Che cos’è il ransomware 0xxx? Rilevamento, protezione e ripristino
0xxx è un tipo di ransomware apparso per la prima volta all’inizio del 2021 e che da allora sta causando ingenti danni alle organizzazioni di tutto il mondo. In sostanza, 0xxx è un’infezione da ransomware che crittografa i file presenti sul PC di un utente aggiungendo .0XXX alle estensioni dei file più comuni, come ad esempio .txt, .docx, .xlsx. Una volta infettati, i file rinominati non sono più accessibili agli utenti. Per riottenere l’accesso ai dati bloccati, alla vittima viene chiesto di pagare un riscatto in bitcoin. A quel punto, i cybercriminali responsabili dell’infezione 0xxx affermano che, in cambio, forniranno uno strumento di decrittografia.
Dopo una breve introduzione sul ransomware e sulle sue due tipologie principali, questo articolo del blog tratta del ransomware 0xxx , dei metodi di protezione dei dati e di come ripristinare i dati nel caso in cui il sistema venga infettato.
Che cos’è il ransomware?
Il ransomware è un tipo di malware che solitamente si installa su un dispositivo all’insaputa o senza il consenso dell’utente. Nella maggior parte dei casi, una volta che il dispositivo è stato infettato, il ransomware crittografa alcuni o tutti i file e i criminali informatici richiedono un pagamento in cambio di uno strumento di decrittografia (che potrebbe essere fornito o meno anche dopo il pagamento del riscatto). Il ransomware viene installato più spesso cliccando su link contenuti in e-mail di phishing o aprendo allegati dannosi provenienti da mittenti sconosciuti.
Non solo il ransomware blocca l’accesso ai file, ma può anche diffondersi da un dispositivo all’altro all’interno di una rete, copiandosi nei dispositivi di storage di rete o negli account di storage sul cloud. Questo aspetto da solo classifica il ransomware come una delle forme più pericolose di malware e di minacce informatiche in generale.
L’obiettivo del ransomware è rendere il più difficile possibile per le vittime il recupero dei propri dati. Alcune varianti di ransomware compromettono l’integrità dei dati dopo la crittografia o consentono addirittura agli hacker di apportare modifiche o eliminare file. Ciò rende eccezionalmente più difficile per le vittime recuperare i dati e può comportare la perdita definitiva degli stessi in assenza di backup da utilizzare per il ripristino a un punto nel tempo.
Tipi di ransomware
Il ransomware può essere classificato in due tipi principali: senza crittografia e con crittografia.
Il ransomware senza crittografia non crittografa i file. Piuttosto, tiene in ostaggio il sistema. Questo tipo di ransomware visualizza un messaggio all’avvio del sistema operativo o all’apertura di un browser, in cui si afferma che il dispositivo in uso è stato sequestrato dal governo (o da un’agenzia governativa) a causa di attività illegali. Viene richiesto un riscatto in cambio della revoca delle presunte accuse a tuo carico e dello sblocco del dispositivo. In genere, il ransomware non crittografante non compromette l’integrità dei dati e può essere rimosso dal dispositivo.
D’altra parte, il ransomware crittografante si infiltra nel dispositivo, solitamente tramite un allegato e-mail dannoso o un link di phishing, e blocca l’accesso ai file e ai programmi presenti su quel dispositivo fino al pagamento del riscatto richiesto. Ma anche dopo aver pagato il riscatto, non è garantito che si riceva uno strumento di decrittografia per riottenere l’accesso ai propri file. In alcuni casi, gli autori degli attacchi potrebbero anche minacciare di rendere pubblici alcuni dati sensibili.
Il ransomware con crittografia è il tipo più dannoso di ransomware e probabilmente una delle minacce informatiche più perniciose apparse negli ultimi anni. Le aziende che pagano ingenti somme di denaro per riavere i propri dati incoraggiano i criminali informatici ad ampliare le loro attività e a prendere di mira un numero maggiore di vittime.
Che cos’è 0xxx?
0xxx è un tipo di ransomware a crittografia che utilizza gli algoritmi AES e RSA per crittografare i file. AES e RSA sono potenti standard di sicurezza per la crittografia utilizzati da governi e organizzazioni che gestiscono dati sensibili. Nel corso degli anni, gli standard AES e RSA sono diventati progressivamente un punto di riferimento nel mondo del ransomware, poiché entrambi gli algoritmi sono considerati la forza trainante dietro alcune delle varianti più famigerate, come Cryptolocker e Teslacrypt.
Proprio come altri ransomware della stessa categoria, quali Redeemer, Ouelezin Zebi e Iqll, 0xxx impedisce l’accesso ai file crittografandoli, ne rinomina le estensioni e crea un file di testo in ogni singola cartella dell’unità infetta contenente un messaggio in cui si richiede un riscatto.
Il file generato “!0XXX_DECRYPTION_README.TXT” include una serie di istruzioni che le vittime devono seguire per decriptare i propri dati. Ma prima, alle vittime viene comunicato che tutti i loro file sono stati crittografati dal virus 0xxx e che è possibile acquistare uno strumento di decrittografia in bitcoin.
Alle vittime viene quindi chiesto di inviare via e-mail l’ID univoco (un codice esadecimale di 32 cifre in maiuscolo) loro assegnato insieme a tre file crittografati all’indirizzo e-mail fornito. A titolo di prova di funzionamento, alle vittime viene inviata via e-mail una risposta contenente i tre file precedentemente inviati, completamente decriptati e privi di virus. Nella stessa e-mail, le vittime riceveranno l’indirizzo del portafoglio bitcoin sul quale deve essere trasferito il riscatto specificato. Infine, i cybercriminali responsabili del virus 0xxx si impegnano a inviare lo strumento di decrittografia una volta effettuato il pagamento.
Ecco uno screenshot di un file di testo del ransomware 0xxx che spiega alla vittima come pagare il riscatto:
In che modo 0xxx infetta i computer?
Sebbene il ransomware si avvalga di una moltitudine di vettori di infezione per propagarsi, i due metodi più comuni utilizzati oggi dai criminali informatici per diffondere 0xxx sono le e-mail di phishing e i malware di tipo trojan.
Il phishing, il vettore più diffuso in assoluto, è diventato più sofisticato e pericoloso che mai. Un’e-mail di phishing è un messaggio fraudolento che induce il destinatario a cliccare su un link o a scaricare contenuti dannosi che possono portare a un attacco ransomware. Le e-mail di phishing sono progettate per sembrare inviate da un’origine attendibile, ad esempio una banca o una società di carte di credito. Tali e-mail possono includere file che fungono da vettori di ransomware. Una volta scaricati e installati, i file dannosi possono infettare immediatamente il sistema con il ransomware 0xxx .
Un trojan è un tipo di malware che, a prima vista, sembra un software legittimo, ma è programmato per causare danni ai dati presenti su un sistema o su una rete. I trojan vengono spesso scaricati accidentalmente da siti web sospetti che dichiarano di ospitare strumenti di attivazione illegali (noti anche come “crack”) e falsi aggiornamenti per applicazioni come Google Chrome o Microsoft Office. Una volta installato, il malware trojan può aprire una backdoor a un malintenzionato, che può quindi visualizzare e manipolare i dati presenti sul sistema ospitante. Se l’autore del reato riesce a ottenere l’accesso completo al sistema, l’iniezione di un ransomware, come 0xxx, può essere facilmente realizzata.
Come individuare il ransomware 0xxx ?
Esistono alcuni indicatori che possono aiutarti a individuare il ransomware 0xxx sul tuo dispositivo:
- Modifiche sospette alle estensioni dei nomi dei file : La prima azione del ransomware
0xxxè quella di aggiungere.0XXXa tutte le estensioni dei file. Questo particolare ransomware mantiene intatti i nomi originali dei file. Ad esempio,document.pdfdiventadocument.pdf.0XXX. Non si tratta di una semplice rinominazione dell’estensione del nome file, ma piuttosto di un’indicazione che il file è stato crittografato. - Elevata attività della CPU : Il
0xxxransomware consuma molte risorse e, di conseguenza, l’esecuzione e il caricamento dei programmi possono risultare notevolmente più lenti. La crittografia e la rinominazione di migliaia di file è un’operazione che richiede un uso intensivo della CPU e può rallentare il sistema al punto da renderlo non reattivo. - Impossibilità di accedere ai file : L’obiettivo principale del ransomware 0xxx è quello di impedirti l’accesso ai file. Una volta crittografati, i file e i documenti non possono essere aperti e richiedono uno strumento di decrittografia per essere ripristinati al loro stato originale. Lo strumento di decrittografia può essere fornito solo dopo il pagamento del riscatto specificato.
- Comunicazioni di rete anomale : Se il tuo sistema è infettato dal ransomware
0xxx, potresti riscontrare un rallentamento della connessione a Internet. I criminali informatici responsabili degli attacchi ransomware possono creare un sistema di comunicazione tra i propri server e i computer infetti per manipolare i file. Ciò può causare problemi di connessione costanti.
Come proteggere i sistemi dal ransomware?
Le organizzazioni di tutte le dimensioni non devono sottovalutare la minaccia rappresentata dal ransomware. Non importa quanto sia solido il vostro sistema di sicurezza, il ransomware può comunque infiltrarsi nel vostro computer o in quello di un dipendente. Nessuna organizzazione è completamente immune alla minaccia del ransomware. Pertanto, per proteggere i dati della vostra organizzazione da qualsiasi forma di ransomware, è necessario adottare un approccio a più livelli.
Sensibilizzare i colleghi
Creare un programma efficace di formazione dei dipendenti sul ransomware per spiegare ai colleghi cos’è il ransomware e come funziona. È inoltre opportuno illustrare come evitare di essere infettati dal malware e come reagire a un attacco ransomware qualora dovesse verificarsi.
Inviare regolarmente e-mail ai dipendenti con notizie sul ransomware e sui pericoli associati alle minacce informatiche è una buona pratica, soprattutto se il flusso di lavoro della vostra organizzazione si basa su strumenti di produttività e collaborazione basati sul cloud come Microsoft Office 365.
Condurre sessioni regolari di formazione sulla consapevolezza del ransomware può aiutare notevolmente i dipendenti a distinguere tra contenuti fraudolenti e legittimi presenti nelle e-mail, negli allegati e nei siti web. Di conseguenza, la probabilità di compiere azioni errate, come l’apertura di link di phishing e la scarica di software dannoso, può diminuire in modo significativo.
Configurare i filtri e-mail
La maggior parte dei principali servizi di posta elettronica include filtri in grado di proteggere voi o i vostri colleghi dalle minacce informatiche, compreso il ransomware. Alcuni servizi offrono misure di sicurezza avanzate, come il rilevamento automatico e il rifiuto di e-mail sospette provenienti da origini non attendibili o sconosciute. In precedenza ho trattato l’argomento Come configurare i criteri anti-phishing e anti-impersonificazione di Microsoft Defender per Office 365 ed elencato tutti i passaggi obbligatori per massimizzare la sicurezza delle e-mail.
Esegui scansioni e effettua il monitoraggio del tuo sistema
L’esecuzione di scansioni complete e programmate del sistema tramite un programma antivirus o anti-malware aggiornato può aiutare a rilevare attività sospette, come la ridenominazione di massa delle estensioni dei file o un utilizzo insolito del disco. Un antivirus con le definizioni più recenti può neutralizzare una minaccia di ransomware mettendo in quarantena il software malware scaricato, limitando così la diffusione dell’infezione nel sistema e nelle reti. Inoltre, assicurati di installare le patch di sicurezza più recenti per il tuo sistema operativo non appena sono disponibili.
Backup dei dati
Eseguire regolarmente i backup seguendo la regola del 3-2-1 garantisce che i tuoi dati possano sopravvivere a un attacco ransomware con danni minimi. La regola 3-2-1 è un metodo efficace e comunemente utilizzato per il backup dei dati. La regola prevede di conservare almeno 3 copie dei dati e di archiviarle su 2 tipi diversi di supporto, mantenendo 1 delle copie offsite.
Inoltre, potresti voler adottare nuove tecnologie di backup, come i backup immutabili, per proteggere le tue risorse di dati dal ransomware. Con i backup immutabili, che si basano sul modello WORM (Write Once Read Many) , i dati vengono salvati su un volume di archiviazione su cui è possibile scrivere una sola volta. È possibile accedere più volte ai dati presenti su quel volume, ma non è possibile sovrascriverli, modificarli o eliminarli per un determinato periodo di tempo.
Come ripristinare i file dopo un attacco ransomware 0xxx ?
Se il tuo computer è stato infettato dal ransomware 0xxx, non potrai recuperare alcun dato a meno che non paghi il riscatto, o almeno questo è ciò che i criminali informatici vogliono farti credere. Sebbene i software antivirus o anti-malware possano rimuovere il malware e limitarne la diffusione, non offrono la possibilità di ripristinare i file già infetti. L’unica soluzione è recuperare i file da un backup, se ne è stato creato uno prima dell’infezione e archiviato in una ubicazione diversa.
Se state cercando una soluzione completa per la protezione dei dati, prendete in considerazione l’implementazione di NAKIVO Backup & Replication. NAKIVO Backup & Replication è in grado di garantire una protezione di alto livello per tutti gli ambienti, inclusi quelli virtuali, fisici, cloud e SaaS. Utilizzate la soluzione per proteggere VMware vSphere, Microsoft Hyper-V, Nutanix AHV, Amazon EC2, macchine Windows/Linux e i dati di Microsoft 365.
NAKIVO Backup & Replication offre ai vostri dati di backup un ulteriore livello di protezione dai ransomware. La soluzione vi consente di rendere immutabili i vostri dati di backup per tutto il tempo necessario, sia nell’archivio locale del sistema operativo Linux che nei bucket Amazon S3. In questo modo, le vostre copie di backup non potranno essere modificate, sovrascritte o eliminate fino alla scadenza di tale periodo. Con i backup bloccati, i dati di backup sono protetti dalla crittografia da parte del ransomware e potrete ripristinarli rapidamente se un attacco malevolo come 0XXX colpisse i vostri sistemi.
