Microsoft: Ransomware fermato in 128 secondi grazie all'isolamento

Il ransomware diventa sempre più veloce, e la risposta anche. Microsoft ha spiegato come la sua tecnologia di isolamento automatico dei dispositivi possa fermare un attacco ransomware in tempi rapidi, tagliando fuori un computer compromesso dal resto della rete in soli 128 secondi. La dichiarazione arriva mentre diversi rapporti confermano che la minaccia ransomware continua a crescere, ricordandoci che oggi la velocità di rilevamento conta tanto quanto la robustezza di ogni singola difesa.

Per i team di sicurezza aziendali, 128 secondi rappresentano un traguardo da celebrare. Per gli utenti comuni che non dispongono di un centro operativo di sicurezza che monitora il traffico 24 ore su 24, emerge una domanda più complessa: cosa succede quando non c'è un sistema automatico tra te e un aggressore?

Cosa fa concretamente l'isolamento in 128 secondi di Microsoft

L'approccio di Microsoft si basa sull'identificare automaticamente un dispositivo che si comporta come se fosse stato compromesso, ad esempio con attività insolite di cifratura dei file, e bloccarne l'accesso alla rete prima che il malware possa diffondersi ad altri computer. Il valore di 128 secondi rappresenta la finestra tra il rilevamento e l'isolamento completo, un intervallo durante il quale il dispositivo infetto viene sostanzialmente messo in quarantena mentre gli investigatori cercano di capire cos'è successo.

Questo tipo di risposta automatizzata è possibile solo perché le grandi organizzazioni dispongono dell'infrastruttura per monitorare gli endpoint in modo continuo e agire sui segnali di minaccia in tempo reale. Si tratta di un progresso significativo per le reti aziendali, dove un singolo portatile infetto può altrimenti diventare il punto d'ingresso per una cifratura estesa a tutta l'azienda. Ma sottolinea anche quanto le difese moderne contro il ransomware dipendano da strumenti a cui la maggior parte delle persone semplicemente non ha accesso.

Perché il ransomware si muove più velocemente della reazione degli utenti domestici

Il ransomware moderno non se ne sta in silenzio su un sistema in attesa di essere scoperto. Una volta attivato, la cifratura può diffondersi tra file e unità collegate nel giro di pochi minuti, a volte più velocemente di quanto una persona possa accorgersi che qualcosa non va, figuriamoci staccare il router o spegnere un dispositivo. È proprio per questo che le difese aziendali sono costruite sull'automazione piuttosto che sui tempi di reazione umani.

Gli utenti domestici e le piccole imprese in genere non dispongono di un sistema di allerta precoce equivalente. Non c'è un team di sicurezza che controlla attività anomale sui file alle due di notte, né un interruttore automatico che isoli un dispositivo nel momento in cui qualcosa appare sospetto. Quando compare la richiesta di riscatto sullo schermo, di solito la cifratura è già stata completata. Questa distanza tra la risposta automatizzata di livello enterprise e il tempo di reazione a livello consumer è la sfida principale per chiunque non abbia un supporto IT dedicato.

Cosa significa per te: passi concreti senza strumenti aziendali

Non serve un budget per la sicurezza aziendale per costruire difese efficaci contro il ransomware. L'obiettivo è ridurre sia le probabilità di infezione sia i danni nel caso dovesse comunque accadere.

Inizia con i backup. Backup regolari, offline o su cloud che non siano costantemente collegati al tuo dispositivo principale, fanno sì che anche un attacco ransomware riuscito non ti costi la perdita dei file. Mantieni aggiornati i sistemi operativi e i software, poiché molte infezioni ransomware sfruttano vulnerabilità note che le patch hanno già risolto. Sii cauto con gli allegati e i link via email, e tratta con sospetto le richieste non sollecitate di accesso remoto o installazione di software, in particolare se dichiarano di provenire dal supporto IT.

Un buon antivirus o uno strumento di protezione degli endpoint con monitoraggio in tempo reale può rilevare comportamenti sospetti anche senza i sistemi di isolamento di classe enterprise. La segmentazione della rete domestica, ad esempio tenendo i dispositivi smart su una rete separata dai computer che contengono file sensibili, può limitare la diffusione di un'infezione se un dispositivo viene compromesso. Nessuno di questi passaggi ricrea una risposta automatica di 128 secondi, ma insieme riducono notevolmente la superficie d'attacco.

Come le gang ransomware riescono a entrare prima che l'isolamento abbia importanza

Nessun sistema di isolamento, automatico o meno, serve se gli attaccanti non attivano mai un evento rilevabile in primo luogo. Sempre più spesso i gruppi ransomware puntano a entrare silenziosamente e a disabilitare le difese prima che qualcuno se ne accorga. Una campagna recente ha mostrato aggressori spacciarsi per un falso supporto IT su Microsoft Teams per alimentare un'ondata di ransomware, inducendo i dipendenti a concedere direttamente l'accesso. Altri gruppi si sono spinti oltre, usando tecniche come quella vista nel ransomware GodDamn, che ha abusato di un driver firmato per eliminare completamente gli antivirus, rimuovendo proprio le protezioni che normalmente attiverebbero una risposta di isolamento automatico.

Queste tattiche contano perché prendono di mira i presupposti alla base dei moderni sistemi di difesa. Se un attaccante può disabilitare il software di sicurezza o convincere un utente a concedere volontariamente l'accesso, i sistemi di rilevamento che rendono possibile un isolamento rapido non hanno mai l'opportunità di attivarsi.

In conclusione

La capacità di isolamento in 128 secondi di Microsoft è un esempio lampante di come una risposta automatica e rapida possa fermare un attacco ransomware una volta rilevato. Ma il rilevamento è solo metà dell'equazione. Poiché le gang di ransomware diventano sempre più abili nell'ingegneria sociale e nel disabilitare gli strumenti di sicurezza prima ancora che inizi la cifratura, la prevenzione e una difesa a più livelli restano cruciali per gli utenti comuni tanto quanto la velocità di risposta per le grandi organizzazioni.

Se vuoi capire come gli attaccanti riescano effettivamente a prendere piede prima che qualsiasi sistema di isolamento entri in funzione, vale la pena leggere come alcuni gruppi abbiano usato finte richieste di supporto e tecniche per eliminare gli antivirus al fine di aggirare completamente le difese. Rimanere informati su queste tattiche di accesso è uno dei passi più concreti che ogni lettore possa compiere per evitare il ransomware in primo luogo.