Per anni, l'immagine tipica del ransomware è stata quella di file cifrati e una nota di riscatto sullo schermo. Una nuova tattica descritta da PortalGeek cambia questo copione: il ransomware senza cifratura living off the land blocca reti aziendali senza cifrare un solo file, appoggiandosi agli strumenti propri dell'organizzazione. Il risultato resta lo stesso, un'azienda ferma, ma il percorso per arrivarci è più difficile da rilevare.

Questo articolo spiega come funziona, perché è così sfuggente e cosa dovrebbero verificare sia le aziende sia le persone che lavorano da casa.

Come funziona il ransomware senza cifratura

Secondo le informazioni pubblicate, questa tattica paralizza l'operatività di una rete aziendale senza ricorrere alla cifratura dei file, che è ciò che spesso monitorano molte difese. Invece di distribuire un programma malevolo molto visibile, l'attaccante sfrutta utilità già presenti nell'ambiente: strumenti di amministrazione come PowerShell e software di accesso remoto.

Questo approccio è noto come "living off the land" (vivere del terreno): l'intruso usa ciò che è già installato. Senza cifrare dati, può interrompere servizi, bloccare accessi o rendere inutilizzabili sistemi, e l'impatto sulla continuità del business è ugualmente serio. Per un'azienda, non poter operare è il problema centrale, abbia o meno i suoi file cifrati.

Perché usare strumenti legittimi rende più difficile il rilevamento

La chiave sta nel fatto che nulla di ciò che esegue l'attaccante sembra, a prima vista, strano. PowerShell viene utilizzato quotidianamente dagli amministratori di sistema, e il software di accesso remoto è un elemento abituale del supporto tecnico. Se un attaccante con credenziali valide lancia quegli stessi strumenti, la sua attività può essere confusa con il lavoro di routine.

Questo ha diverse conseguenze pratiche:

  • Meno segnali classici. Un antivirus che cerca file malevoli noti ha poco da bloccare quando si usano programmi legittimi.
  • L'attenzione si sposta sulle credenziali. Se l'accesso è valido, la domanda non è più "che software è questo?", ma "chi lo sta usando e da dove?".
  • Più importanza del comportamento. Rilevare un uso insolito di uno strumento (a un'ora strana, da un dispositivo inaspettato) diventa più utile che rilevare un file specifico.

Non è una minaccia che si risolve con un singolo prodotto. Richiede livelli: controllo degli accessi, visibilità e capacità di recupero.

Cosa significa per il telelavoro e le reti domestiche

Una rete aziendale non finisce in ufficio. Ogni portatile che si connette da casa, ogni strumento di accesso remoto e ogni password riutilizzata amplia la superficie attraverso cui può entrare un attaccante. Se il metodo dipende dall'utilizzo di accessi legittimi, le credenziali di chi lavora da remoto diventano una porta particolarmente preziosa.

In pratica, la sicurezza della rete domestica influisce su quella dell'azienda:

  • Un router con la password di fabbrica o con firmware non aggiornato è un punto debole.
  • Una password ripetuta tra servizi personali e aziendali facilita il fatto che una violazione esterna finisca per influire sul lavoro.
  • Un programma di accesso remoto installato e dimenticato, o senza autenticazione rafforzata, offre una via diretta verso il dispositivo.

Anche il contesto generale conta. Come abbiamo raccolto nella nostra analisi su l'aumento delle vittime di ransomware in Spagna e il furto di dati con l'IA, la minaccia continua a crescere e colpisce sia le organizzazioni sia le persone che vi sono collegate.

Misure pratiche: MFA, privilegi minimi, monitoraggio e backup

Nessuna di queste misure è nuova, ma insieme riducono molto il margine di manovra di chi tenta di abusare di strumenti legittimi.

  1. Autenticazione a più fattori (MFA). Attivala sulla posta elettronica, sulle VPN aziendali, sul desktop remoto e su qualsiasi pannello di amministrazione. Se una password viene divulgata, il MFA aggiunge un ostacolo importante.
  2. Privilegi minimi. Ogni account dovrebbe avere solo i permessi di cui ha bisogno. Se un utente normale non ha bisogno di eseguire PowerShell con diritti elevati, è meglio limitarlo.
  3. Controllo del software di accesso remoto. Mantieni un inventario di quali strumenti sono autorizzati ed elimina quelli che non vengono usati.
  4. Monitoraggio del comportamento. Registra e rivedi l'attività degli strumenti amministrativi, e definisci avvisi in caso di usi fuori dal normale.
  5. Backup isolati e testati. Conserva copie separate dalla rete principale e verifica che possano essere ripristinate. Se ciò che viene bloccato sono i sistemi, non solo i file, conviene anche avere un piano di recupero documentato.
  6. Igiene domestica. Cambia le credenziali del router, aggiorna il suo firmware, usa password uniche con un gestore e mantieni il sistema operativo aggiornato.

Conclusione: rivedi la tua configurazione prima che lo faccia un attaccante

Il ransomware senza cifratura living off the land ricorda che il pericolo non arriva sempre sotto forma di un file sospetto. A volte arriva con un account valido e strumenti che sono già nel tuo dispositivo. Per questo la difesa passa dal proteggere le credenziali, limitare i permessi, sorvegliare il comportamento e assicurarsi di poter recuperare.

Dedica qualche minuto questa settimana a rivedere la tua configurazione di lavoro remoto: hai il MFA attivo sui tuoi account chiave? Hai cambiato la password di amministrazione del tuo router? I tuoi backup sono isolati e li hai testati? Per capire meglio la dimensione del problema, puoi consultare il nostro articolo su le tendenze del ransomware in Spagna.