Golden Hour Ransomware: I Primi 60 Minuti per Salvare il Sistema Informativo

Sono le 06:14. La reperibilità IT riceve un alert anomalo: l'hypervisor primario satura le operazioni di I/O su disco, mentre diversi file server condivisi rinominano freneticamente le proprie estensioni in .locked. In questo preciso momento l'attacco non sta iniziando, ma sta entrando nella sua fase finale di esecuzione. Gli attaccanti hanno probabilmente trascorso intere settimane a mappare la rete, esfiltrare database strategici e neutralizzare i backup online. Ormai il conto alla rovescia è iniziato.

In medicina d'urgenza, la Golden Hour identifica quella prima ora critica in cui ogni singola manovra decide la sopravvivenza del paziente. Nella sicurezza informatica il principio è lo stesso. I primi 60 minuti successivi al rilevamento di un ransomware segnano il destino dell'organizzazione: o si argina l'incidente preservando le prove digitali, oppure si commettono gli errori tipici che vanificano mesi di indagini e causano il fermo totale delle attività.

Cosa fare e cosa evitare assolutamente durante la prima ora di un attacco ransomware?#

In sintesi: Durante la prima ora occorre isolare fisicamente o logicamente le macchine senza mai spegnerle per salvaguardare la memoria volatile (RAM), trasferire le comunicazioni su un canale out-of-band sicuro e convocare l'unità di crisi senza cedere al panico operativo.

Di fronte a una cifratura in corso, la reazione impulsiva di molti tecnici consiste nello staccare bruscamente l'alimentazione di server o workstation. Questo è l'errore peggiore.

Gli errori fatali da escludere immediatamente

• Non spegnere né riavviare mai le macchine compromesse: Spegnere un host cancella irrimediabilmente la memoria RAM. La memoria volatile racchiude le chiavi di cifratura temporanee, gli indirizzi IP dei server di comando e controllo (C2), i payload iniettati e i reperti indispensabili agli analisti DFIR. Riavviare un sistema i cui file eseguibili critici sono già cifrati impedirà inoltre qualsiasi avvio successivo.
• Non utilizzare la posta elettronica aziendale né il centralino VoIP interno: Se l'Active Directory è compromesso, i server di posta e le piattaforme di collaborazione interna sono molto probabilmente sotto controllo nemico. L'attaccante ascolta le conversazioni, monitora i canali di risposta e adatterà le proprie azioni in tempo reale.
• Non tentare di negoziare in autonomia né pagare immediatamente: Qualsiasi contatto prematuro conferma all'attaccante che l'infrastruttura colpita è vitale per l'azienda, aumentando istantaneamente la pressione psicologica e la cifra richiesta per il riscatto.

Come isolare il perimetro senza distruggere le prove digitali?#

In sintesi: La priorità assoluta consiste nell'interrompere all'istante le connessioni di rete scollegando i cavi Ethernet, disattivando il Wi-Fi o segregando le VLAN a livello di switch, mantenendo sempre gli apparati accesi per conservare gli artefatti in RAM.

Isolare l'infrastruttura informatica non significa togliere la corrente al quadro elettrico. Lo scopo è bloccare la propagazione laterale del malware (tramite protocolli SMB, RDP o WMI) congelando al contempo lo stato operativo dei sistemi per l'analisi forense.

Il protocollo di isolamento d'emergenza

1. Disconnessione fisica della rete: Scollegare i connettori RJ45 dai server impattati e disattivare le interfacce Wi-Fi sui client. In caso di attacco su vasta scala, chiedere agli amministratori di rete di isolare le VLAN interessate o di interrompere i collegamenti WAN e le connessioni VPN che collegano le sedi remote.

2. Revocare gli accessi remoti in entrata: Revocare immediatamente le sessioni VPN, i gateway di accesso remoto e le sessioni amministrative attive. I threat actor mantengono spesso più backdoor operative in parallelo.

3. Impostare l'ibernazione anziché lo spegnimento (se la procedura è collaudata): Se il personale tecnico sa forzare l'ibernazione di sistema, questa operazione riversa il contenuto della RAM sul disco fisso (hiberfil.sys) prima dell'arresto, preservando lo stato della memoria. In assenza di procedure standardizzate, lasciare semplicemente la macchina accesa e isolata da ogni rete.

4. Proteggere i backup immutabili: Scollegare fisicamente i backup offline, disconnettere gli storage non ancora raggiunti e bloccare le sincronizzazioni cloud automatiche per impedire la replica dei file cifrati.

Per addestrare i team tecnici e il management a prendere decisioni critiche sotto stress senza mettere a rischio l'infrastruttura reale, il nostro gioco di gestione delle crisi in 3D Super CISO Destroyer proietta i partecipanti nei panni di un CISO alle prese con un attacco informatico su vasta scala.

Come strutturare la risposta e attivare l'unità di crisi?#

La componente tecnica rappresenta solo una parte della risposta a un incidente ransomware. Senza un solido coordinamento strategico, anche il miglior team di ingegneri perde il controllo della situazione nel giro di pochi minuti.

Attivare un canale di comunicazione out-of-band

Prima di avviare qualsiasi riunione di crisi, il canale di comunicazione deve essere totalmente isolato dal perimetro compromesso. Utilizzare piattaforme di messaggistica cifrata end-to-end preventivamente concordate (configurate su dispositivi mobili personali o su sistemi esterni slegati dalla directory aziendale). È fondamentale vietare l'uso di Teams, Slack o delle caselle di posta ordinarie finché l'integrità del dominio centrale non viene verificata.

Gli obiettivi dell'unità di crisi durante la prima ora

• Coordinamento operativo: Designare un responsabile unico per accentrare i dati, registrare ogni evento su un giornale di bordo cartaceo con marcatura temporale e filtrare le richieste esterne.
• Conformità legale e regolatoria: Impostare le procedure di notifica verso le autorità competenti (in particolare il Garante per la Protezione dei Dati Personali entro 72 ore in caso di violazione di dati personali, l'ACN e le notifiche previste da NIS 2 o DORA per i soggetti regolamentati), contattando tempestivamente la compagnia assicurativa cyber.
• Comunicazione verso l'esterno: Definire le prime dichiarazioni ufficiali per prevenire fughe di notizie sui social network e istruire la reception o il supporto clienti.

La gestione dei primi minuti di un ransomware non si improvvisa durante l'emergenza: deve essere testata, documentata e allenata con continuità. Vuoi verificare la solidità delle tue procedure di emergenza o preparare le tue figure chiave a scenari d'attacco concreti? Parlane con noi per organizzare sessioni di addestramento su misura per la tua organizzazione.

ESPERIENZA OPERATIVA BRAIN SECURITY · SuperCISO Destroyer

Per approfondire: articoli correlati e soluzioni Brain Security#

Articoli complementari su questo tema

• Comunicazione di crisi cyber: come parlare a dipendenti, clienti e media (Crisi Cyber e Ransomware) : Gestire la comunicazione di crisi durante un attacco cyber: scopri come parlare a dipendenti, clienti e media senza commettere errori fatali.
• PCA e PRA: Perché un piano non testato sotto stress è solo un miraggio (Crisi Cyber e Ransomware) : Scopri perché testare il tuo piano PCA e PRA con esercitazioni cyber realistiche evita il blocco totale. Anticipa dipendenze critiche e fatica cognitiva.
• Shadow IT: come gestire i software non autorizzati senza bloccare il business (Crisi Cyber e Ransomware) : Scopri i rischi dello Shadow IT e impara ad allineare sicurezza e produttività aziendale grazie al dialogo e a una formazione continua ed efficace.
• Allucinazioni degli LLM: come allenare lo spirito critico dei team (Cultura IA e AI Act) : Scopri l'origine delle allucinazioni degli LLM e forma i dipendenti al fact checking e alla verifica delle fonti AI per proteggere l'azienda.

Scoprire le soluzioni Brain Security sul sito

• Soluzione associata : Super CISO Destroyer : Lo sfogatoio dei CISO: un solo gesto, ~2 minuti, e gridare nel microfono moltiplica i punti.
• Consultare i casi d’uso per obiettivo e settore
• Confrontare i nostri formati di sensibilizzazione cyber e IA
• Esplorare l’intero catalogo interattivo di Brain Security
• Parlare delle vostre esigenze con il nostro team (demo e attivazione)