Protezione Cryptlocker

L’unica vera Protezione Cryptlocker ? Il backup ! (ovvero uno script schedulato di backup per la protezione da cryptolocker….) Da 2 settimane, con progressione sempre piu’ marcata, vedo arrivare infezioni di cryptolocker (lo stesso che era successo sui pc di alcuni nostri clienti tempo fa) Purtroppo non c’e’ modo di prevenire cryptolocker : gli antivirus adibiti alla protezione, anche i piu’ intelligenti, spesso non lo rilevano, possiamo solo avere dei buoni backup da cui recuperare dati. 8 giorni fa in una fabbrica mio cliente (200 stazioni, di cui meta’ con dati da recuperare) 3 giorni fa in una fabbrica mio cliente (4 pc infetti in 4 minuti di orologio) Ieri in un’altra fabbrica (10 pc infetti) e cosi’ via…. Arriva una mail (es. dell’ENEL, o di SDA, ma puo’ essere qualsiasi cosa realistica) con un link da cliccare, che porta dentro al vostro pc un’infezione di virus cryptolocker che cripta i vostri file. Il risultato e’ che dovete formattare il pc, e se va sul server, si mangia tutti i vostri dati in brevissimo tempo. Gli antivirus sono praticamente tutti inutili, nessuna protezione da cryptolocker. Solitamente CryptoLocker si nasconde sotto allegati email provenienti da falsi mittenti/aziende noti per il loro nome/marchio che invitano l’utente ad aprire l’allegato del messaggio di posta, come un documento PDF. MA l’allegato non è un PDF, nonostante abbia anche l’icona del PDF, se si osserva bene l’estensione del file essa sarà di tipo NomeDocumento.pdf.exe dove è “.exe” il vero formato dell’allegato… o talvolta “.scr”, uno screensaver. Si tratta di un file eseguibile che una volta aperto darà inizio all’infezione. Purtroppo Windows di default nasconde le estensioni dei file !! conviene sempre lasciarle attive !! Dopo averlo eseguito andrà ad aggiungersi all’avvio automatico del sistema, si connetterà a un server internet per scaricare la chiave di crittografia, scansionerà le unità locali e di rete sul computer al fine di individuare i file dell’utente (documenti, foto, video) per poi crittografarli rendendoli inaccessibili e chiedendo il riscatto alla vittima per poter sbloccare nuovamente i file. Nessuno a quanto pare anche pagando ha ottenuto indietro i suoi dati… L’unica protezione crytplocker e’ di non cliccare senza attenzione : quando andate nella posta sopra al link con il mouse, noterete in basso a sinistra che scrive il riferimento al link. Dovete leggerlo, prima di cliccare, e domandarvi se vi manda su un sito con nome sensato. Attenzione che talvolta mettono link a siti con nomi quasi sensati…. Visto quanto successo, sto riattivando i backup e ricontrollando tutto quanto dai vari clienti , in modo che qualsiasi cosa succeda ci sia almeno una copia recente dei documenti. Non esiste oggi nessun vera protezione cryptolocker, possiamo solo basarci su backup da cui recuperare dati Stiamo scrivendo una serie di script che dovrebbero permettere di collegare in modo automatizzato dischi esterni (di rete o usb) solo per il tempo necessario al backup, per poi scollegarli a fine backup. Questo un primo esempio: https://www.eulogika.net/script-backup-robocopy/

Presto ne forniremo di nuovi e piu’ evoluti. In questo modo se gli utenti mettono i loro dati importanti in cartelle specifiche (es. c:\documenti, caselle di posta in posizioni conosciute, etc.) il sistema dovrebbe garantire un minimo di disaster recovery. Alla fine, impostero’ il salvataggio dati completo dei computer dei clienti una volta alla settimana, non meno, in modo da avere il tempo di recuperare dati, e non rischiare che anche i file copiati siano infetti a loro volta.