Come difendersi da CryptoLocker

Buongiorno,

vista la grave minaccia rappresentata da questo virus abbiamo deciso di scrivere questo speciale. Molti utenti hanno avuto problemi di infezione e non sanno come intervenire. Esamineremo le domande principali in modo sintetico, perché possiate comprendere meglio il fenomeno e capire come difendervi dal Cryptolocker.

Chi colpisce

il virus Cryptolocker entra nella posta elettronica e infetta il PC, specialmente quello aziendale, iniettando un programma che apre una backdoor col pirata informatico. Il tutto avviene attraverso un allegato ZIP o PDF, formati molto comuni nello scambio tra documenti e quindi insospettabili. In passato i virus erano eseguibili .EXE quindi facilmente riconoscibili. Chi si immaginerebbe un virus attraverso un documento PDF ?Diciamo questo per favi capire che non serve colpevolizzare nessuno. Purtroppo il virus è studiato apposta per non destare sospetti e colpire proprio tutti !

Cosa fà

Cryptolocker stabilisce subito una connessione remota con il server dell’aggressore, apre una Backdoor e crea una chiave unica per il vostro PC, sulla base della quale inizia a criptare in modo davvero pesante tutti i file dell’hard disk (ad oggi non ha mai toccato dischi esterni o periferiche rimovibili). Fintanto che il PC resta acceso e connesso il virus continuerà a comunicare con l’aggressore chiedendo un riscatto, restando in attesa del pagamento e continuando a criptare un numero di file sempre maggiore. Quindi se si prende questo virus la prima cosa da fare è sicuramente:

• spegnere il PC
• scollegare la rete
• contattare un esperto

Pagare o non Pagare ?

Pagare permetterebbe di recuperare una parte dei file, ma non vi è alcuna certificazione della riuscita del ripristino dei file proprio perchè è un virus, spesso instabile e il suo scopo non è la qualità della conversione ma il raccoglimento di somme di denaro. Pertanto gli esperti sconsigliano di pagare. Vista la gravità del danno che virus come questo fanno e continueranno a fare in futuro sin da oggi chi non ne è stato colpito dovrebbe prendere tutte le dovute precauzioni.

Come prevenire

Come ribadito all’inizio il virus agisce attraverso la posta elettronica. Pertanto la prima linea di difesa passa da lì. Bisogna assolutamente installare un antivirus serio e robusto sul server che gestisce la posta elettronica, dovutamente licenziato (a pagamento). Vale sia per PC in rete aziendale che su quelli personali, se contengono informazioni importanti !

Se non avete un server di posta elettronica locale, ma scaricate la posta da un account esterno, vi consigliamo di orientarvi verso server di posta sicuri, come gmail, che effettuano controlli di sicurezza per voi. Anche in questo caso mantenere comunque un antivirus almeno free nel vostro PC è caldamente consigliato

Come tutti gli antivirus, anche il Cryptolocker necessita comunque almeno di alcuni privilegi per potersi installare e modificare le porte di accesso. Quindi installare un Firewall e gestire il PC da un utente con privilegi molto limitati è una misura di sicurezza importante !

Infine il virus, ad oggi, non sembra colpire periferiche esterne ma prevalentemente l’harddisk locale, quindi si consiglia di eseguire delle copie di backup regolarmente e di tenere scollegata la periferica quando non serve. Una copia settimanale è molto importante.

Tempestività e attenzione fanno la differenza. Se sapete che gira il virus dell’influenza prenderete delle precauzioni maggiori. Evitate gli allegati sospetti (mittente sconosciuto) e tenete un livello di allerta elevato effettuando una scansione preventiva se proprio volete aprire la mail. Ricordate che dopo l’infezione i tempi di reazione diventano molto stringenti !

Installate un utility, Crypotoprevent. Se avete scelto la versione FREE ricordatevi di aggiornarla manualmente !

Come curare

Adesso vediamo cosa è possibile fare per tentare di recuperare i file. La prima fase è sicuramente la rimozione del virus.

1. Quindi, dopo aver spento il PC infetto, dovete preparare su un PC pulito un CD con un antivirus specifico per i Cryptolocker e partire con la sua rimozione. Questa è sicuramente la prima fase se avete deciso di non pagare e procedere al tentativo di recupero dei file.
2. Una volta rimosso il Virus, spostate tutti i file crittografati rilevati dall’antivirus su una cartella separata, una chiavetta USB o un hard disk vergine. In tal modo potremo isolare i file infetti da quelli sani e tentare di usare i file infetti per recuperare la chiave crittografata per ripristinarli. Non abbiate fretta, solitamente se la soluzione non è subito disponibile lo diventa dopo un pò, quando le società software trovano un numero sufficiente di infezioni per trovare il decrypter giusto.
3. A questo punto, ripristinate il vostro PC infetto e installate tutte le difese che non avevate messo e prendete tutte le precauzioni che vi abbiamo indicato sopra, oltre a quello che vi verranno fornite dal professionista che vi assisterà. Ricordate che l’infezione può tornare in qualsiasi momento, attraverso una delle tante email che girano. Se siete nella lista del pirata informatico presto proverà a ripetere l’operazione.
4. Valutate di procedere con la denuncia alla polizia postale dell’accaduto. Anche se il danno è fatto, coordinandosi possono smantellare le organizzazioni malavitose che hanno dato origine al problema.

Una soluzione pratica

• Spostatevi su un PC pulito e collegatevi in rete
• Procuratevi una chiavetta USB da 4 GB e formattatela a basso livello in FAT16 o FAT32. Deve essere vuota !
• Scaricate l’immagine di Kaspersky Rescue Disk 10 (~375 MB) e mettetela “sul Desktop” !
• Scaricate l’utility per installare l’immagine sulla chiavetta USB e renderla auto avviante.
• Installate l’utility di Kaspersky Rescue Disk 10 “sul Desktop” e avviatela
• Il programma vi chiederà di indicare dove si trova l’immagine ISO, dovreste averla messa sul Desktop. Il file è .ISO. Inoltre dovete indicare la destinazione, indicate la chiavetta USB che avete formattato.

• Configurate l’avviamento del PC da chiavetta USB. Accendendo il PC subito in basso dovreste vedere la scritta per accedere al BOOT del BIOS, non è lo stesso per tutti ! In questo caso bisogna tenere premuto “F11”
• Una volta nel Bios, abilitate (ENABLE) la funzione di BOOT LOADER, solitamente disabilitato. In tal modo tenendo premuto “F12” all’avvio del PC vi permetterà di selezionare la periferica USB come periferica di avviamento del sistema operativo.
• Se avete fatto tutto bene, con “F10” salvate e riavviate il PC, tenendo premuto “F12” poi scegliete la chiavetta USB
• Il Pc dovrebbe leggere l’immagine ISO di Kaspersky Rescue Disk 10
• Seguite le istruzioni che vi verranno mostrate a schermo, ricordate che è un tentativo di pulizia, quindi le condizioni di accettazione vi avvisano che del risultato non v’è certezza.
• Una volta avviato, il programma cercherà di collegarsi ad internet (collegate lo spinotto) aggiornerà l’antivirus (se non lo avete dovrebbe installarlo) e avvierà la scansione del PC
• Se tutto è andato bene il virus sarà rimosso

Potete scegliere altri antivirus, la procedura di installazione sostanzialmente non cambia. Per il recupero dei file, come ribadito, cercate di avere pazienza. Intanto ripristinate il PC e tutte le copie di backup disponibili. Installate antivirus a pagamento (con auto update) e firewall, seguite tutti i nostri consigli.

Per il recupero dei file criptati esamineremo alcune soluzioni possibili a breve. Un buon punto di partenza potrebbe essere questo…. Clicca quì !

Buon Lavoro !