renderlo più difficile da rilevare. Microsoft ha annunciato che BitLocker sarà attivato automaticamente in Windows 11 24H2, il che aumenta il potenziale numero di vittime.

Esempi di attacchi ShrinkLocker

Finora, questo ransomware ha attaccato produttori di acciaio e vaccini in Messico, Giordania e Indonesia. Gli aggressori non lasciano un file di richiesta di riscatto e rendono intenzionalmente difficili da individuare i loro indirizzi e-mail di contatto, il che suggerisce che il loro obiettivo sia causare interruzioni piuttosto che ottenere il riscatto stesso.

Conclusione:

La sicurezza informatica è una delle sfide più critiche al giorno d’oggi. I virus e il ransomware, insieme ad altri tipi di malware, rappresentano una grave minaccia per l’integrità e la sicurezza dei dati. La soluzione migliore per evitare gli attacchi è seguire le regole generali della sicurezza informatica. Per evitare un lungo processo di ripristino e ricostruzione del sistema da zero, eseguite il backup dei vostri dati.

Le funzionalità avanzate della soluzione NAKIVO consentono di adottare un approccio completo al backup, al ripristino e alla sicurezza dei dati. Trovate la soluzione più adatta alle vostre esigenze con NAKIVO Backup & Replication.

Try NAKIVO Backup & Replication

Get a free trial to explore all the solution’s data protection capabilities. 15 days for free. Zero feature or capacity limitations. No credit card required.

Try for Free