Recupero file criptati da ransomware: ripristiniamo i tuoi dati senza pagare il riscatto

Quando serve il recupero file criptati da ransomware

Arrivi in ufficio e i file hanno tutti un’estensione strana: .lockbit, .phobos, .dharma, .djvu, .deadbolt. In ogni cartella c’è un file di testo con una richiesta di denaro in criptovaluta. Il gestionale non parte, le cartelle condivise sono inutilizzabili, il NAS mostra una pagina di riscatto. È uno dei momenti più difficili per un’azienda o un professionista, e la prima reazione è spesso quella di pagare per chiudere in fretta. Prima di farlo, fermati: esistono alternative concrete, e il pagamento non garantisce nulla.

Il recupero dati da ransomware (detto anche crypto virus o cryptolocker) è l’insieme delle attività che permettono di riottenere i file cifrati da un malware senza trattare con gli autori dell’attacco. Si basa sull’analisi della variante, sulla ricerca di copie dei dati sopravvissute all’attacco, sull’estrazione di file originali non sovrascritti dai dischi e, quando esistono chiavi pubbliche o errori nell’implementazione del malware, sulla decifratura diretta.

Come riconoscere un attacco ransomware

• File con estensioni aggiuntive (.lockbit, .phobos, .dharma, .djvu, .deadbolt, .encrypted, .locked, .id-XXXX, .[email].ext) e nomi talvolta codificati.
• Note di riscatto in ogni cartella: README.txt, HOW_TO_DECRYPT.txt, info.hta, _readme.txt, con indirizzi email, siti Tor e scadenze.
• Sfondo del desktop sostituito da un avviso.
• Programmi che non si avviano e database inaccessibili.
• NAS con interfaccia web bloccata da una pagina di riscatto (DeadBolt, Qlocker, eCh0raix) e cartelle piene di file .deadbolt o archivi 7z protetti.
• Backup cancellati, shadow copies eliminate, antivirus disattivato, log di sistema cancellati.
• Accessi RDP o VPN anomali nei giorni precedenti, spesso con credenziali rubate o deboli.

Le famiglie di ransomware che trattiamo

• LockBit (2.0, 3.0/Black, Green): attacchi mirati ad aziende con esfiltrazione dei dati e doppia estorsione.
• Phobos ed Eking, Elbie, Faust, 8base: diffusi tramite RDP esposto, molto frequenti nelle PMI italiane.
• Dharma/CrySiS con le sue decine di estensioni e varianti.
• STOP/Djvu: colpisce soprattutto privati tramite software pirata; per molte vecchie varianti con chiave offline esistono decifratori pubblici.
• DeadBolt, Qlocker, eCh0raix, Checkmate: specifici per NAS QNAP, Synology e Asustor esposti su Internet.
• Makop, Mallox, Medusa, BlackCat/ALPHV, Akira, Play, Conti, Ryuk, Sodinokibi/REvil, GlobeImposter, Magniber, Cerber, TeslaCrypt, WannaCry e altre famiglie storiche o emergenti.
• Ransomware sconosciuti: analizziamo campioni e note per identificare la famiglia e valutare le possibilità.

Perché non pagare il riscatto

Il nostro consiglio è di non pagare, e non solo per ragioni etiche. Il pagamento non garantisce di ricevere un decifratore funzionante: in molti casi le chiavi non arrivano, arrivano incomplete o il tool fornito corrompe i file più grandi. Pagare segnala inoltre che l’azienda è disposta a farlo, esponendola a nuovi attacchi, e può comportare conseguenze legali quando i destinatari sono soggetti sanzionati. Le alternative tecniche vanno sempre valutate prima, e la diagnosi gratuita serve proprio a questo.

Come interveniamo: la procedura di laboratorio

1. Contatto immediato: chiamaci al 06 6228 0405 o compila il modulo di accettazione. Ti indichiamo cosa isolare e cosa non toccare.
2. Acquisizione dei supporti: ritiro tramite corriere dei dischi, del server o del NAS con corriere, oppure consegna in sede. Lavoriamo su cloni: gli originali restano intatti e disponibili per eventuali perizie.
3. Diagnosi gratuita entro 4 ore lavorative: identificazione della famiglia e della variante tramite note di riscatto, estensioni, campioni cifrati e, se disponibile, l’eseguibile del malware.
4. Preventivo gratuito e non vincolante, con indicazione chiara delle strade percorribili.
5. Ricerca di copie sopravvissute: shadow copies di Windows, snapshot Btrfs/ZFS del NAS, versioni precedenti, backup locali e cloud, file temporanei, cache delle applicazioni, copie su altri dispositivi.
6. File carving sui dischi: molti ransomware creano il file cifrato e cancellano l’originale, i cui dati restano sul disco finché non vengono sovrascritti. Estraiamo i file originali dalle aree libere con tecniche di carving per tipo di file.
7. Analisi della cifratura: per varianti con chiavi offline note, errori di implementazione o decifratori pubblici, applichiamo la decifratura diretta. Per i ransomware che cifrano solo una parte di ogni file, recuperiamo le porzioni intatte di database e archivi.
8. Ricostruzione di database e VM: riparazione di file SQL, Exchange e dischi virtuali parzialmente cifrati, come descritto nella pagina sul recupero dati server.
9. Lista file, verifica e consegna su supporto pulito, con indicazioni per la bonifica e la ripartenza.

Cosa NON fare dopo un attacco ransomware

• Non pagare prima di aver valutato le alternative.
• Non formattare e reinstallare i sistemi colpiti: cancelleresti le copie originali ancora recuperabili dai dischi.
• Non eseguire antivirus o strumenti di pulizia che eliminano i file cifrati: servono per l’analisi.
• Non rinominare i file cifrati e non cancellare le note di riscatto.
• Non usare decifratori trovati online a caso: alcuni sono malware a loro volta, altri danneggiano i file in modo irreversibile.
• Non continuare a lavorare sui sistemi colpiti: ogni scrittura sovrascrive dati recuperabili.
• Non ripristinare un backup sopra i dischi originali prima di averne verificato l’integrità e prima della bonifica.

Cosa fare subito

• Scollega dalla rete i sistemi colpiti, inclusi NAS e server, per fermare la propagazione.
• Spegni i sistemi in modo controllato oppure, se è in corso la cifratura, interrompi l’alimentazione per fermarla.
• Conserva una nota di riscatto e alcuni file cifrati con i rispettivi originali, se li hai altrove: servono per identificare la variante.
• Cambia le password degli accessi remoti da un dispositivo pulito.
• Valuta gli obblighi di notifica al Garante entro 72 ore, previsti dal GDPR in caso di violazione dei dati personali.
• Contattaci dalla pagina contatti o al 06 6228 0405.

Tempi e costi indicativi

Il costo dipende dal numero di sistemi e dischi coinvolti, dalla variante del ransomware, dalla capacità complessiva e dall’urgenza. Il preventivo è su misura, gratuito e non vincolante, i prezzi sono IVA esclusa e si applica la politica No Data, No Cost: se non recuperiamo nulla, non paghi nulla.

Sistemi e dispositivi trattati

• Server e workstation Windows e Linux, fisici e virtuali, con database e cartelle condivise.
• NAS QNAP, Synology, Asustor, WD, Netgear colpiti da DeadBolt, Qlocker, eCh0raix: la procedura di ricostruzione dei volumi è descritta nella pagina sul recupero dati NAS.
• PC e portatili di privati e professionisti, dischi esterni e chiavette USB cifrati durante l’attacco.
• Backup compromessi: unità di backup cifrate, repository Veeam e archivi di backup danneggiati.

Perché scegliere RecuperoDatiRM

Il laboratorio di Via Domenico Millelire 27 a Roma affianca da oltre 15 anni aziende, studi professionali ed enti colpiti da attacchi informatici, con più di 10.000 clienti, successo nel 98% dei casi di recupero dati e valutazione media 4,9/5. Lavoriamo in coordinamento con i tuoi consulenti IT e, se necessario, con i legali per gli adempimenti.

• Diagnosi gratuita in 4 ore lavorative e preventivo chiaro.
• No Data, No Cost: nessun costo se non recuperiamo.
• Nessun contatto con i criminali e nessun pagamento intermediato.
• Lista dei file recuperati prima del pagamento.
• Riservatezza assoluta con NDA e trattamento conforme al GDPR; copie forensi disponibili per le indagini, come descritto nella pagina sul recupero dati forense.
• Ritiro tramite corriere in tutta Italia.

Un attacco ransomware non deve diventare la fine dei tuoi dati. Richiedi subito la diagnosi gratuita dal modulo di accettazione o chiamaci al 06 6228 0405.