2. Come Decriptare File Ransomware E
Recuperare I Tuoi Dati [2022]
Scopri come decriptare file ransomware e recuperare i tuoi dati dopo un
attacco subito alla cyber security dei tuoi sistemi. [GUIDA 2022]
Cosa significa decriptare file Ransomware?
Decriptare file ransomware significa decodificare un file attaccato e reso
inaccessibile da un malware.
Il termine ransomware, infatti, indica una classe di malware che, una volta
infettato il computer, rende inaccessibili i dati e richiede il pagamento di un
riscatto per ripristinarli.
A livello tecnico si tratta di un Trojan crittografato, il ​
​
cui scopo è
estorcere denaro attraverso il sequestro di file resi inutilizzabili.
Si tratta di un tipo di attacco informatico molto redditizio per chi lo sferra,
e che per tale motivo si è diffuso moltissimo negli ultimi anni.
L’indagine condotta dall’agenzia statunitense FinCEN (Financial Crime
Enforcement Network) dà dei dati forti rispetto alla crescita di attacchi
ransomware.

3. Nei primi sei mesi del 2021, le richieste di pagamento per i ransomware
sono arrivate a 590 milioni di dollari.
Si tratta di un aumento del +42% rispetto al totale di 416 milioni di dollari
registrato per tutto il 2020.
Per tale ragione il ransomware può essere considerato come la principale
minaccia informatica.
Ma come si manifesta un ransomware?
Invece del classico sfondo del desktop, l'utente vede apparire una notifica
che sembra provenire dalla polizia o da un'altra organizzazione di
sicurezza.
Tale notifica contiene un ricatto: pagare la somma in denaro per ricevere la
password per aprire file criptati.
Ad oggi, spesso, la richiesta di riscatto prevede un pagamento in Bitcoin.

4. Cosa accade quando un file viene crittografato da
Ransomware?
Il ransomware può infettare un computer in diversi modi.
Uno dei metodi più popolari in circolazione però, è sicuramente attraverso il
phishing.
Si tratta di uno spam malevolo inviato attraverso email indesiderate
contenenti link o allegati infetti.
L’utente, pensando che la mail sia autentica, clicca sugli allegati
scaricando il virus direttamente sul suo dispositivo.
Da quel momento in poi, il ransomware si infiltra nel sistema e inizia a
crittografare i file.
La crittografia, attraverso l'uso di algoritmi complessi, agisce sulla codifica
dei file e sui dati sensibili che questi contengono.
Tale codifica non è di per sé negativa; in generale ha soltanto il compito di
impedire l'accesso non autorizzato e la manomissione da parte di
malintenzionati.
Secondo la Treccani, infatti, con la parola crittografia si intende:
“Scrittura segreta, cioè tale da non poter essere letta se non da chi
conosce l’artificio usato nel comporla”.
Nel caso dei ransomware, però, attraverso la crittografia dei file gli hacker
si assicurano che l’utente non possa accedere ai suoi dati.
Un file crittografato diventa illeggibile senza una chiave di decrittazione.

5. Questa chiave di solito assume la forma di una password o di una
passphrase, che si configura come una stringa di cifre alfanumeriche.
È possibile decriptare file infetti da Ransomware?
La risposta è positiva: sì, è possibile decriptare file infetti da ransomware.
Ci sono molti strumenti di decrittazione ransomware per affrontare l’attacco.
Il problema, però, è che ogni ransomware ha bisogno del suo tool e non
sempre è facile riconoscere di quale tipo di virus si tratti.
L’opzione migliore è sempre rivolgersi a degli specialisti.
HelpRansomware conta su un team di esperti informatici che sviluppa
costantemente nuove tecnologie e soluzioni per contrastare gli attacchi
ransomware.
D’altra parte, non devi mai pagare il riscatto.

6. Secondo l’analisi di Sophos, circa il 92% delle aziende che ha pagato il
riscatto, non ha ricevuto i file decriptati.
Assecondare i criminali non fa altro che alimentare le loro attività illecite.
I file crittografati da Ransomware possono essere
recuperati?
Tanto per decrittare, come per recuperare file crittografati, è possibile
riuscire nell’intento.
Il processo, però, è tutt’altro che facile: ogni ransomware ha un sistema
diverso di crittografia e, quindi, un metodo diverso di decrittazione.
Decriptare un file, però, non significa recuperarlo.
I file attaccati da un ransomware, anche dopo la decriptazione, possono
risultare danneggiati o corrotti.
Il consiglio anche in questo caso è quello di rivolgersi ad aziende
specializzate, e di evitare la strada del fai da te.
I tool che si trovano disponibili online sono molto utili, ma richiedono che
l’utente abbia un certo livello di dimestichezza in ambito tecnologico.
Inoltre, questi strumenti presentano un ulteriore problema: scaricando
software di dubbia provenienza potresti essere tu stesso il responsabile di
scaricare un malware sul tuo PC.
Alcuni ransomware, infatti, sfruttano i bug presenti nei programmi di
esecuzione come Adobe Flash o Java.

7. Come studiato anche da W3Techs, JavaScript è utilizzato dal 93,6% dei
siti web, il che lo rende particolarmente allettante per gli hacker.
Come decriptare file Ransomware?
Per decriptare file Ransomware hai bisogno di un software apposito.
Ogni ransomware ha il suo strumento di decrittazione, il che rende il
procedimento più difficile.
Ci sono due ordini di problemi principali:
● Un software di decrittazione può essere molto costoso, specialmente
se agisce sui tipi di crittografia più complessi;
● Utilizzare un software di decrittazione non è semplice, quindi devi
avere una serie di competenze informatiche non basiche.
Per tale ragione, gli strumenti fai da te non hanno un grande successo.

8. Al contrario, dovresti rivolgerti a uno specialista che può analizzare la tua
situazione e determinare quali opzioni sono disponibili al momento della
richiesta.
Assicurati che l’azienda in questione possa fornirti i seguenti servizi:
● Comprendere la variante ransomware e illustrare al cliente cosa
aspettarsi;
● Analizzare il malware per determinare se la crittografia può essere
violata;
● Capire quale sia stato il vettore che ha causato l’attacco e agire con
dei metodi preventivi;
● Modificare i programmi di decrittazione non funzionanti o mal
funzionanti che causano ritardi nella decrittazione dei file;
● Riparare il database o i file danneggiati.
Se hai bisogno di un’azienda con tale esperienza, contatta
HelpRansomware pronta ad aiutarti 24 ore su 24, 7 giorni su 7.
Come puoi vedere, decriptare i file è solo l’ultimo passaggio da compiere,
perché prima bisogna compiere una serie di altri step.
Le prime fasi di analisi sono fondamentali per raccogliere informazioni su
come prevenire il prossimo attacco ransomware.
Decriptare file Cerber Ransomware
Cerber Ransomware è un virus che cripta i dati personali dell'utente
utilizzando i metodi AES-265 e RSA.

9. Il virus è un cavallo di Troia che di frequente viene diffuso attraverso
email di spam contenenti allegati infetti o collegamenti dannosi.
Tra le famiglie di ransomware, Cerber è seconda solo a GandCrab per il
numero di virus che include, come si vede nel rapporto di Virustotal.
Una volta che il software entra nel computer, inizia a codificare, rinominare
e crittografare i file presenti sui vari dischi (interni ed esterni).
Durante la crittografia dei dati, il virus crea tre file #Decrypt My Files#.txt,
#Decrypt My Files#.html, e #Decrypt My Files#.vbs che contengono
istruzioni per pagare gli hacker.
Tali file vengono inseriti in ogni cartella dove sono presenti file Cerber.
Non esiste uno strumento che sia 100% efficace per la decriptazione,
motivo per cui molti utenti tendono a pagare il riscatto.

10. Con questo ransomware è di particolare importanza agire in fretta, perché
dopo 7 giorni, la richiesta in denaro raddoppia.
Tuttavia, è importante rimuovere il virus Cerber prima di decifrare i file.
È possibile procedere sia manualmente che con un software antivirus.
Inoltre, se si dispone di un backup dei file, è possibile eseguire un
ripristino completo del sistema.
Decriptare file corrotti da Spora Ransomware
Spora Ransomware rientra nella categoria dei cryptovirus e, quando uscì
nel 2017, venne definito come il più potente ransomware di tutti i tempi.
Per attirare l'utente nel tranello, questo virus utilizza le solite strategie di
ingegneria sociale.
Si tratta di email phishing contenenti copie di documenti apparentemente
importanti, come fatture di pagamenti o risultati medici.
Come sempre accade, però, tali documenti sono virus che una volta
innescati scaricano un oggetto JavaScript nella cartella Temp di
Windows.
Dopo poco, l'utente vede comparire sul desktop un file di Word che avverte
dell'infezione.

11. Il virus potrebbe distribuire il payload anche attraverso social media o siti di
file-sharing.
Inoltre, Spora Ransomware potrebbe infiltrarsi anche nel registro di
sistema del PC e, così facendo, si avvierà ad ogni avvio del sistema
operativo.
Per questi due motivi, nel caso ti accorgessi dell'infezione, scollega
immediatamente il pc dalla rete, per evitarne la propagazione.
Allo stesso tempo, evita di spegnere il computer, per evitare che il virus
esegua ulteriori funzioni.
Decriptare file da virus Nasoh Ransomware
Nasoh Ransomware appartiene alla famiglia STOP/DJVU.
Al pari di tutti gli altri Ransomware, anche Nasoh una volta eseguito è in
grado di bloccare l'accesso ai file presenti sui dischi di un dispositivo.

12. Non appena la crittografia viene completata con successo, Nasoh genera
un file “readme.txt” che contiene le istruzioni di pagamento del riscatto e lo
inserisce in tutte le cartelle che contengono i file modificati.
Nasoh compromette i dati utilizzando un algoritmo di crittografia che
genera una chiave di decrittazione univoca per ciascuna vittima.
Il costo di ciascuna chiave è di 980$, tuttavia, alle vittime viene offerto uno
sconto del 50% se contattano gli sviluppatori entro 72 ore dalla crittografia.
Gli hacker si offrono anche di inviare un file decriptato come prova della
capacità di ripristinare i dati.
In realtà è solo un altro modo per invogliare le vittime a pagare il riscatto.
In rete esistono alcune procedure che consentirebbero di decriptare file
Ransomware Nasoh, ma anche in questo caso l'efficacia non è garantita.
Tali procedure suggeriscono di riavviare il PC in modalità provvisoria
con rete, e subito dopo di installare un anti-malware affidabile.
A questo punto sarà necessaria una scansione completa del sistema per
rimuovere l'infezione.
Per recuperare i dati, invece, hai a disposizione tre possibilità:
● Utilizzare le copie shadow di volume, se hai un backup sul tuo
dispositivo;
● Usare un software di terze parti, come quello sviluppato da
NoMoreRansom;
● Utilizzare strumenti di recupero dati.

13. Come già detto, si tratta di strumenti non semplici da maneggiare per chi
non ha le giuste conoscenze nel settore.
Decriptare file Hermes Ransomware
Hermes è un malware di tipo Ransomware scoperto da Michael Gillespie.
Una volta infiltrato, Hermes crittografa i file utilizzando la crittografia
RSA-2048.
Questo malware non aggiunge estensioni ai file crittografati, il che rende
più difficile la sua identificazione.
Dopo la crittografia, crea un file HTML contenente il messaggio di riscatto
"DECRYPT_INFORMATION.html" e lo inserisce in ogni cartella contenente
i file crittografati.

14. Inoltre, fornisce un file UNIQUE_ID_DO_NOT_REMOVE, che gli utenti
sono invitati ad unire alla mail nel momento in cui comunicano con i
criminali informatici responsabili dell’attacco.
Il messaggio informa le vittime che dovranno acquistare un software di
decrittazione per recuperare i file danneggiati.
Con l'algoritmo di crittografia asimmetrica RSA-2048, Hermes Ransomware
genera chiavi pubbliche (crittografia) e private (decrittografia).
È impossibile ripristinare i file criptati senza la chiave privata.
L'eliminazione manuale delle minacce, e la successiva decriptazione,
potrebbe rivelarsi un processo lungo e complesso che richiede competenze
informatiche avanzate.
Decriptare file Ransomware GandCrab
GandCrab è la famiglia di ransomware più attiva.

15. Come si può vedere nel presente grafico che riporta i dati della ricerca di
Virtustotal, il ransomware GandCrab fa parte della famiglia più attiva con il
78,5%.
Al secondo posto c’è Babuk, staccato a solo 7,61%.
Si tratta di un ransomware particolarmente pericoloso perché, all’inizio, i
suoi creatori minacciavano di rendere pubbliche informazioni private e
personali delle vittime.
Il riscatto veniva richiesto minacciando l’utente dicendogli che era stata
violata la webcam del suo dispositivo.
Nel caso la vittima non avesse pagato il riscatto, gli hacker avrebbero reso
pubblici immagini e video compromettenti.
Ciò che rende il Ransomware un fenomeno così rivoluzionario nel mondo
della criminalità informatica è che non può esistere una cura unica per
tutte le infezioni.
La situazione è diversa dagli altri virus che generalmente possono essere
eliminati con un antivirus.
Dopo la prima comparsa nel 2018, il ransomware GandCrab ha continuato
a essere sviluppato in diverse versioni.
Ogni nuova variante ha un meccanismo di crittografia migliorato ed è
quindi più difficile da decrittare.
Come ripristinare file criptati da Ransomware?

16. In rete esistono diversi tool che permettono di ripristinare file criptati da
Ransomware.
Ancora una volta però, è opportuno sottolineare che tutte le soluzioni di cui
abbiamo parlato in precedenza, non sono garanzia di nessun risultato; anzi
molto spesso si rivelano inefficaci, soprattutto per l'utente inesperto.
Quello che è possibile fare è puntare sulla prevenzione piuttosto che sulla
cura.
Infatti, bisognerebbe parlare molto di più di come proteggersi dal
ransomware, che è ciò che farebbe la differenza nel contrasto al problema:
● Aggiorna sempre il tuo sistema operativo e il tuo antivirus.
Si tratta di un passo fondamentale per rilevare alcuni tipi di
ransomware e impedire che i tuoi file vengano crittografati;
● Evita le truffe di phishing.
Presta molta attenzione ai dettagli che identificano i mittenti delle tue
mail e non aprirle se contengono elementi sospetti;
● Effettua backup periodici di tutti i tuoi dati.
In questo modo, anche in caso di attacco, potrai recuperare i file.
Oltre ai supporti fisici, sfrutta anche le potenzialità dell’archivio in
cloud, più sicuro;
● Segui un modello zero trust o privilegi minimi.
Un modello con privilegi minimi limita l’accesso solo a ciò che è
assolutamente necessario;

17. ● Monitora l’attività dei file e il comportamento degli utenti per rilevare,
avvisare e rispondere a potenziali attività di ransomware.
Se nonostante tutte queste raccomandazioni si dovesse comunque cadere
nella trappola di un Ransomware, il consiglio è quello di non procedere con
soluzioni fai da te.
Contatta un’azienda specializzata come HelpRansomware.
Un team di esperti ha sviluppato metodologie che si applicano a ciascun
attacco ransomware, accorciando i tempi di risoluzione e, di conseguenza,
l'inattività dell'azienda.
Come viene rilevato il Ransomware?
Il Ransomware è un tipo di virus davvero molto insidioso soprattutto
perché in background senza causare rallentamenti o altro, a differenza di
altri crimini informatici.
Per questo motivo, per l'utente è piuttosto difficile accorgersi per tempo
dell'infezione.
Un modo per rendersi conto di aver subito un attacco, è notare il modo in
cui sono nominati i file sul tuo dispositivo.
Come visto finora, infatti, quasi tutti i ransomware rinominano i file
presenti sul PC aggiungendo un’estensione spesso corrispondente al
nome del virus stesso.
D’altra parte, il Ransomware potrebbe essere rilevato da un buon
antivirus.

18. Un consiglio che devi assolutamente seguire è di scaricare un antivirus
certificato e che copra gli usi che ti protegga in maniera efficace.
Infine, il virus in questione può manifestarsi quando è già troppo tardi per
qualunque azione, ovvero con la comparsa della finestra con la richiesta
del riscatto.
Cos'è il Ransomware ID?
Il Ransomware ID è il codice identificativo del virus che ha attaccato il tuo
dispositivo.
Da questo nome nasce l’omonimo sito Web che fornisce assistenza nella
lotta contro i malware capaci di crittografare i file.
ID Ransomware ad oggi riconosce 1055 ransomware diversi in una lista
che è in continuo aggiornamento.
Basta caricare uno dei file cifrati per verificare la disponibilità di uno
strumento di decriptazione.
Nel caso in cui il file sia stato infettato da uno dei virus presenti nel
database del sistema, ID Ransomware ti indirizzerà direttamente al tool
per la decriptazione.
Come decriptare file Cryptolocker?
Le nuove varianti CryptoLocker sono così potenti da eludere le tecnologie
antivirus e firewall.
Proprio per questa ragione, è fondamentale proteggersi nel modo giusto,
rafforzando i controlli d’accesso a tutti i dispositivi.

19. All’esecuzione, CryptoLocker scansiona l’unità di rete a cui è connesso
l’host per cercare i documenti e ogni altro tipo di file da denominare e
crittografare.
Questo ransomware utilizza una chiave di crittografia RSA a 2048 bit
un’estensione, come .encrypted oppure .cryptolocker oppure .[7 caratteri
casuali], a seconda della variante.
Infine, il malware crea un file in ciascuna cartella e lì inserisce le istruzioni
per la decrittazione che richiedono il pagamento in bitcoin.
Per rimuovere file Cryptolocker è possibile trovare diverse soluzioni
gratuite, ma come spesso accade quelle a pagamento risultano più efficaci.
Ad ogni modo, questi software si comportano tutti più o meno allo stesso
modo, quindi una volta installati e avviati, procedono con il download delle
definizioni antimalware.

20. Una volta terminata questa fase, sarà possibile avviare la scansione
indicando al programma su quali unità disco agire, e decriptare file infetti
da Ransomware.
Finito il processo sarà possibile rimuovere il malware.
Nel caso in cui il software non dovesse ripristinare i file, il consiglio è quello
di riavviare il computer in modalità provvisoria e ripetere nuovamente la
procedura.
Come recuperare file danneggiati da Cryptolocker?
Se improvvisamente tutti i file del computer diventano illeggibili e la loro
estensione cambia in “.encrypted”, significa che il virus Cryptolocker ha
iniziato la sua azione.
Per impedirgli di procedere con i danni al tuo dispositivo, segui queste
indicazioni:
● Scollega il PC dalla rete internet; in questo modo, eviterai di far
propagare l’infezione;
● Esegui il software antivirus sul tuo PC per identificare tutti i file
infetti;
● Ripristina i file originali;
● Nel caso tu non sia riuscito nel ripristino dei file, procedi con il
rispristino del sistema.
Devi sapere che, con quest’ultimo passaggio, il tuo dispositivo tornerà
all’ultima versione di backup.

21. Oppure, se non hai nessun backup salvato, il PC verrà ripristinato nella sua
versione di fabbrica.
Differenze tra Ransomware e Cryptolocker
All'interno della categoria Ransomware, possiamo distinguere due diversi
tipi di minacce informatiche:
● Ransomware locker: il virus usa immagini a schermo intero o pagine
web per bloccare l'accesso al computer.
Le funzioni base del dispositivo vengono disabilitate e il PC è
inutilizzabile.
Questo tipo di virus, però, tende a non distruggere i dati presenti sul
dispositivo, il suo obiettivo è solo quello di bloccarli;
● Crypto-ransomware: il virus blocca i file del computer, effettua una
crittografia con password e ne rende impossibile l'apertura.
Al contrario del precedente, questo virus cripta tutti o alcuni dei file
presenti sul dispositivo, ma il PC resta utilizzabile.
I crypto-ransomware possono avere un effetto devastante, rendendo
impossibile l’accesso a documenti e file di ogni tipo.
In entrambi i casi, gli hacker richiedono il pagamento di un riscatto per
inviare la chiave di decrittazione.
CryptoLocker rientra nella seconda categoria ed è un malware che infetta
soprattutto i sistemi operativi Windows.
Conclusioni

22. A questo punto avrai compreso che decriptare file Ransomware è molto
complicato.
Dalla presente guida, hai potuto trarre le seguenti conclusioni:
● Decriptare file ransomware significa decodificare un file attaccato e
reso inaccessibile da un malware;
● Nei primi sei mesi del 2021, le richieste di pagamento per i
ransomware sono arrivate a 590 milioni di dollari;
● La crittografia ransomware rende impossibile l’accesso ai file a
meno che non si possieda una chiave di decrittazione ottenibile
tramite il pagamento di un riscatto;
● Circa il 92% delle aziende che ha pagato il riscatto, non ha ricevuto
i file decriptati;
● GandCrab fa parte della famiglia di ransomware più attiva;
● All'interno della categoria Ransomware, possiamo distinguere due
diversi tipi di minacce informatiche, i locker e i
crypto-ransomware.
Il mondo dei ransomware è in costante aggiornamento ed è sconsigliato
procedere alla loro rimozione con soluzioni fai da te.
Contatta HelpRansomware per una consulenza specializzata con dei
professionisti nella rimozione e recupero di dati criptati da ransomware.