Attacco ransomware: cosa fare nei primi minuti.

1 · Contenimento e diagnosi

Isolati i sistemi colpiti, il team ricostruisce il perimetro reale dell’attacco: quale variante di ransomware, quale punto d’ingresso, quali account compromessi, da quanto tempo l’attaccante è nella rete. È la fase che decide tutte le altre: contenere solo i sistemi cifrati, ignorando gli accessi persistenti dell’attaccante, significa riaprire l’incidente a ripristino avvenuto. Nell’Operation Storming Tide la catena Matanbuchus 3.0 → Astarion → SystemBC è stata interrotta prima della cifratura proprio perché la diagnosi ha coperto l’intera catena, non il singolo host.

2 · Eradicazione

Rimozione di ogni presenza dell’attaccante: malware, backdoor, account creati, credenziali rubate, meccanismi di persistenza. I gruppi ransomware acquistano spesso l’accesso iniziale da broker specializzati, come documentato nell’analisi Nebula Broker sulle operazioni offensive contro aziende italiane: eradicare significa chiudere anche quel canale d’ingresso, non solo cancellare il payload. La digital forensics stabilisce cosa è stato toccato e cosa esfiltrato, e produce le evidenze che serviranno alle notifiche.

3 · Ripristino da backup

Il ripristino parte solo a eradicazione verificata: ripristinare con l’attaccante ancora dentro porta alla re-cifratura, uno degli errori più frequenti nelle gestioni improvvisate. Ordine di rientro per criticità di business, verifica di integrità dei backup (i gruppi ransomware li cercano e li cifrano per primi), monitoraggio rafforzato sui sistemi appena rientrati.

4 · Notifiche e comunicazione

In parallelo alle fasi tecniche corrono gli obblighi visti sopra: CSIRT Italia per i soggetti NIS2 (preavviso 24 ore) e Garante per i dati personali (72 ore). A queste si aggiunge la comunicazione interna a dipendenti e management ed eventualmente quella verso clienti e fornitori: dire cose diverse a interlocutori diversi, o negare l’esfiltrazione prima che la forensics l’abbia esclusa, peggiora sia la posizione legale sia quella reputazionale.

5 · Post-incident review

A incidente chiuso: come è entrato l’attaccante, perché non è stato rilevato prima, quali controlli mancavano. Il vettore iniziale è quasi sempre noto e ripetibile, phishing con kit AiTM che catturano il token di sessione dopo l’autenticazione, credenziali comprate, sistemi esposti senza patch: se la review non lo chiude, il secondo attacco usa la stessa porta. È il punto in cui la gestione dell’emergenza diventa prevenzione strutturale, tipicamente con un servizio di managed detection and response o un SOC gestito.

Chi deve gestirlo: l’esperienza non è sostituibile

Un attacco ransomware non si gestisce con il solo reparto IT interno, per quanto competente: serve un team qualificato di incident response che abbia già affrontato e sconfitto gruppi ransomware reali. La differenza è concreta in ogni fase: riconoscere la variante e le TTP dell’attore riduce la diagnosi da giorni a ore, sapere dove i gruppi nascondono la persistenza evita eradicazioni incomplete, aver già condotto le notifiche a CSIRT e Garante evita errori formali sotto pressione. Il team incident response Fortgale opera dal SOC di Milano 24·7·365 su casi documentati contro attori attivi in Italia, con il profilo di 287 tra gruppi avversari e strumenti d’attacco a supporto dell’attribuzione: conoscere l’avversario prima di incontrarlo è ciò che trasforma una crisi in un incidente gestito.

Nell'Operation Storming Tide il team Fortgale ha contenuto un'intrusione multi-stadio (attore Mora_001, catena Matanbuchus 3.0 → Astarion → SystemBC): esfiltrazione RClone e ransomware prevenuti dal contenimento.