Nel 2013, CryptoLocker ha introdotto il moderno modello operativo del ransomware, ma anche qualcosa con cui gran parte del settore non ha ancora davvero fatto i conti: la cifratura remota. Una macchina compromessa che attraversa la rete per cifrare un file server, lasciandolo protetto senza alcun processo malevolo da terminare, nessun binario da mettere in quarantena e nessun segnale sufficientemente forte perché una soluzione EDR possa intervenire con certezza.

Nel dicembre 2023, uno studio Microsoft ha evidenziato la presenza di cifratura remota nel 60% degli attacchi ransomware di successo condotti da operatori umani, con l’80% originato da dispositivi non gestiti. Il Microsoft Digital Defense Report 2024, pubblicato dieci mesi dopo, ha aggiornato questi numeri rispettivamente al 70% e al 92%.

Da allora la tendenza è solo peggiorata: la telemetria Sophos mostra che gli attacchi di cifratura remota sono aumentati del 50% dal 2023 al 2024 e di un ulteriore 55% dal 2024 al 2025. La tecnica di attacco è rimasta sostanzialmente invariata per oltre un decennio. La maggior parte delle principali soluzioni di protezione endpoint cerca comportamenti “simili alla cifratura”. Al contrario, la funzionalità CryptoGuard di Sophos Endpoint riconosce la cifratura dei dati stessi. E questa non è una piccola differenza. È la differenza fondamentale.

Sophos ha introdotto CryptoGuard nel 2016 proprio per colmare questa lacuna. La tecnologia non analizza il processo dell’attaccante, il binario, il comportamento o la reputazione. Osserva invece direttamente i dati durante le operazioni di lettura e scrittura dei file, in modo trasparente e a livello di file system, intervenendo quando il contenuto viene trasformato in modo coerente con un processo di cifratura.

L’analisi viene eseguita in tempo reale direttamente sull’endpoint, mentre il traffico I/O attraversa il sistema. Non ci sono passaggi al cloud, flussi di telemetria in attesa di correlazione o decisioni demandate a pipeline successive. Quando l’analisi supera una determinata soglia, CryptoGuard interviene e ripristina i file interessati tramite un meccanismo proprietario di journaling. La strategia di fondo è rimasta sostanzialmente invariata per quasi un decennio.

Poiché “la matematica è la matematica”, CryptoGuard ha rilevato tutte le successive famiglie di ransomware fin dal primo incontro, senza aggiornamenti di firme o riaddestramento dei modelli.

CryptoGuard non esclude un processo solo perché affidabile, firmato digitalmente o noto. Un processo legittimo sotto il controllo di un attaccante, o che esegue codice iniettato, resta comunque una minaccia. La cifratura legittima viene riconosciuta automaticamente in base al contesto operativo: un processo che cifra i propri dati nelle normali directory di lavoro appare diverso da un ransomware che cifra documenti utente o dati centralizzati.

CryptoGuard è attivo per impostazione predefinita, non richiede tuning ed è operativo su milioni di endpoint in tutti i principali settori industriali da oltre dieci anni. Continua a bloccare ransomware in ambienti in cui altre difese falliscono, fermando attacchi che altrimenti avrebbero avuto successo.

Sophos non sostiene che CryptoGuard sia impossibile da aggirare. Un avversario esperto può trovare casi limite in qualsiasi difesa. La posizione dell’azienda è però che questo approccio alzi significativamente il livello di protezione rispetto a quanto offerto oggi dalla maggior parte dei prodotti endpoint. L’attrito nel punto giusto è ciò che consente ai difensori di vincere.

Il problema della visibilità

Per ottenere un riscatto tramite cifratura, l’attaccante deve fare una sola cosa: danneggiare i dati in modo reversibile solo tramite la propria chiave. Tutto il resto – loader, estensione dei file, nota di riscatto, nome del processo – è semplicemente un segnale che gli strumenti EDR utilizzano per allertare gli operatori, definire il perimetro della violazione e guidare la risposta.

Ma il segnale deve esistere prima di poter essere analizzato. In uno scenario di cifratura remota, il binario che esegue la cifratura si trova su un dispositivo non gestito, un endpoint IoT, una shadow VM o un sistema di terze parti oltre il confine di fiducia. Nessuno di questi sistemi dispone di un agente EDR. Non esiste telemetria da inviare, eventi da correlare o segnali su cui agire. La cifratura arriva al file server protetto sotto forma di normali operazioni di scrittura provenienti da una sessione autenticata e fidata. Esiste qualche segnale – accessi ai file, rinominazioni, eventuale nota di riscatto – ma arriva senza certezza e solo dopo che migliaia di file sono già stati cifrati.

E soprattutto, anche quando un EDR riesce a correlare gli eventi e ottenere una rilevazione attendibile, il toolkit di risposta non è stato progettato per fermare questo tipo di attacco. La maggior parte dei prodotti antivirus, endpoint ed EDR è stata progettata per bloccare URL malevoli noti, terminare processi locali malevoli noti e mettere in quarantena binari malevoli noti. Non per bloccare una macchina peer sulla rete locale che effettua scritture apparentemente legittime tramite una sessione autenticata valida.

Anche quando la telemetria esiste, una risposta basata sul cloud richiede trasmissione, correlazione, decisione e invio del comando di risposta all’endpoint. I vendor definiscono questo processo “near real-time”, e le architetture di streaming più veloci puntano a completare il ciclo in pochi secondi. Nella pratica, per molti prodotti e molti tipi di eventi, la latenza end-to-end si misura ancora in minuti. Nel frattempo, il ransomware moderno cifra a velocità elevatissima: decine di migliaia di file al minuto su un file server di medie dimensioni sono perfettamente alla portata degli attaccanti. Il multithreading parallelizza la cifratura su più core. La cifratura parziale – oggi scelta preferita dai modelli RaaS – corrompe solo una parte di ciascun file, sufficiente a renderlo inutilizzabile senza chiave ma abbastanza limitata da ridurre il traffico di rete necessario negli scenari remoti. La finestra temporale dell’attacco si misura in secondi, non in ore.

Il ransomware moderno è inoltre altamente configurabile. Gli affiliati che operano piattaforme ransomware-as-a-service come Qilin, RansomHub, Akira, Fog o Sinobi personalizzano ogni deployment tramite parametri da riga di comando che eliminano i segnali più visibili: --no-extension, --no-note, --no-local, --ips, --path. Altri parametri servono a eludere ulteriormente le difese: --password vincola l’esecuzione a una chiave fornita dall’attaccante, mentre --nomutex consente di eseguire più istanze in parallelo contro target remoti differenti. Tutto ciò riduce ulteriormente la visibilità per le soluzioni EDR.

Per questo gli attaccanti non hanno bisogno di ransomware innovativi per aggirare molte soluzioni EDR. È sufficiente distribuire da remoto una famiglia già esistente – builder LockBit trapelati, binari Conti o qualsiasi toolkit degli ultimi anni – da una singola macchina compromessa e non gestita. Questo basta ancora oggi a cifrare reti completamente aggiornate e protette, perché la maggior parte delle difese EDR non è progettata per fermare una cifratura proveniente da una sorgente che non può vedere.

Perché l’AI non cambia la matematica

L’AI abbassa la soglia d’ingresso nel ransomware. Persone che in precedenza non sarebbero state in grado di scrivere codice funzionante possono oggi generare cifratori operativi grazie all’assistenza dell’AI, ampliando il bacino di potenziali attaccanti da un ristretto gruppo di sviluppatori esperti a chiunque abbia intenzioni malevole e accesso a un LLM. È un cambiamento reale e da prendere sul serio.

Detto questo, è importante chiarire il contesto. L’AI sta trasformando altre fasi della catena d’attacco. Il phishing è più efficace. Gli attacchi alle identità sono più numerosi. Il social engineering è più convincente. L’accesso iniziale sta diventando più economico per gli attaccanti. Questo articolo però riguarda ciò che accade dopo che tali difese sono state superate, quando l’attaccante è già all’interno e la cifratura ha inizio. Ed è proprio a questo livello che l’AI non cambia il problema architetturale della difesa.

Ci sono tre aspetti facili da sottovalutare nel dibattito pubblico sul ransomware generato dall’AI.

Primo: l’AI cambia il codice, non l’obiettivo. Il ransomware esiste per trasformare testo leggibile in testo cifrato che la vittima non può recuperare senza pagare. Il ransomware reale utilizza prevalentemente crittografia a chiave pubblica/privata – RSA, ChaCha20, AES – per lo stesso motivo per cui la usano le banche: rappresenta la matematica dell’irreversibilità senza chiave. L’AI non inventa una crittografia migliore; utilizza quella che già funziona.

Secondo: il risultato della cifratura lascia impronte riconoscibili. Il testo cifrato è statisticamente distinguibile dai dati strutturati. Un normale documento Office ha una struttura prevedibile: intestazioni ZIP, schemi XML, pattern testuali ripetitivi. Una versione cifrata no. L’analisi matematica basata sul contenuto di CryptoGuard sfrutta proprio questa osservazione. Non ha bisogno di conoscere la variante o la famiglia ransomware. Deve semplicemente riconoscere come appare un file cifrato rispetto alla sua versione originale: una questione di matematica, non di threat intelligence.

Terzo: non è l’AI a rendere il problema del ransomware irrisolvibile per la maggior parte dei difensori. Ad oggi non esistono casi pubblicamente confermati di ransomware generato dall’AI in circolazione. Gli attaccanti non ne hanno bisogno. Possono prendere qualsiasi famiglia ransomware esistente ed eseguirla da remoto tramite una singola macchina compromessa e non gestita. Questo da solo basta a compromettere la maggior parte delle reti completamente patchate e protette, perché molte soluzioni EDR non sono progettate per fermare cifrature provenienti da sorgenti invisibili. Il problema architetturale esiste già.

Una domanda sorge spontanea: CryptoGuard utilizza a sua volta l’AI? No. L’analisi è matematica e deterministica. Non esiste alcun modello addestrato che debba essere riaddestrato man mano che il ransomware evolve, nessuna distribuzione di training data che possa introdurre bias e nessun input avversario capace di ingannare un classificatore inducendolo ad accettare testo cifrato come scrittura legittima. È proprio l’analisi matematica alla base di CryptoGuard a renderne possibile il rilevamento del ransomware.

Perché non si tratta di un semplice aggiornamento funzionale

Osservare l’attaccante e osservare i dati sono approcci radicalmente diversi, non semplici varianti della stessa tecnologia. Un vendor non può semplicemente aggiungere un’analisi matematica basata sul contenuto a una piattaforma EDR centrata sui processi tramite un aggiornamento di firme o una nuova regola comportamentale. Il rilevamento deve risiedere sotto il livello del processo, direttamente nel file system, con accesso alle operazioni di lettura e scrittura e con un meccanismo proprietario di journaling per il rollback.

La difficoltà non sta tanto nello sviluppo iniziale – con il team giusto un prototipo può essere creato in pochi mesi – quanto nella profonda conoscenza di Windows necessaria per far funzionare la soluzione in produzione su larga scala, insieme all’infrastruttura indispensabile per garantire compatibilità con le cifrature legittime senza creare problemi operativi. È un tipo di engineering su cui la maggior parte dei vendor di sicurezza non lavora. Richiede una mentalità diversa, competenze diverse ed esperienza sul campo che non si possono improvvisare.

Esiste anche una dimensione economica. Il ransomware-as-a-service è un business. Gli affiliati ottimizzano i propri binari contro i prodotti di sicurezza con la maggiore base installata, perché è lì che il ritorno sull’investimento è più elevato. Il playbook standard – binari firmati, iniezione in-process, abuso di driver, parametri configurabili – è calibrato per aggirare le difese standard. Una difesa basata su un concetto diverso non è dove gli attaccanti hanno concentrato il loro sviluppo. Non è un vantaggio permanente, ma è un vantaggio reale.

CryptoGuard inoltre non è un processo separato in esecuzione sulla macchina. È parte integrante del modo in cui il sistema operativo gestisce le scritture dei file. Non esiste quindi alcun agente che un EDR-killer possa terminare. Nel corso del 2024 e del 2025, gli operatori ransomware hanno utilizzato sempre più spesso driver vulnerabili ma firmati per terminare agenti di sicurezza e servizi di rilevamento in user mode prima dell’avvio della cifratura. La maggior parte degli strumenti prende di mira i processi. CryptoGuard non è un processo. Quando il resto dello stack cade, CryptoGuard continua a proteggere i dati. Si può perdere la telemetria. Non i file.

Il settore inizia ad ammetterlo

Nel corso del 2025, diversi importanti vendor endpoint hanno iniziato a riconoscere pubblicamente il problema del ransomware remoto, introducendo le prime contromisure. Un vendor ha dichiarato apertamente: “Il ransomware evolve rapidamente e gli attacchi di cifratura remota superano le difese legacy”. Un altro ha introdotto una funzione di rollback limitata a file di massimo 30 MB, escludendo così molti documenti aziendali tipicamente presi di mira dal ransomware.

Si tratta di riconoscimenti importanti rispetto a una tecnica contro cui Sophos protegge dal 2016. Le implementazioni contano meno del fatto stesso che il problema venga riconosciuto. Nella pratica, i nuovi livelli di protezione sono spesso disattivati di default, limitati a pattern statici di estensioni file – che il ransomware moderno evita specificamente – vincolati da limiti dimensionali o privi di funzionalità di rollback. Tutto questo conferma quanto sia difficile raggiungere l’obiettivo quando il motore sottostante è stato progettato per un problema differente.

Il costo di questo ritardo viene pagato dai clienti. Dal 2013 il ransomware ha colpito ospedali, scuole, produttori industriali, servizi pubblici e infrastrutture critiche quasi quotidianamente. Gli effetti sono spesso fisici: interventi chirurgici rimandati, trattamenti cancellati, linee produttive ferme, scuole chiuse. Nel 2025, un attacco di cifratura remota contro un provider aeronautico di terze parti ha bloccato i sistemi passeggeri e bagagli di importanti aeroporti europei, causando giorni di disservizi e lasciando a terra centinaia di migliaia di viaggiatori.

Domande da porsi

Quando si valuta una soluzione di difesa contro il ransomware, le domande davvero importanti sono pratiche.

• Il livello di protezione osserva i dati modificati o solo il processo che li modifica?
• Funziona anche quando il processo di cifratura si trova su una macchina diversa, priva di agente?
• Funziona quando il processo di cifratura è un processo legittimo con codice iniettato?
• La risposta avviene localmente e inline oppure dipende da un passaggio cloud?
• Recupera i file cifrati oppure si limita a fermare ulteriori cifrature?
• Può essere disabilitato da un EDR-killer che abbatte i servizi user-mode?
• Ha bloccato nuove famiglie ransomware senza aggiornamenti?
• È attivo di default?

La maggior parte dei vendor dirà di avere protezione ransomware. Sono queste domande a chiarire di quale tipo di protezione si tratti realmente.

La conclusione

Il ransomware non ha bisogno dell’AI per rappresentare un problema. Il problema è sempre lo stesso dal 2013: un attaccante danneggia i dati, chiede un pagamento e la maggior parte delle protezioni endpoint è progettata per individuare l’attaccante piuttosto che il danno. L’AI potrà rendere gli attaccanti più veloci, più economici e più numerosi. Ma non cambierà ciò che devono fare.

L’AI scrive il codice. Sophos osserva i dati. La matematica non cambia.

Per saperne di più su Sophos Endpoint e provarlo direttamente, visita sophos.com/endpoint