File criptati da un ransomware: cosa fare nelle prime ore

Enrico Marcolini · 10 febbraio 2016

File criptati da un ransomware: cosa fare nelle prime ore

Di Enrico Marcolini Ransomware Aziende, Copie e ripristino, Normativa, Recupero dati 79 Commenti

Pubblicato il 10 febbraio 2016, riscritto integralmente il 22 agosto 2026. I commenti in fondo sono quelli raccolti all’epoca.

Hai aperto una cartella e i file non si aprono più. Hanno un’estensione strana, e da qualche parte c’è un messaggio che chiede dei soldi. Questa pagina non serve a spiegarti com’è successo: serve a dirti cosa fare adesso, in che ordine, e soprattutto cosa non fare nei prossimi minuti.

Le decisioni che prendi nella prima mezz’ora contano più di tutto quello che verrà dopo. Ho visto recuperi riusciti andare in fumo per un riavvio, e situazioni disperate risolversi perché qualcuno aveva staccato un cavo al momento giusto.

Le tre cose da fare subito, in quest’ordine.

Stacca il cavo di rete e spegni il wi-fi del computer colpito. Non spegnere il computer: stacca solo la rete.
Scollega i dischi esterni e le chiavette che fossero ancora attaccati.
Non toccare più niente: non rinominare, non cancellare, non spostare, non provare programmi.

Fatto questo, hai tempo. Il danno è delimitato e nulla peggiora mentre leggi il resto.

Perché proprio queste tre

La rete, perché il virus non ha ancora finito. Quasi tutte le varianti, dopo aver cifrato il computer, cercano le cartelle condivise, i dischi di rete e i NAS. Se lo stacchi mentre sta lavorando, quello che non ha ancora raggiunto resta intatto. È la singola azione che salva più dati in assoluto.

Non spegnere, perché la chiave a volte è ancora lì. In alcune famiglie la chiave di cifratura resta nella memoria del computer finché resta acceso, e spegnendolo la cancelli per sempre. Non succede spesso, ma quando succede è l’unica possibilità che c’era. Il riflesso naturale davanti a un computer impazzito è spegnerlo: è il riflesso sbagliato.

Non toccare, perché ogni modifica toglie informazione a chi dovrà analizzare. Molti strumenti di recupero riconoscono i file solo dall’estensione originale e non trovano più quelli «riordinati». Vale anche per il messaggio di riscatto: sembra la cosa più sgradevole da tenere sul desktop, ed è invece il documento che identifica la variante meglio di qualunque altra cosa.

Gli errori che vedo fare più spesso

Riavviare o spegnere «per fermarlo». Non lo ferma, e in qualche caso cancella l’unica strada di recupero.
Formattare e reinstallare subito. Elimina il problema e anche i dati: dopo, non si recupera più niente. Prima si analizza, poi eventualmente si formatta.
Rinominare i file per «rimetterli a posto». Togliere l’estensione aggiunta non li apre e li rende invisibili agli strumenti di recupero.
Scaricare il primo «decryptor gratuito» che si trova cercando l’estensione. È il modo più veloce per prendersi un secondo virus sopra il primo: quelle ricerche sono un terreno di caccia, e chi le fa è disperato e disposto a installare qualunque cosa. Gli unici cataloghi di cui fidarsi sono No More Ransom, gestito da Europol, e i siti ufficiali dei produttori di antivirus.
Collegare il disco del backup per «vedere se è a posto». Se il computer è ancora infetto, cifri anche quello. Il backup si verifica su una macchina pulita, mai su quella colpita.
Pagare d’istinto nelle prime ore. Ne parlo più avanti, ma la regola breve è: non è una decisione da prendere prima di sapere cosa ti ha colpito.

Capire cosa ti ha colpito

È la domanda che determina tutto il resto, perché alcune varianti si recuperano gratuitamente e altre non si recuperano affatto. Non dipende da quanto sei disposto a spendere: dipende da chi ti ha colpito.

Ti servono due cose, che hai già: un file cifrato e il messaggio di riscatto. Con quelli si identifica la famiglia, e da lì si sa subito se esiste una via d’uscita.

L’elenco completo, estensione per estensione, con il verdetto e lo strumento gratuito quando esiste, è in quali file criptati si possono recuperare. Se preferisci non farlo da solo, puoi caricare qui un file e ci pensiamo noi.

L’unica cosa che puoi provare da solo: le copie shadow

Windows tiene copie automatiche dei file, chiamate copie shadow, e a volte si possono ripescare da lì. Si usa un programma come ShadowExplorer: si sceglie una data precedente all’infezione e si vede cosa c’è.

Provaci, costa cinque minuti — ma non costruirci sopra le speranze. Quasi tutti i ransomware, come prima cosa, cancellano proprio quelle copie: è la mossa più vecchia del repertorio. Nella mia esperienza funziona in una minoranza dei casi, quasi sempre quando l’infezione è stata interrotta a metà. Se non trovi niente, non hai sbagliato nulla: è la normalità.

Se le trovi, copia i file recuperati su un disco esterno pulito prima di fare qualunque altra cosa.

Il backup: la domanda che quasi nessuno si è fatto prima

«Ho il backup» è la frase che sento più spesso nella prima telefonata. Nella seconda, spesso, scopriamo che il backup era collegato al computer, e quindi è stato cifrato insieme a tutto il resto.

È l’errore più diffuso in assoluto, e non è colpa di chi lo commette: un disco esterno sempre attaccato o una cartella sincronizzata sembrano un backup, ma per un ransomware sono semplicemente altre cartelle da cifrare.

Quindi, prima di dire di avere un backup, verifica tre cose:

Era scollegato al momento dell’attacco, o era su un servizio che conserva le versioni precedenti dei file?
Contiene i dati che ti servono davvero, e non solo quello che qualcuno aveva configurato anni fa?
Si riesce ad aprire? Un backup che non è mai stato provato non è un backup: è una speranza con un nome tecnico.

Fai la verifica su un computer pulito, mai su quello colpito.

Se è successo su un NAS

Merita un capitolo a parte, perché oggi è il caso che vedo crescere di più — anche fra i privati, che hanno comprato un disco di rete proprio per stare tranquilli.

Un NAS raggiungibile da internet, magari per comodità di accesso da fuori, è un computer esposto a tutti gli effetti. Se non è aggiornato, chi attacca ci entra direttamente senza bisogno che nessuno apra un allegato: cifra i dati e, spesso, anche gli snapshot e i backup che il NAS custodiva.

Se è il tuo caso: scollegalo dalla rete, non riavviarlo, non aggiornarlo e non ricreare i volumi. Su questi apparecchi gli snapshot interni a volte sopravvivono, ma vanno cercati prima di toccare la configurazione — e chi ripristina di fretta li perde.

E adesso? Due strade diverse

Da qui in avanti le cose cambiano parecchio a seconda che sia successo al computer di casa o alla rete di un’azienda. Non è una questione di dimensione: è che nel secondo caso oltre ai dati ci sono degli obblighi, e hanno delle scadenze.

Se è il computer di casa o del professionista singolo

L’ordine delle cose da fare è questo.

Metti da parte i file cifrati su un disco esterno, anche se oggi non si recuperano. Ne riparlo qui sotto: è il consiglio che ha restituito più dati di ogni altro.
Fai identificare la variante prima di qualunque decisione, compresa quella di rifare il computer.
Cambia le password dei servizi importanti — posta, banca, cloud — da un altro dispositivo. Diverse famiglie di ransomware, prima di cifrare, rubano le credenziali salvate nel browser e nel programma di posta.
Sporgi denuncia. Si può fare online al Commissariato di P.S. online della Polizia Postale. Serve a te se ci sono conseguenze, e serve alle indagini: molte operazioni internazionali che hanno portato al rilascio di chiavi gratuite sono partite da denunce come la tua.
Rifai il computer da zero solo dopo aver messo al sicuro i file cifrati. Non fidarti di una semplice «pulizia»: un sistema che ha ospitato un ransomware si reinstalla.

Se è la rete di un’azienda o di un ente

Qui la prima cosa da capire è che il recupero dei file è solo una parte del problema, e nemmeno la più urgente.

Gli attacchi degli ultimi anni non si limitano a cifrare: prima copiano. Chi ti ha colpito ha con ogni probabilità già portato via i dati, e il ricatto vero non è «ti ridò i file» ma «non pubblico i tuoi». Questo cambia la natura della cosa: non è solo un guasto informatico, è una violazione di dati personali, con conseguenze legali che corrono su un orologio.

Le scadenze, se ti riguardano.

72 ore per notificare la violazione al Garante per la protezione dei dati personali, da quando ne sei venuto a conoscenza, salvo che sia improbabile un rischio per le persone coinvolte. Oltre quel termine la notifica va motivata.
Se il rischio per gli interessati è elevato, va informato anche chi quei dati li ha affidati: clienti, dipendenti, pazienti.
Per i soggetti che ricadono nella NIS2 — molte aziende medie e quasi tutta la pubblica amministrazione — c’è in più un preallarme entro 24 ore al CSIRT Italia, una notifica completa entro 72 ore e una relazione finale entro un mese, secondo il D.Lgs. 138/2024 gestito dall’Agenzia per la Cybersicurezza Nazionale.

Ventiquattro ore passano in fretta quando l’azienda è ferma e nessuno sa da dove cominciare. È il motivo per cui queste procedure vanno decise prima, non durante.

Sul piano tecnico, in azienda, cambia anche l’ordine delle priorità:

Isola, non spegnere. Vale per i singoli computer come per i server: scollegare la rete contiene il danno, spegnere distrugge le tracce che servono a capire da dove sono entrati.
Conserva i registri. Log dei firewall, dei server, degli accessi remoti: spesso vengono sovrascritti nel giro di giorni, e sono l’unico modo per ricostruire cosa è successo e per quanto tempo sono stati dentro.
Non riaccendere tutto per «tornare operativi». Se chi ha attaccato ha ancora un accesso, e nella maggior parte dei casi ce l’ha, ripristinare senza aver chiuso la porta significa farsi cifrare una seconda volta — l’ho visto succedere, e la seconda volta fa più male della prima.
Cambia le credenziali di amministrazione partendo da quelle di dominio e dagli accessi remoti.
Avvisa chi di dovere internamente: chi decide, il responsabile della protezione dei dati se c’è, e chi tiene i rapporti con i clienti. La comunicazione va governata da subito, perché in questi casi la notizia esce comunque.

Se ti serve qualcuno che se ne occupi mentre tu tieni in piedi l’azienda, Dottor Marc fa esattamente questo: risposta all’incidente, analisi forense e la parte di adempimenti.

Conserva i file cifrati, anche se oggi non si recuperano

È il consiglio che do da sempre ed è quello che ha restituito più dati di ogni altro.

Chi nel 2015 aveva file TeslaCrypt e li ha buttati, li ha persi. Chi li ha messi su un disco esterno e se n’è dimenticato, nel maggio 2016 li ha ripresi tutti, quando gli autori hanno chiuso e pubblicato la chiave. È successo di nuovo con CrySiS pochi mesi dopo, con Shade nel 2020 — 750.000 chiavi in una volta — con Avaddon nel 2021, con Maze nel 2022.

Un server viene sequestrato, una banda litiga o chiude, un ricercatore trova l’errore giusto anni dopo. Un disco esterno costa poco e i file cifrati non scadono.

Sul pagare

Nella prima ora la tentazione è fortissima, ed è comprensibile. Ma è proprio nella prima ora che non hai gli elementi per decidere: non sai ancora cosa ti ha colpito, se esiste un recupero gratuito, se il backup è utilizzabile.

La mia posizione, con le ragioni per esteso, è in tre motivi per non pagare il riscatto. Qui basti un precedente: quando nel 2019 il gruppo di GandCrab ha chiuso, ha cancellato tutte le chiavi. Da quel giorno chi pagava non riceveva più niente. Chi aveva aspettato ha avuto un decryptor gratuito poche settimane dopo.

Quando tutto è passato

C’è una domanda che arriva sempre alla fine, ed è la più importante di tutte: come faccio a non ritrovarmi qui?

La risposta breve è che l’antivirus è l’ultima linea, non la prima. Contano molto di più tre cose noiose: un backup scollegato e provato almeno una volta, gli aggiornamenti installati — non scaricati, installati — e il fatto che chi usa i computer sappia riconoscere una comunicazione falsa.

Se vuoi capire come si è arrivati fin qui e perché certe varianti si recuperano e altre no, l’ho raccontato per intero in dieci anni di ransomware.

E se ti stai ancora chiedendo che cosa ti sia capitato di preciso, la risposta è meno tecnica di quanto sembri: non è un virus, è una persona che è entrata. Capirlo cambia le domande che vale la pena farsi.

Qui sotto, nei commenti, ci sono decine di persone che sono passate da questa stessa pagina in questi anni, con la loro estensione, la loro paura e a volte il loro lieto fine. Se ti va, scrivi anche tu: rispondo.

File criptati da un ransomware: cosa fare nelle prime ore