# SEV-1 INC-2024-047 - Tentativo Ransomware

⏰ Scadenza Notifica CSIRT
Preallarme da inviare entro: 2024-03-07 08:15 (rimangono 18 ore)
Notifica completa da inviare entro: 2024-03-09 08:15 (72 ore)
Data/Ora Rilevazione
2024-03-06 08:15
Stato Attuale
Contenuto
Severità
SEV-1 Critico
Classificazione NIS2
IS-2
Responsabile
CISO
Team Attivo
Crisis Team
✓
Rilevazione
✓
Triage
3
Contenimento
4
Eradicazione
5
Ripristino
6
Lesson Learned
TTD (Time to Detect)
0.5h
TTC (Time to Contain)
2.2h
Tempo Gestione
26h 45m
Sistemi Impattati
3
Utenti Impattati
45
Azioni Registrate
18
Panoramica Incidente ?
HELP DELLA SEZIONE
Riepilogo completo dell'incidente con informazioni chiave, classificazione, impatto e stato corrente della gestione.

### Descrizione

Alle ore 08:15 del 06/03/2024, l'EDR ha rilevato un tentativo di esecuzione di ransomware sul server ERP-PROD-01 (HW-SRV-001). Il malware è stato identificato come variante di BlackCat/ALPHV. L'EDR ha bloccato automaticamente l'esecuzione e messo in quarantena il file malevolo. Il server è stato immediatamente isolato dalla rete come misura precauzionale.
L'analisi preliminare indica che il vettore di ingresso è stato un allegato email di phishing ricevuto da un account utente amministrativo. Le credenziali dell'utente erano state precedentemente compromesse in un attacco di credential stuffing.

### Classificazione e Impatto

Parametro | Valore
--- | ---
Severità | SEV-1 Critico
Classificazione NIS2 | IS-2 - Impatto su integrità/riservatezza dati
Categoria MITRE ATT&CK | Impact (Ransomware)
Vettore di Attacco | Phishing → Credential Compromise → Ransomware
Impatto | Disponibilità Integrità
Root Cause | Credenziali compromesse + Phishing
Notifica CSIRT | ⏳ Preallarme da inviare
Notifica Garante Privacy | ❌ Non richiesta (nessun dato esfiltrato)

### Sistemi e Servizi Impattati

Codice Asset | Tipo | Nome | Stato | Azioni
--- | --- | --- | --- | ---
HW-SRV-001 | Server Fisico | ERP-PROD-01 | 🔒 Isolato | Sistema primario compromesso
SW-ERP-001 | Applicazione | SAP ERP | ⏸️ Offline | Servizio interrotto preventivamente
HW-SRV-002 | Server Backup | ERP-BACKUP-01 | ✅ Integro | Backup immutabile verificato

Timeline Completa Azioni ?
HELP DELLA SEZIONE
Registro cronologico completo di tutte le azioni effettuate durante la gestione dell'incidente. Ogni azione è tracciata con timestamp, responsabile e dettagli.
2024-03-06 08:15:23
🚨 INCIDENTE RILEVATO
EDR ha rilevato tentativo esecuzione ransomware BlackCat/ALPHV su server ERP-PROD-01. File malevolo bloccato e messo in quarantena automaticamente.
Sistema EDR (Automatico)
2024-03-06 08:17:45
Alert SOC
Analista SOC riceve alert critico e avvia procedura incident response SEV-1.
Analista SOC - M. Bianchi
2024-03-06 08:22:10
CONTENIMENTO IMMEDIATO
Server ERP-PROD-01 isolato dalla rete. Tutte le connessioni di rete disabilitate. Servizio ERP offline preventivamente.
System Admin - G. Rossi
2024-03-06 08:25:00
Escalation Crisis Team
CISO notificato. Crisis Team attivato. Convocata call di emergenza.
SOC Lead - L. Verdi
2024-03-06 08:35:12
Preservazione Evidenze
Creato snapshot completo del server. Dump memoria RAM acquisito. Log di sistema e EDR copiati su storage forense.
Forensics Team - A. Neri
2024-03-06 09:10:30
Analisi Vettore di Attacco
Identificato vettore: email phishing ricevuta da utente admin (m.ferrari@azienda.it) alle 07:45. Allegato ZIP contenente payload ransomware. Credenziali utente compromesse in precedente attacco credential stuffing (non rilevato).
CISO - P. Lombardi
2024-03-06 09:30:00
Blocco Account Compromesso
Account m.ferrari@azienda.it disabilitato. Tutte le sessioni attive revocate. Reset password forzato. MFA abilitato obbligatoriamente.
System Admin - G. Rossi
2024-03-06 10:15:00
Verifica Estensione Compromissione
Scansione completa rete aziendale. Nessun altro sistema compromesso rilevato. Malware non si è propagato. Contenimento efficace.
SOC Team
2024-03-06 10:45:00
✅ CONTENIMENTO CONFERMATO
Minaccia contenuta con successo. Nessuna crittografia dati avvenuta. Nessuna esfiltrazione rilevata. Incidente limitato a singolo server.
TTC (Time to Contain): 2.2 ore
CISO - P. Lombardi
2024-03-06 11:30:00
Comunicazione Interna
Direzione informata. Responsabili Divisione notificati. Comunicazione a utenti: servizio ERP temporaneamente offline per manutenzione straordinaria.
CISO - P. Lombardi
2024-03-06 14:30:00
📡 Preallarme CSIRT Preparato
Documentazione preallarme CSIRT Italia completata. In attesa approvazione Direzione per invio.
CISO - P. Lombardi
2024-03-06 16:00:00
Analisi Forense Preliminare
Identificato malware: BlackCat/ALPHV variant 2.0. IoC estratti e condivisi con CSIRT. Nessun dato esfiltrato confermato. Tentativo crittografia bloccato in fase iniziale.
Forensics Team - A. Neri
2024-03-07 09:00:00
Inizio Eradicazione
Avviata rimozione completa malware. Pulizia sistema. Verifica assenza persistenza. Pianificazione ripristino da backup immutabile.
System Admin - G. Rossi
Sistemi e Dati Impattati ?
HELP DELLA SEZIONE
Dettaglio completo di tutti i sistemi, asset, dati e servizi coinvolti nell'incidente. Include valutazione impatto e stato corrente.

### Asset Impattati

Codice | Tipo | Nome/Descrizione | Rilevanza NIS2 | Punteggio | Stato | Impatto
--- | --- | --- | --- | --- | --- | ---
HW-SRV-001 | Server Fisico | ERP-PROD-01 - Server ERP Principale | SI | 91 | 🔒 Isolato | Compromissione tentata, bloccata da EDR
SW-ERP-001 | Applicazione | SAP ERP Sistema Gestionale | SI | 88 | ⏸️ Offline | Servizio interrotto preventivamente
ACC-ADMIN-042 | Account Utente | m.ferrari@azienda.it (Admin) | - | - | 🚫 Disabilitato | Credenziali compromesse, vettore iniziale

### Dati Coinvolti

Tipologia Dati | Classificazione | Volume Stimato | Stato | Note
--- | --- | --- | --- | ---
Dati Aziendali ERP | Critico | ~2.5 TB | ✅ Integri | Nessuna crittografia avvenuta, backup verificato
Dati Personali Dipendenti | Riservato | ~450 record | ✅ Integri | Nessuna esfiltrazione rilevata
Credenziali Utente | Riservato | 1 account | ❌ Compromesso | Account disabilitato, password reset forzato

### Servizi Impattati

Codice Servizio | Nome Servizio | Rilevanza NIS2 | Stato | Utenti Impattati | Downtime
--- | --- | --- | --- | --- | ---
SRV-ERP-001 | Sistema Gestionale ERP | SI | ⏸️ Offline | 45 utenti interni | 26h 45m (in corso)
SRV-FIN-001 | Modulo Finanziario | SI | ⏸️ Offline | 12 utenti interni | 26h 45m (in corso)

Azioni di Contenimento ed Eradicazione ?
HELP DELLA SEZIONE
Documentazione completa delle azioni di contenimento immediato e eradicazione della minaccia. Include checklist, evidenze e verifiche effettuate.
✅ Contenimento Completato
Minaccia contenuta con successo in 2.2 ore dalla rilevazione. Nessuna crittografia dati avvenuta. Nessuna esfiltrazione rilevata. Incidente limitato a singolo server. Attualmente in fase di eradicazione.

### Checklist Contenimento Immediato

Stato | Azione | Timestamp | Responsabile | Note
--- | --- | --- | --- | ---
✅ | Sistema compromesso isolato dalla rete | 2024-03-06 08:22 | G. Rossi | Tutte le interfacce di rete disabilitate
✅ | Account compromessi bloccati | 2024-03-06 09:30 | G. Rossi | Account m.ferrari@azienda.it disabilitato
✅ | IP/domini malevoli bloccati su firewall | 2024-03-06 09:45 | L. Verdi | 3 IP C2 bloccati, 2 domini in blacklist
✅ | Evidenze preservate | 2024-03-06 08:35 | A. Neri | Snapshot, dump RAM, log acquisiti
✅ | Monitoraggio intensivo attivato | 2024-03-06 10:00 | SOC Team | Scansione completa rete, nessun altro sistema compromesso
✅ | Crisis Team notificato | 2024-03-06 08:25 | L. Verdi | Call emergenza convocata, CISO e Direzione informati
✅ | Direzione informata | 2024-03-06 11:30 | P. Lombardi | Report completo fornito a CdA

### Eradicazione in Corso

2024-03-07 09:00
System Admin - G. Rossi
Rimozione Malware
File malevolo rimosso da quarantena EDR. Scansione completa filesystem con 3 antimalware diversi. Nessun residuo rilevato. Verifica hash file sistema contro baseline.
2024-03-07 11:30
Forensics Team - A. Neri
Verifica Assenza Persistenza
Analisi chiavi registro, task schedulati, servizi, startup. Nessun meccanismo di persistenza rilevato. Malware non ha avuto tempo di installarsi prima del blocco EDR.
2024-03-07 14:00
System Admin - G. Rossi
Hardening Sistema
Applicati ultimi security patch. Configurazione hardened secondo baseline CIS. Disabilitati protocolli legacy. Abilitato logging avanzato. Configurazione EDR rafforzata con regole custom anti-ransomware.
⏳ Prossima Fase: Ripristino
Completata eradicazione. Sistema pronto per ripristino. Pianificato ripristino da backup immutabile verificato.
Comunicazioni e Notifiche ?
HELP DELLA SEZIONE
Registro completo di tutte le comunicazioni effettuate: interne, CSIRT, Garante Privacy, utenti, fornitori. Include tracking scadenze notifiche obbligatorie.

### Notifiche Obbligatorie

Destinatario | Tipo Notifica | Scadenza | Stato | Azioni
--- | --- | --- | --- | ---
CSIRT Italia | Preallarme (24h) | 2024-03-07 08:15 | ⏳ Da inviare (18h rimaste) |
CSIRT Italia | Notifica Completa (72h) | 2024-03-09 08:15 | ⏸️ In attesa preallarme | -
CSIRT Italia | Relazione Finale (1 mese) | 2024-04-09 | ⏸️ In attesa notifica completa | -
Garante Privacy | Data Breach (72h) | - | ✅ Non richiesta | Nessun dato personale esfiltrato

### Comunicazioni Interne

2024-03-06 08:25
CISO → Crisis Team
Attivazione Crisis Team
Email + call di emergenza. Convocati: CISO, Direzione, Responsabili IT, Legale, Comunicazione. Briefing situazione e attivazione procedura SEV-1.
2024-03-06 11:30
CISO → Direzione
Report Direzione
Report completo incidente fornito a CdA. Situazione sotto controllo, minaccia contenuta, nessun danno permanente. Servizio ERP offline preventivamente, ripristino pianificato entro 48h.
2024-03-06 12:00
Comunicazione → Utenti Interni
Comunicazione Utenti
Email a tutti gli utenti ERP: "Servizio ERP temporaneamente offline per manutenzione straordinaria urgente. Previsto ripristino entro 48 ore. Ci scusiamo per il disagio."

### Comunicazioni Esterne

Nessuna comunicazione esterna necessaria. Incidente contenuto internamente senza impatto su clienti o partner.

Evidenze e Documentazione Forense ?
HELP DELLA SEZIONE
Raccolta e catalogazione di tutte le evidenze forensi acquisite durante l'incidente. Include file, log, snapshot, IoC e analisi tecniche.

### Evidenze Acquisite

Tipo Evidenza | Descrizione | Data/Ora Acquisizione | Hash SHA-256 | Dimensione | Azioni
--- | --- | --- | --- | --- | ---
Snapshot VM | Snapshot completo server ERP-PROD-01 | 2024-03-06 08:35 | `a3f5...8d2c` | 2.5 TB |
Memory Dump | Dump RAM completo | 2024-03-06 08:40 | `b7e2...4f1a` | 32 GB |
Malware Sample | File ransomware in quarantena | 2024-03-06 08:15 | `c9d4...7e3b` | 2.4 MB |
Log EDR | Log completi EDR 06/03 07:00-10:00 | 2024-03-06 10:00 | `d1a8...9c5f` | 450 MB |
Log Sistema | Event Log Windows ERP-PROD-01 | 2024-03-06 10:00 | `e2b9...1d6a` | 120 MB |
Email Phishing | Email originale con allegato malevolo | 2024-03-06 09:15 | `f3c1...2e7d` | 3.2 MB |

### Indicatori di Compromissione (IoC)

Tipo IoC | Valore | Descrizione | Azioni
--- | --- | --- | ---
File Hash | `c9d4a7e3b2f1...` | Hash SHA-256 file ransomware |
IP C2 | `185.220.101.47` | Server Command & Control |
IP C2 | `91.219.236.232` | Server Command & Control (backup) |
Dominio | `blackcat-ransom[.]onion` | Portale pagamento riscatto |
Email | `invoice@fake-supplier[.]com` | Mittente email phishing |

### Analisi Forense

2024-03-06 16:00
Forensics Team - A. Neri
Report Analisi Malware
Famiglia: BlackCat/ALPHV
Variante: 2.0 (Rust-based)
Comportamento: Ransomware con doppia estorsione (crittografia + esfiltrazione)
Vettore: Dropper via email phishing
Persistenza: Non installata (bloccato in fase iniziale)
Comunicazione C2: Tentata ma bloccata da firewall
Crittografia: Non avvenuta (EDR ha bloccato prima dell'esecuzione)
Esfiltrazione: Non rilevata
Conclusione: Attacco bloccato in fase molto precoce. Nessun danno effettivo. EDR efficace nel contenimento. Credenziali compromesse erano il punto debole.
📤 Condivisione IoC
Gli indicatori di compromissione sono stati condivisi con CSIRT Italia per supportare la threat intelligence nazionale. IoC inseriti in blacklist firewall e SIEM.