Dieci anni di ransomware: le famiglie che abbiamo visto passare

Il primo file criptato me lo sono trovato davanti nel 2013. Da allora ne sono passati sotto gli occhi migliaia, di decine di famiglie diverse, e quasi tutte quelle famiglie oggi non esistono più. Questa è la loro storia — non per nostalgia, ma perché racconta una cosa precisa su come funziona questa minaccia e su cosa, in dieci anni, ha davvero salvato i file di qualcuno.

Ho analizzato ciascuno di questi virus mentre era in circolazione, con le vittime al telefono e i file sul tavolo. Alcuni li abbiamo battuti. Molti no. E il motivo per cui li abbiamo battuti, quando è successo, è quasi sempre lo stesso — e non è quello che ti aspetteresti.

Per ogni famiglia trovi anche il verdetto sul recupero: se esisteva una via d’uscita, a quali condizioni, e se esiste ancora oggi.

2013-2014: Cryptolocker, quello che ha inventato il modello

Cryptolocker arriva nel settembre 2013 e cambia tutto. Non era il primo virus a criptare i file, ma è il primo a farlo bene: chiave asimmetrica generata su un server remoto, nessuna copia sul computer della vittima, pagamento in Bitcoin, un conto alla rovescia sullo schermo.

Prima di lui i ransomware erano quasi sempre un bluff: bloccavano lo schermo, minacciavano la polizia postale, ma i file restavano intatti. Con Cryptolocker il bluff finisce. I file sono davvero illeggibili e la chiave è davvero solo loro.

Finisce il 2 giugno 2014, quando Operation Tovar — FBI, Europol, polizie di una dozzina di paesi, università e aziende di sicurezza insieme — smantella la botnet Gameover ZeuS che lo distribuiva. Una botnet che aveva infettato più di un milione di computer e provocato oltre cento milioni di dollari di danni.

Nel corso dell’operazione l’olandese Fox-IT mette le mani su una cosa che vale più di qualunque arresto: il database delle chiavi private. Ad agosto 2014, insieme a FireEye, apre un portale dove chiunque poteva caricare un file cifrato e riottenere la propria chiave. Gratis. Le vittime potenzialmente raggiunte erano circa cinquecentomila.

Il presunto capo dell’organizzazione, il russo Evgeniy Bogachev — «Slavik» — è stato incriminato negli Stati Uniti nel 2014. Nel febbraio 2015 l’FBI ha messo sulla sua testa una taglia di tre milioni di dollari, la più alta mai offerta per un criminale informatico. È tuttora latitante, si ritiene in Russia, e figura ancora nella lista dei ricercati informatici più pericolosi.

Ma nota bene come è andata: non abbiamo rotto la crittografia di Cryptolocker. Nessuno l’ha mai rotta. Abbiamo avuto le chiavi perché qualcuno è arrivato al server. È un tema che tornerà a ogni paragrafo di questo articolo.

2014-2015: CTB-Locker e la falsa bolletta

CTB sta per Curve-Tor-Bitcoin, e i tre pezzi del nome dicono già tutto: crittografia a curve ellittiche, infrastruttura nascosta dietro Tor, riscatto in Bitcoin. Tecnicamente era un passo avanti rispetto a Cryptolocker, e soprattutto era autonomo: cifrava anche senza connessione al server.

In Italia lo ricordiamo per il travestimento. Arrivava come email di Equitalia, o di un corriere, con un allegato che sembrava una cartella esattoriale. Ho visto persone aprirlo proprio perché avevano paura di ignorarlo. È la prima volta che ho capito quanto conti la leva psicologica: non ti frega la tecnologia, ti frega il timore di avere un problema con il fisco.

Nel 2016 ne è comparsa anche una versione per siti web: invece del computer di casa cifrava i file di un server, mettendo offline il sito di chi lo subiva. Stessa idea, bersaglio diverso.

C’è però un epilogo che merita, perché smonta una convinzione diffusa. Nel dicembre 2017, con l’Operation Bakovia, Europol, FBI e le polizie di Romania, Paesi Bassi e Regno Unito arrestano cinque persone nella Romania orientale per la diffusione di CTB-Locker e Cerber.

Cinque arresti, sei perquisizioni, un video diffuso da Europol. E nemmeno un file recuperato: gli arrestati non erano gli autori del codice, erano quelli che lo spargevano. Le chiavi non erano loro.

Quando leggi «arrestata banda di ransomware», la domanda da farsi è sempre questa: hanno preso chi scriveva, chi distribuiva o chi incassava? Perché solo nel primo caso, e non sempre, i tuoi file tornano indietro.

2015-2016: TeslaCrypt, e il giorno in cui i criminali si sono arresi

TeslaCrypt nasce mirando a un pubblico preciso: i videogiocatori. Cercava salvataggi di partita, profili di Steam, mappe e mod — roba senza valore economico e con enorme valore affettivo, quindi perfetta da tenere in ostaggio. Poi si è allargato a tutto il resto, cambiando estensione a ogni versione: .ecc, .ezz, .exx, .xyz, .zzz, .aaa, .abc, .ccc, .vvv, fino a .micro, .mp3, .xxx e .ttt.

Le prime versioni avevano un difetto: lasciavano tracce della chiave sul disco. Con TeslaDecoder, lo strumento scritto da un ricercatore noto come BloodDolly, e un po’ di pazienza si recuperava. Poi l’hanno corretto, e per mesi non si è più recuperato nulla.

Poi, nel maggio 2016, succede una cosa che non era mai successa prima e che non è più successa dopo.

Un analista di ESET, Igor Kabina, si accorge che il gruppo sta chiudendo: chi distribuiva TeslaCrypt stava migrando su un’altra famiglia. Allora fa la cosa più semplice e più incredibile di tutta questa storia. Apre la chat di assistenza sul portale di pagamento dei criminali e chiede se, visto che smettono, vogliono rilasciare la chiave principale.

Loro rispondono di sì. E la pubblicano sul loro stesso sito, con una nota di due righe:

Project closed.
We are sorry!

Da quel giorno ogni file TeslaCrypt del mondo diventa recuperabile. BloodDolly aggiorna TeslaDecoder per le versioni 3 e 4, ESET e Kaspersky pubblicano i propri strumenti, e chi aveva file .xxx, .ttt, .micro, .mp3 o senza estensione li riprende tutti.

Anche qui: non l’abbiamo battuto. Si sono ritirati, e qualcuno ha avuto la lucidità di chiedere.

2016: Locky, l’anno in cui è diventato industria

Locky compare a febbraio 2016 e per un anno è il ransomware più diffuso del pianeta. Non per meriti tecnici, ma per distribuzione: viaggiava sulla botnet Necurs, milioni di email al giorno, un allegato Word con una macro.

Cambiava estensione come cambiava campagna — .locky, .zepto, .odin, .thor, .aesir, .zzzzz — e ogni cambio era una nuova ondata.

Il caso che lo ha reso famoso è del febbraio 2016 e riguarda un ospedale. L’Hollywood Presbyterian Medical Center di Los Angeles si ritrova la rete bloccata: il personale torna al fax e alla carta, alcuni pazienti vengono dirottati su altre strutture. Dopo dieci giorni la direzione decide di pagare: 40 bitcoin, allora circa diciassettemila dollari. Il direttore generale lo mise per iscritto in un comunicato, dicendo che era il modo più rapido e conveniente di tornare operativi.

È il primo caso in cui un ospedale dichiara pubblicamente di aver pagato, e per anni è stato citato da entrambe le parti del dibattito: da chi diceva «vedi che pagare funziona» e da chi rispondeva «vedi che finanziamo il prossimo attacco». Se vuoi la mia posizione, l’ho scritta per esteso in tre motivi per non pagare il riscatto.

Sparisce alla fine del 2017, quando Necurs smette di distribuirlo. Non è stato sconfitto: è stato dismesso, come si dismette un prodotto che non rende più.

2016: Cerber, il ransomware come servizio

Cerber introduce due cose che meritano di essere ricordate.

La prima è il modello di business: ransomware-as-a-service. Chi lo scriveva non attaccava nessuno — vendeva il kit ad affiliati che si tenevano il 60% del riscatto. È il momento in cui per diffondere un ransomware non serve più saper programmare.

E i conti li conosciamo, perché nel 2016 i ricercatori di Check Point sono riusciti a seguire il flusso del denaro attraverso i portafogli Bitcoin dell’organizzazione:

Dati dell’indagine CerberRing di Check Point e IntSights, ripresi da Bleeping Computer.

Quasi un milione di dollari l’anno per scrivere software e non attaccare nessuno. Questo è il momento in cui il ransomware smette di essere una moda criminale e diventa un settore economico con i suoi fornitori, i suoi rivenditori e i suoi margini.

La seconda cosa è una trovata teatrale: Cerber parlava. Un file audio generato via VBS leggeva a voce alta il messaggio di riscatto dalle casse del computer. Ho visto persone terrorizzate da quel dettaglio più che dai file persi.

Il 16 agosto 2016 Check Point pubblica un servizio gratuito che, grazie all’accesso ottenuto all’infrastruttura di Cerber, permetteva di estrarre la chiave della vittima da un file cifrato caricato online. Funzionava sulle versioni 1 e 2, quelle con estensioni .cerber e .cerber2.

Un giorno. È la finestra più stretta di tutta questa storia, e dà la misura di quanto poco tempo abbia, chi difende, quando trova un errore in un’operazione ben gestita. Cerber ha poi cambiato nome in CRBR Encryptor ed è proseguito fino al 2017; alcuni suoi affiliati sono finiti negli arresti di Operation Bakovia.

2016: Jigsaw, il ricatto a orologeria

Jigsaw — quello con la faccia dell’Enigmista di Saw, che rinominava i file in .FUN — aveva una crudeltà tutta sua: ogni ora che passava cancellava dei file, e al riavvio ne cancellava mille in un colpo solo. Il conto alla rovescia non era una minaccia: era già in esecuzione.

Paradossalmente era il più debole di tutti. Era scritto in .NET, l’autore aveva provato a offuscare il codice e gli era riuscito male, e soprattutto la chiave di cifratura era scritta dentro l’eseguibile. Chiunque sapesse dove guardare poteva tirarla fuori.

In poche settimane esistevano decryptor gratuiti, e ancora oggi ne trovi almeno quattro diversi — di Check Point, Emsisoft, Trend Micro e Bleeping Computer — sul portale No More Ransom.

Eppure ha fatto pagare parecchie persone che non avrebbero dovuto. Perché chi lo incontrava vedeva i file sparire davvero, uno dopo l’altro, mentre cercava una soluzione. Il panico è un’arma, e Jigsaw è la dimostrazione che funziona meglio della crittografia.

2014-2017: Crypt0l0cker, il finto corriere

Crypt0l0cker — che con Cryptolocker condivide solo il nome, scritto con gli zeri, e che altrove è conosciuto come TorrentLocker — è la famiglia che in Italia ha fatto più danni fra i piccoli uffici. Arrivava come avviso di giacenza di un corriere, lasciava un file COME_RIPRISTINARE_I_FILE.txt in ogni cartella, ed era localizzato: email in italiano, mittenti italiani, riscatto in euro.

Ed è qui che devo correggere una cosa che per anni ho dato per scontata anch’io, e che ho verificato solo ricostruendo questa storia: per le prime versioni, una via di recupero c’era.

Nel settembre 2014 i ricercatori della finlandese Nixu hanno trovato un errore da manuale. TorrentLocker generava un flusso di cifratura e lo combinava con il contenuto dei file tramite un’operazione XOR — solo che usava lo stesso flusso per tutti i file della stessa infezione, e cifrava soltanto i primi due megabyte di ciascuno.

La conseguenza è che bastava avere una copia originale di un singolo file più grande di due megabyte — una foto, un PDF, un allegato che si era ricevuto anche via email — per ricostruire l’intero flusso e decifrare tutto il resto.

È un episodio che mi sta a cuore per una ragione: quel recupero non è arrivato da una potenza di calcolo, da un supercomputer o da un attacco alla crittografia. È arrivato perché qualcuno ha letto con attenzione come il programma usava l’algoritmo, e ha trovato la scorciatoia che l’autore si era concesso. L’algoritmo era solido. L’implementazione no.

2017: Spora, il più professionale di tutti

Spora è quello che mi ha impressionato di più, e lo dico da tecnico. Compare a gennaio 2017, in Russia, travestito da fattura di un noto software di contabilità, e arriva rapidamente ovunque.

Cifrava senza bisogno di contattare alcun server, il che lo rendeva immune a qualsiasi blocco di rete: aveva una chiave pubblica scritta nel codice, con cui proteggeva una chiave generata sul momento per ogni singola vittima. Fatto esattamente come va fatto. Non aggiungeva estensioni, quindi capire cosa fosse successo richiedeva più tempo.

E poi c’era il portale di pagamento, che è la cosa che ancora oggi cito quando devo spiegare a un imprenditore con chi ha a che fare. Listino differenziato — tanto per recuperare un singolo file, tanto per tutti, tanto per l’immunità dai prossimi attacchi — chat di assistenza con risposta in poche ore, sconti trattabili, proroghe delle scadenze.

2019: FTCODE, e la PEC come cavallo di Troia

FTCODE arriva a settembre 2019 con un’idea semplice e feroce: usare la posta elettronica certificata. In Italia la PEC ha valore legale, e questo le dà, agli occhi di chi la riceve, un’autorevolezza che una email normale non ha. Arriva una PEC, dev’essere una cosa seria. Si apre.

Tecnicamente era scritto in PowerShell, quindi non lasciava un eseguibile da individuare: usava strumenti già presenti in Windows.

Anche su questo devo correggere quello che si diceva all’epoca, perché una via di recupero è esistita, ed è stata trovata in Italia.

Chi ha scritto FTCODE ha commesso un errore che a raccontarlo sembra impossibile: dopo aver generato la password che protegge i file, la spediva al proprio server in chiaro, dentro il corpo di una richiesta HTTP. In chiaro. In mezzo al traffico di rete della vittima.

A ottobre 2019 Gabriele Pipi, del Purple Team dell’italiana Certego, ha pubblicato FTdecryptor: uno strumento, tuttora su GitHub, che data l’estensione e quella password decifrava ricorsivamente tutti i file. La password la ricavavano intercettando la richiesta con una regola Suricata sulle reti che monitoravano.

Non conosco esempio migliore di questo per spiegare a cosa serve il monitoraggio. Non è un lusso da grandi aziende e non serve solo «ad accorgersi degli attacchi»: qui era letteralmente la differenza fra riavere i propri dati e non riaverli.

Un’ultima cosa su FTCODE, che riguarda chi è stato colpito allora e forse non lo sa ancora. Da gennaio 2020 le nuove versioni, oltre a cifrare, rubavano le credenziali salvate in Chrome, Firefox, Thunderbird, Outlook e Internet Explorer. Chi ha subito FTCODE in quel periodo e non ha mai cambiato quelle password le ha ancora in mano a qualcun altro, sette anni dopo.

Chi ha davvero salvato i file, in questi dieci anni

Rileggendo l’elenco c’è una cosa che salta agli occhi e di cui non si parla mai. Dietro quasi ogni decryptor gratuito di questa storia non c’è un governo e non c’è una multinazionale: c’è una manciata di persone, spesso da sole, spesso gratis.

Il caso più clamoroso è quello di Michael Gillespie, in rete demonslay335. Per anni ha lavorato in un negozio di riparazione computer a Normal, Illinois — un paese di cinquantamila abitanti — e nel tempo libero ha scritto i programmi che hanno restituito i file a centinaia di migliaia di persone in tutto il mondo. Ha violato oltre cento delle circa ottocento famiglie di ransomware conosciute, ed è l’autore di circa il 90% dei decryptor distribuiti da Bleeping Computer. Fra questi c’è quello di Jigsaw.

Nel 2016 ha messo in piedi anche ID Ransomware, il servizio dove chiunque può caricare un file cifrato o una richiesta di riscatto e sapere quale variante l’ha colpito: riconosce più di settecentottanta famiglie e ne riceve circa duemila al giorno, da tutto il mondo. Per quasi il 40% di quelle che riconosce esiste una soluzione gratuita.

Nello stesso periodo in cui faceva tutto questo, Gillespie ha avuto un tumore alla vescica, si è visto pignorare l’auto e ha rischiato di perdere la casa per quattro rate di mutuo non pagate. Quando gli hanno chiesto perché continuasse, ha risposto che era per la sfida e per la sensazione di dare un contributo a battere i cattivi.

Il posto dove quel lavoro viene raccolto e reso disponibile è No More Ransom, il progetto nato nel 2016 dalla polizia olandese e dallo European Cybercrime Centre di Europol insieme ad alcune aziende di sicurezza. Oggi mette a disposizione strumenti gratuiti per circa duecento famiglie, in decine di lingue; al sesto anno di attività aveva già superato il milione e mezzo di recuperi riusciti.

È il primo posto dove guardare, sempre, prima di prendere in considerazione qualunque pagamento. E se qualcuno ti propone un «recupero» a pagamento, ha senso controllare prima lì: capita più spesso di quanto immagini che il servizio venduto a caro prezzo sia uno strumento gratuito scaricato da quel sito.

Che cosa insegna questa storia

Mettiamo in fila i verdetti:

Sei famiglie su nove hanno avuto una via d’uscita, ma tre di quelle sei per una finestra strettissima o a condizioni che quasi nessuno aveva. E soprattutto c’è una cosa che vale per tutte e sei, senza una sola eccezione:

Questa è la ragione per cui, quando mi chiedono se i file si recuperano, la mia risposta onesta è: dipende da chi ti ha colpito, e non da quanto sei disposto a spendere. Su alcune varianti si recupera tutto in mezza giornata. Su altre, la risposta professionale corretta è che non si può fare nulla, e dirlo subito è più utile che vendere speranza.

E c’è un corollario che riguarda te, non i criminali. In due casi su nove — Crypt0l0cker e FTCODE — il recupero dipendeva da qualcosa che dovevi avere prima: la copia originale di un file, i log del traffico di rete. Non da quello che hai fatto dopo l’attacco. Quando arriva il momento, la partita è già stata giocata settimane prima.

E oggi?

I nomi di questo articolo appartengono al passato. Nessuna di queste famiglie circola ancora in modo significativo, e questo può dare l’impressione consolante che il problema sia rientrato. Non è così: il modello è cambiato, ed è peggiorato.

Tre differenze contano più di tutte.

Prima si cifrava, oggi si copia. Gli attacchi moderni esfiltrano i dati prima di cifrarli. Il ricatto non è più «ti ridò i file», ma «non pubblico i tuoi». Contro questa seconda leva il backup non ti difende: ti rimette in piedi l’operatività, non ti toglie il dato dalle loro mani. E fa scattare obblighi di notifica al Garante, con le conseguenze che sai.

Prima colpivano a strascico, oggi scelgono. Le campagne di massa erano un gioco di numeri: milioni di email, qualche migliaio di vittime, riscatti da poche centinaia di euro. Oggi si studia il bersaglio, si entra, si resta dentro per settimane a mappare la rete, e si colpisce quando si sa esattamente quanto vale fermarla — backup compresi, cercati e distrutti per primi.

Prima era un virus, oggi è un’organizzazione. Chi entra nella tua rete non è lo stesso che scrive il codice, che spesso non è lo stesso che tratta il riscatto. Sono filiere con ruoli separati e margini divisi — e i conti di Cerber, nel 2016, erano solo l’anteprima.

C’è anche una conseguenza pratica di cui si parla poco. Le famiglie di oggi generano una chiave diversa per ogni vittima e la tengono su server che non vengono sequestrati. Gli errori che hanno salvato i file di qualcuno in questi dieci anni, semplicemente, non si commettono più. Le storie che hai letto qui sopra sono, in buona parte, storie che non si ripeteranno.

Il che, se ci pensi, riporta esattamente al punto da cui era partita tutta questa storia: dietro un file criptato non c’è mai stato un virus. C’è sempre stata una persona che ha deciso di attaccarti.

Le due storie che vale la pena leggere per intero

Di tutte le famiglie qui sopra, due meritano un capitolo a sé, per ragioni diverse.

• PEC 2017 — il primo ransomware scritto interamente da criminali italiani, diffuso via posta certificata. Su questo siamo intervenuti direttamente: campagna interrotta e programma di decrittazione rilasciato gratuitamente.
• WannaCry — l’attacco che in un fine settimana del maggio 2017 ha fermato ospedali e fabbriche in mezzo mondo, e ha insegnato a tutti che cosa significa davvero non aggiornare un sistema.

Se hai un file criptato adesso

Se sei arrivato qui perché è successo oggi, l’ordine delle cose da fare è questo.

• Isola il computer dalla rete, subito: molti attacchi si propagano ai dischi condivisi e ai NAS.
• Non riavviare e non formattare. In alcuni casi la chiave è ancora in memoria, e un riavvio la cancella per sempre.
• Non rinominare i file cifrati. Alcuni strumenti di recupero riconoscono solo l’estensione originale e non trovano più i file «riordinati».
• Conserva la richiesta di riscatto. È il documento che identifica la variante con più precisione del file stesso.
• Fai identificare la variante prima di qualsiasi altra decisione: è l’unica cosa che dice se il recupero è tecnicamente possibile. Puoi partire da ID Ransomware e da No More Ransom, che sono gratuiti.
• Non pagare d’istinto. Le ragioni le ho messe per esteso in tre motivi per non pagare il riscatto.