La telefonata era solo la porta: dove finisce davvero un ransomware

Ieri vi ho raccontato la truffa del telefono: la finta fattura, il numero da chiamare, la persona gentile che ti fa installare un programma per "sistemare il rimborso". E lì mi sono fermato. Ma la domanda vera è quella dopo: e se uno ci casca davvero, se quel programma lo installa, cosa succede?

Ve lo racconto, perché queste cose le vediamo sul campo. Nessun nome, nessun caso: solo il meccanismo, che è sempre lo stesso.

Non è un virus che parte da solo

La prima cosa da capire è la più controintuitiva. Il ransomware di oggi, quello che ti cifra i file e ti chiede il riscatto, spesso non è un programma automatico che si diffonde per conto suo. Dall'altra parte c'è una persona. Un operatore in carne e ossa che, dal momento in cui entra, si guarda intorno con calma.

E non colpisce subito. Prepara il terreno per giorni: crea le sue vie di accesso, studia la macchina, aspetta il momento buono. Quando finalmente lancia la cifratura, è una scelta, non un incidente. Capita di collegarsi a un server mentre la cifratura è ancora in corso e trovare l'attaccante ancora lì, connesso, che sta lavorando. Non è un film, è la normalità di questi attacchi.

Come entra: quasi sempre roba banale

Niente exploit fantascientifici. Le porte sono due, e sono le stesse di sempre.

La prima è quella di ieri: un programma di accesso remoto che qualcuno, in buona fede, ha installato dopo una telefonata o una mail. AnyDesk, TeamViewer e simili sono strumenti legittimi, usati ogni giorno da tecnici veri. Proprio per questo sono perfetti per l'attaccante: il loro uso normale e quello malevolo sono identici, non c'è un antivirus che li distingua. Una volta dentro, l'operatore configura l'accesso automatico con una sua password, e da quel momento ha una porta sul retro che resta aperta anche dopo i riavvii.

La seconda è il Desktop remoto di Windows lasciato aperto su internet con una password debole. Lì non serve nemmeno ingannare qualcuno: basta provare le password finché una funziona.

Prima di cifrare, smonta la casa

Ecco il punto che quasi nessuno immagina. Quando l'attaccante è pronto, la prima cosa che fa non è cifrare. È togliere di mezzo tutto quello che potrebbe salvarti.

Disattiva o disinstalla l'antivirus. Si crea un utente amministratore tutto suo, con un nome che sembra normale, così può rientrare quando vuole. E soprattutto distrugge le copie di sicurezza automatiche di Windows, quelle che ti permetterebbero di tornare indietro nel tempo. Con due comandi le cancella tutte. Solo a quel punto, con le difese a terra e nessuna via di fuga, lancia la cifratura. Spesso lascia più di un modo per farsi ripartire da solo, così se ne spegni uno il malware torna vivo da un altro.

La lezione che conta più di tutte

Puoi avere l'antivirus, le password, i firewall. Servono, ma sono argini. Quando il ransomware scatta, l'unica cosa che davvero ti riporta in piedi è il backup. Con una condizione precisa: deve essere un backup che l'attaccante non può toccare.

Se la copia è sullo stesso sistema, o su un disco sempre collegato, o la può cancellare chi ha i diritti di amministratore, allora non è una rete di salvataggio: è un'illusione. Il backup buono è staccato dal sistema (offline) oppure immutabile, cioè scrivibile una volta e non più cancellabile, nemmeno da un amministratore. E va provato: un backup che non hai mai ripristinato non sai se funziona. I punti di ripristino di Windows, da soli, non contano: sono la prima cosa che l'attaccante distrugge.

Poi l'igiene minima, quella che evita di arrivarci: niente Desktop remoto aperto su internet (si usa una VPN), doppia autenticazione sugli accessi da fuori, password diverse su ogni macchina, e non tutti amministratori. E la regola di ieri, che vale ancora: chi ti chiede al telefono di installare un programma per controllarti il computer, non è un tecnico. È la porta.