Come si diffonde un ransomware e si può essere infettati da un ransomware?
Phishing di posta elettronica
Il sistema più comune per installare un ransomware è un'e-mail di phishing che include un allegato o un link. Quando l'utente apre l'allegato o clicca sul link, il ransomware esegue un programma che blocca il sistema e visualizza una richiesta di pagamento. In questo caso, l'unico modo per decriptare i dati è una chiave matematica conosciuta solo dall'aggressore.
Si sono verificati anche casi in cui il malware visualizza un messaggio in cui si afferma che il “Windows” dell'utente è bloccato. L'utente viene quindi incoraggiato a chiamare un numero di telefono “”Microsoft“” e a inserire un codice a sei cifre per riattivare il sistema. Il messaggio afferma che la telefonata è gratuita, ma non è vero. Mentre chiama la falsa “Microsoft”, l'utente accumula costi per le chiamate interurbane.
Pagine Web infette e Malvertising/Adware
Gli URL infetti sono comunemente utilizzati per distribuire ransomware. Facendo clic su uno di questi link, sia attraverso un'e-mail che un sito web non verificato, è possibile attivare automaticamente il download del ransomware sul disco rigido, noto anche come “drive-by download”. Anche solo visitare il sito senza scaricare nulla può portare a un attacco ransomware.
Punti di accesso remoto (RDP)
Un numero crescente di attacchi sta ottenendo l'accesso a un'azienda che ha punti di accesso remoto aperti ed esposti, come RDP e virtual network computing (VNC). Le credenziali RDP possono essere forzate, ottenute da fughe di password o semplicemente acquistate nei mercati clandestini. Mentre in passato i criminali del ransomware creavano un ambiente di comando e controllo per il ransomware e le chiavi di decrittazione, la maggior parte dei criminali ora si rivolge alle vittime con note di riscatto che includono un indirizzo di posta elettronica anonimo, consentendo ai malintenzionati di rimanere meglio nascosti.
Per gli attacchi più sofisticati questo è solo l'inizio di una serie di eventi, come descritto nel framework Cyber Kill Chain® di Lockheed Martin e nella base di conoscenze MITRE ATT&CK®.