Database Note di Riscatto Ransomware 2026: Identifica Chi ti ha Colpito
CyberLord Threat Intel Profilo autore
Il momento peggiore per un IT Manager: lunedì mattina, i telefoni squillano, "non riesco ad aprire i file".
Accedi al server e vedi che tutti i documenti hanno estensioni strane: .locked, .enc, .play.
E in ogni cartella trovi un file di testo: RESTORE_FILES.txt.
Questa è la Ransom Note (Nota di Riscatto).
Per quanto spaventosa, è un documento forense fondamentale. Analizzandola, possiamo capire CHI è l'attaccante. E conoscere il nemico è il primo passo per decidere se combattere o negoziare.
Ecco i profili dei gruppi più attivi in Italia nel 2025/2026.
1. LockBit 4.0 / 5.0 (Il "Re" del Mercato)
Diffusione: Molto Alta in Italia.
Target: Tutti (PMI, Ospedali, PA).
Estensione File: .lockbit, .lb, o stringhe casuali.
Nome Nota: RESTORE-MY-FILES.txt
Analisi della Nota: LockBit scrive in modo professionale, quasi aziendale. "I tuoi dati sono stati rubati e criptati. Ma non preoccuparti, possiamo restituirli. Trattaci come un pentester che hai dimenticato di pagare."
Caratteristiche uniche:
- Offrono la decifrazione gratuita di 1 file come "prova di vita".
- Hanno un sito web su Tor molto curato, con una chat di supporto live.
- Minacciano la pubblicazione dei dati ("Data Leak") con un conto alla rovescia preciso.
Verdetto: Sono criminali affidabili (nel senso che se paghi, di solito danno la chiave). Ma sono costosi.
2. Akira
Diffusione: In crescita vertiginosa.
Target: Aziende con VPN Cisco non aggiornate.
Estensione File: .akira
Nome Nota: akira_readme.txt
Analisi della Nota: Stile "Retro" anni '80 (comandi terminale verde su nero). La nota è breve e diretta: "Se vuoi riavere i tuoi dati, contattaci." Il loro sito di negoziazione sembra un vecchio computer vintage.
Verdetto: Molto pericolosi perché spesso corrompono i file di grandi dimensioni (Database SQL, VHDX) durante la cifratura, rendendoli inutilizzabili anche dopo il pagamento.
3. BlackCat (ALPHV)
Diffusione: Alta (colpisce bersagli di alto profilo).
Estensione File: Casuale (es: .b74k1).
Nome Nota: RECOVER-[RANDOM]-FILES.txt o cambio sfondo desktop.
Analisi della Nota: Molto aggressiva. Spesso include una lista dei dati sensibili che hanno rubato per metterti pressione psicologica. "Abbiamo i tuoi report finanziari e i dati personali dei clienti. Paga o li mandiamo ai tuoi concorrenti e al Garante Privacy."
Verdetto: Tecnicamente avanzati (scritti in Rust). Difficili da decifrare senza pagare.
4. Phobos / Dharma
Diffusione: Medio-Bassa (colpiscono piccole realtà).
Estensione File: .id[ID].[email].phobos
Nome Nota: info.txt, info.hta
Analisi della Nota:
Meno professionale. Spesso chiedono di contattarli via email (es: hacker@protonmail.com) invece che su Tor.
Chiedono riscatti più bassi (5.000 - 20.000 €).
Verdetto: Spesso gli indirizzi email vengono bloccati dai provider, rendendo impossibile contattarli. Rischio alto di perdere tutto.
Cosa Fare se Trovate una Nota
1. NON Spegnere il Server
Se la cifratura è in corso, stacca il cavo di rete (LAN) ma lascia il server acceso. Spegnere di colpo può corrompere i file in scrittura e cancellare le chiavi dalla RAM.
2. NON Contattare Subito gli Hacker
Aprire il link Tor o mandare una mail segnala che siete "vivi" e state leggendo. Vi identifica tramite IP (se non usate protezioni) e rivela la vostra ansia. Lasciate che se ne occupi un negoziatore professionista.
3. Usare "ID Ransomware"
Il sito ID Ransomware (gestito dalla community security) è la Bibbia. Caricate la nota di riscatto e un file criptato. Il sistema vi dirà:
- Il nome esatto della variante.
- Se esiste un decryptor gratuito (molto raro per le versioni nuove, ma possibile per quelle vecchie).
4. Consultare Esperti
Prima di pensare di pagare (o di formattare tutto), chiamate una società di Incident Response (come Cyberlord). Possiamo analizzare il ceppo virale e dirvi se ci sono bug che permettono il recupero senza pagare, o se i backup sono recuperabili.
Conclusione
La nota di riscatto non è la fine. È l'inizio della fase di risposta all'incidente. Mantieni la calma, raccogli le prove e non prendere decisioni affrettate guidate dalla paura.
Hai bisogno di aiuto urgente? Contatta il nostro CSIRT h24
Come Leggere una Nota come un Analista
Gli elementi che cambiano da una famiglia all'altra sono i primi indizi:
- Il documento stesso: nome del file (
README.txt,info.txt,.hta), formato (testo, HTML, sfondo desktop). - Il canale di contatto: un portale su Tor con codice ID personale, una chat, oppure un semplice indirizzo email (tipico dei ceppi più vecchi tipo Phobos/Dharma).
- Le estensioni apposte ai file: spesso combinate con l'ID della vittima, che è in sé un identificatore più affidabile del testo.
- Le scadenze: alcune note mostrano un conto alla rovescia che decresce nel tempo, altre una finestra fissa di circa 3-7 giorni; alcune non ne propongono affatto.
Attenzione però a un punto essenziale: il testo della nota viene spesso copiato e riciclato tra gruppi diversi. Un ramo minore riutilizza la nota di una famiglia estinta e aggiorna solo l'email. Per questo l'identificazione basata solo sulla nota è un'ipotesi di lavoro, non una conclusione: deve confermarsi con gli artefatti (estensione, ID nel nome file, marker nella cifratura).
Preservare le Prove: la Catena di Custodia "Casalinga"
Resistete all'istinto di agire in fretta: la priorità è trasformare il server in un archivio leggibile. Procedura consigliata:
- Screenshot datati della nota, dello sfondo del desktop e delle estensioni visibili. Annotate data e ora nel nome del file (es.
2026-03-01_0940_nota.png). - Copia della nota originale e di 1-2 file cifrati di piccole dimensioni (nessun database o disco intero) su un supporto esterno, impostato se possibile in modalità sola lettura.
- Hash del campione: calcolate l'impronta SHA-256 della nota e dei file cifrati. Un hash che non cambia dimostra che il campione è intatto dall'inizio.
- Log di Windows: esportate il registro di Sicurezza (logon riusciti e falliti) e, se presente, Sysmon: rispondono alle domande "chi" (account connessi) e "quando" (finestre temporali degli accessi).
- Registro degli accessi: un foglio con data, ora e nome di chi ha copiato o spostato ogni file. È una catena di custodia semplificata, ma rende le prove utilizzabili davanti a un consulente o alle autorità.
Regola d'oro: non rinominate i file cifrati, non aprite la nota con editor che la riscrivono, non "provate" nulla sui file originali.
Dove Verificare l'Identificazione
La verifica si fa su basi pubbliche:
- ID Ransomware / NoMoreRansom: servizio di referenza per la classificazione e la disponibilità di decryptor gratuiti.
- Database di note mantenuti da team di ricerca e forze dell'ordine: raccolgono note e marcatori con storico completo, utile quando il testo è riciclato.
Cosa consegnare per un'identificazione seria:
- l'hash del file cifrato campione;
- l'estensione completa (con l'ID vittima incluso);
- una copia integrale della nota, senza modifiche;
- l'URL o il portale Tor di contatto indicato nella nota.
Nel dubbio, un rimedio affrettato (un tool sbagliato lanciato sul disco originale, una formattazione "per guadagnare tempo") distrugge proprio la prova che permetterebbe all'analista di classificare il ceppo. Una verifica preliminare richiede in genere da pochi minuti a un'ora; un'analisi completa può estendersi per giorni.
Note di Famiglie Decriptabili: Quando Esiste un Decryptor Pubblico
Non tutte le cifrature sono un vicolo cieco. Esistono decryptor pubblici in tre scenari ricorrenti:
- errori di implementazione del ceppo (chiavi deboli, cifratura interrotta);
- versioni datate passate al setaccio dai ricercatori dopo la scoperta di una falla;
- chiavi recuperate durante operazioni di forze dell'ordine o rilasciate in fase di scioglimento.
Procedura per un test sicuro:
- Verificate la disponibilità solo su fonti ufficiali (NoMoreRansom o il sito del team che ha annunciato il tool). I "decryptor" trovati su forum casuali sono spesso altro malware.
- Lavorate sempre su una copia del file cifrato, mai sull'originale e mai sull'intero disco: un decryptor difettoso o contraffatto può corrompere i file o peggiorare il danno.
- Decifrate un piccolo campione (documenti, fogli di calcolo) e verificate l'integrità dei contenuti e, se avete un riferimento pre-cifratura, confrontate gli hash.
- Tenete presente che la disponibilità non è garantita per alcuna famiglia o versione: un decryptor valido per una versione è quasi sempre inutile per la successiva. Un risultato negativo non preclude nulla: i team di ricerca pubblicano nuovo materiale ogni anno.
Panoramica
Decisioni chiave, rischi e azioni di implementazione per questo argomento.