Un ceppo ransomware noto come CRPx0 sta attirando l'attenzione degli specialisti di recupero dati, aggiungendosi a una crescente lista di famiglie malware che si affidano a una tattica particolarmente aggressiva: la doppia estorsione. Invece di limitarsi a bloccare le vittime fuori dai propri file, gli aggressori dietro CRPx0 e ceppi simili copiano i dati sensibili prima di cifrarli, per poi minacciare di diffonderli pubblicamente se non viene pagato un riscatto. È una strategia diventata sempre più comune nel panorama ransomware, e capire come funziona è il primo passo per proteggere se stessi o la propria organizzazione.

Cosa rende la doppia estorsione così efficace

Gli attacchi ransomware tradizionali seguivano una formula semplice: cifrare i file della vittima, poi chiedere un pagamento per la chiave di decifratura. Se la vittima disponeva di backup affidabili, spesso poteva ripristinare i sistemi senza pagare un centesimo. La doppia estorsione chiude quella scappatoia.

Esfiltrando copie dei file prima ancora di avviare la cifratura, gli aggressori creano una leva che i backup non possono neutralizzare. Anche se un'azienda ripristina i propri sistemi da un backup pulito, i criminali detengono comunque i dati rubati e possono minacciare di pubblicarli, venderli o consegnarli a concorrenti e autorità di regolamentazione. Questo cambiamento ha reso il ransomware più redditizio e più difficile da contrastare completamente solo con i backup.

La meccanica di questi attacchi spesso si basa sullo sfruttamento di punti deboli nel modo in cui le organizzazioni gestiscono la fiducia digitale e la cifratura. Concetti come la Public Key Infrastructure (PKI) sono alla base di gran parte della cifratura legittima usata per proteggere le reti, e gli operatori ransomware abusano frequentemente di principi crittografici simili al contrario, utilizzando algoritmi di cifratura robusti per bloccare le vittime fuori dai propri dati. Comprendere il ransomware come una categoria di minaccia, piuttosto che come un singolo malware, aiuta a spiegare perché nuove varianti come CRPx0 continuano a emergere: il modello di business sottostante continua a funzionare.

Gli attacchi ransomware sono in aumento, e non rallentano

Secondo i monitoraggi del settore, gli attacchi ransomware sono cresciuti di circa il 5% nell'ultimo anno. Questa crescita riflette una tendenza più ampia: man mano che sempre più aziende digitalizzano le proprie operazioni e archiviano informazioni sensibili online, il bacino di potenziali bersagli continua ad ampliarsi. Anche le richieste di riscatto sono diventate più calcolate, con gli aggressori che spesso studiano la situazione finanziaria della vittima prima di fissare un prezzo, sebbene le cifre specifiche varino ampiamente in base al bersaglio e al settore.

Questo aumento costante sottolinea perché consigli generici come "basta tenere i backup" non siano più sufficienti da soli. Gli aggressori hanno adattato i propri metodi proprio per contrastare quella difesa, il che significa che individui e organizzazioni hanno bisogno di un approccio stratificato che includa cifratura, controlli di accesso e vigilanza contro i tentativi di phishing e di ingegneria sociale, tattiche che gli aggressori usano frequentemente per ottenere un accesso iniziale alla rete.

Il ruolo della cifratura robusta nella prevenzione

Ironicamente, la stessa forza crittografica che il ransomware usa contro le vittime è anche uno dei migliori strumenti di prevenzione. Cifrare i file sensibili a riposo e in transito, utilizzare certificati SSL verificati per il traffico web e adottare standard lungimiranti come la crittografia post-quantistica per la protezione a lungo termine dei dati riduce il valore dei dati rubati agli occhi degli aggressori. Se i file esfiltrati sono già cifrati con chiavi robuste e correttamente gestite, la minaccia di una fuga pubblica perde gran parte della sua efficacia.

L'ingegneria sociale rimane una via d'ingresso comune per questi attacchi, non diversamente dalle tattiche osservate in altri schemi di furto di credenziali, come gli attacchi di phishing alle chiavi di backup di Signal che ingannano gli utenti portandoli a fornire credenziali di recupero. Gli operatori ransomware spesso usano una pressione psicologica simile, fingendosi contatti fidati o sfruttando l'urgenza per ottenere un primo punto d'appoggio prima di distribuire il loro carico dannoso di cifratura.

Cosa significa per te

Che tu sia un utente individuale o gestisca l'IT per una piccola impresa, il caso CRPx0 ricorda che la difesa contro il ransomware deve andare oltre i backup. Se i tuoi file vengono esfiltrati in un attacco, la domanda non è solo "posso ripristinare i miei dati", ma "cosa succede se questi dati diventano pubblici". Questo cambio di prospettiva dovrebbe influenzare il modo in cui tratterai documenti sensibili, registrazioni finanziarie e comunicazioni personali d'ora in avanti.

In pratica, ciò significa ridurre al minimo la quantità di dati sensibili archiviati in posizioni facilmente accessibili, cifrare tutto ciò che è veramente sensibile prima che sia mai a rischio ed essere scettici verso i messaggi non richiesti che chiedono di cliccare su link o inserire credenziali, poiché il phishing rimane il modo più comune per far entrare il ransomware.

Suggerimenti pratici

  • Mantieni backup offline e cifrati, che il ransomware non possa raggiungere né cifrare insieme ai tuoi sistemi attivi.
  • Cifra i file sensibili prima di archiviarli, in modo che le copie rubate abbiano poco valore estorsivo.
  • Allena te stesso e il tuo team a riconoscere i tentativi di phishing, il punto d'ingresso più comune per il ransomware.
  • Mantieni software e sistemi aggiornati per chiudere le vulnerabilità che gli aggressori sfruttano.
  • Evita di pagare il riscatto quando possibile; non c'è garanzia che i dati rubati vengano eliminati anche dopo il pagamento.

Il ransomware come CRPx0 prospera sull'impreparazione. Adottare queste misure ora, prima che avvenga un attacco, è molto più efficace che affannarsi a cercare uno strumento di decifratura a cose fatte.