--- title: "Attacco Ransomware: Come Abbiamo Ricostruito un'Infrastruttura VMware" description: "Case study reale: bonifica completa di un ambiente VMware dopo un attacco ransomware, ripristino dai backup e implementazione di un EDR moderno. Cosa abbiamo imparato." lang: it json-ld: | [ { "@context": "https://schema.org", "@type": "Article", "headline": "Dopo il ransomware: come abbiamo ricostruito da zero un'infrastruttura VMware e alzato le difese", "alternativeHeadline": "Attacco Ransomware: Come Abbiamo Ricostruito un'Infrastruttura VMware", "description": "Case study reale: bonifica completa di un ambiente VMware dopo un attacco ransomware, ripristino dai backup e implementazione di un EDR moderno.", "image": { "@type": "ImageObject", "url": "https://deltainfor.it/assets/blog/ripristino-ransomware-vmware-edr-hero.jpg", "width": 1200, "height": 630 }, "datePublished": "2026-08-24T08:00:00+02:00", "dateModified": "2026-08-24T08:00:00+02:00", "author": { "@type": "Organization", "name": "Delta Infor", "url": "https://deltainfor.it" }, "publisher": { "@type": "Organization", "name": "Delta Infor", "url": "https://deltainfor.it", "logo": { "@type": "ImageObject", "url": "https://deltainfor.it/og-image.jpg", "width": 600, "height": 60 } }, "mainEntityOfPage": { "@type": "WebPage", "@id": "https://deltainfor.it/blog/case-study-ripristino-ransomware-vmware-edr" }, "keywords": "ripristino ransomware VMware, bonifica ransomware, incident response, ripristino backup VMware, EDR, sicurezza dopo ransomware, recovery infrastruttura virtuale", "articleSection": "Cybersecurity", "inLanguage": "it-IT", "about": [ { "@type": "Thing", "name": "Ransomware", "sameAs": "https://it.wikipedia.org/wiki/Ransomware" }, { "@type": "Thing", "name": "Endpoint Detection and Response", "sameAs": "https://en.wikipedia.org/wiki/Endpoint_detection_and_response" }, { "@type": "Thing", "name": "VMware ESXi" }, { "@type": "Thing", "name": "Disaster recovery" } ], "audience": { "@type": "BusinessAudience", "audienceType": "PMI italiane, imprenditori, IT manager, responsabili sicurezza" } }, { "@context": "https://schema.org", "@type": "FAQPage", "mainEntity": [ { "@type": "Question", "name": "Cosa fare subito dopo un attacco ransomware?", "acceptedAnswer": { "@type": "Answer", "text": "La priorità è isolare i sistemi colpiti per fermare la propagazione, evitare di spegnere le macchine in modo incontrollato per non perdere informazioni utili all'analisi, e contattare tempestivamente un partner di incident response. In parallelo si verifica lo stato dei backup, che sono l'elemento che determina la possibilità di un ripristino senza pagare il riscatto." } }, { "@type": "Question", "name": "Si possono recuperare i dati dopo un attacco ransomware senza pagare il riscatto?", "acceptedAnswer": { "@type": "Answer", "text": "Sì, a condizione di disporre di backup integri e non compromessi dall'attacco. Nel caso descritto in questo articolo, l'azienda è stata riportata in piena operatività ricostruendo l'infrastruttura e ripristinando le macchine virtuali dai backup disponibili, senza cedere alla richiesta di riscatto. È il motivo per cui backup verificati e testati sono la misura di sicurezza più importante." } }, { "@type": "Question", "name": "Perché un antivirus tradizionale non basta contro il ransomware?", "acceptedAnswer": { "@type": "Answer", "text": "Un antivirus tradizionale riconosce prevalentemente minacce già note tramite firme. Il ransomware moderno è spesso progettato per non essere ancora catalogato e per muoversi lateralmente tra i sistemi prima di colpire. Servono quindi capacità di analisi comportamentale, rilevamento e risposta sugli endpoint (EDR) e contenimento automatico, assenti in un antivirus tradizionale." } }, { "@type": "Question", "name": "Cos'è un EDR e in cosa differisce da un antivirus?", "acceptedAnswer": { "@type": "Answer", "text": "EDR significa Endpoint Detection & Response. A differenza di un antivirus, che blocca minacce note, un EDR analizza il comportamento dei sistemi in tempo reale, rileva attività sospette anche se non catalogate, isola automaticamente gli endpoint compromessi e offre monitoraggio centralizzato e threat intelligence. È la differenza tra reagire alle minacce conosciute e riconoscere quelle nuove." } }, { "@type": "Question", "name": "Quanto tempo serve per ripristinare un'infrastruttura VMware dopo un ransomware?", "acceptedAnswer": { "@type": "Answer", "text": "Dipende dall'estensione del danno, dalla qualità dei backup e dalla complessità dell'infrastruttura. Il ripristino comprende la reinstallazione degli host ESXi, la riconfigurazione dello storage, il recupero dei datastore e il ripristino progressivo delle macchine virtuali dai backup, con verifiche di integrità a ogni passaggio. La disponibilità di backup integri è il fattore che incide di più sui tempi." } }, { "@type": "Question", "name": "Come si previene un attacco ransomware in azienda?", "acceptedAnswer": { "@type": "Answer", "text": "Con un approccio di sicurezza multilivello: autenticazione multifattore su tutti gli accessi, protezione EDR sugli endpoint, backup verificati e testati con procedure di disaster recovery, segmentazione della rete per limitare i movimenti laterali e monitoraggio continuo degli eventi di sicurezza. Nessuna singola misura è sufficiente da sola; è la combinazione a ridurre drasticamente il rischio." } } ] }, { "@context": "https://schema.org", "@type": "BreadcrumbList", "itemListElement": [ { "@type": "ListItem", "position": 1, "name": "Home", "item": "https://deltainfor.it" }, { "@type": "ListItem", "position": 2, "name": "Blog", "item": "https://deltainfor.it/blog" }, { "@type": "ListItem", "position": 3, "name": "Cybersecurity", "item": "https://deltainfor.it/blog" }, { "@type": "ListItem", "position": 4, "name": "Ripristino Ransomware VMware", "item": "https://deltainfor.it/blog/case-study-ripristino-ransomware-vmware-edr" } ] } ] --- [![Delta Infor - Information Technology](/assets/delta-logo-BsjoyT8Y.png) ](/)[![Foxwall](/assets/foxwall-logo-2-Cfp_qP83.png)](https://www.foxwall.it) [Home](/) - Servizi - Azienda [Blog](/blog)[Community](/community)[Security Check](https://assessment.deltainfor.it)[Supporto SOS](/supporto-remoto) [0371.427090](tel:+390371427090)[Contattaci](/contatti) 1. [Home](/) 2. [Blog](/blog) 3. [Cybersecurity](/blog) 4. Ripristino Ransomware VMware Cybersecurity / Case study # Dopo il ransomware: come abbiamo ricostruito da zero un'infrastruttura VMware e alzato le difese Case study reale di incident response: bonifica dell'ambiente VMware, ripristino dai backup e adozione di un EDR moderno. Pubblicato il 24 agosto 2026 Tempo di lettura: 8 minuti Cybersecurity ![Ricostruzione di un'infrastruttura VMware dopo un attacco ransomware](/__l5e/assets-v1/b030f1d3-dd01-4f10-a35d-7336843f5058/case-study-ripristino-ransomware-vmware-edr-hero.png) Un attacco ransomware non è mai solo un problema tecnico. È il momento in cui un'azienda scopre, tutta insieme, quanto dipende dalla propria infrastruttura IT — e quanto era esposta senza saperlo. In questo articolo raccontiamo un intervento di incident response che Delta Infor ha portato a termine di recente: la ricostruzione completa di un ambiente di virtualizzazione VMware compromesso da un ransomware, il ripristino dei servizi aziendali dai backup, e il percorso di rafforzamento della sicurezza avviato subito dopo per evitare che accadesse di nuovo. Lo raccontiamo, in forma anonima, perché è un caso da cui ogni PMI italiana può imparare qualcosa. Non per allarmare, ma per mostrare due cose concrete: che da un attacco ransomware si può tornare operativi, e che il vero lavoro comincia dopo il ripristino. ## Il punto di partenza: un ambiente cifrato Quando siamo intervenuti, la situazione era quella che nessun responsabile IT vorrebbe mai trovarsi davanti. Il ransomware aveva raggiunto il cuore dell'infrastruttura: l'ambiente di virtualizzazione. Nel dettaglio, l'attacco aveva prodotto: - la cifratura delle macchine virtuali ospitate sugli host VMware ESXi; - la compromissione dell'infrastruttura di virtualizzazione nel suo complesso; - la conseguente inaccessibilità dei servizi aziendali che su quelle macchine giravano. Quando un ransomware arriva a colpire gli host di virtualizzazione — e non solo i singoli PC — l'impatto è massimo: non si tratta di ripristinare un file server o qualche postazione, ma di ricostruire l'intera fondazione su cui poggia l'operatività dell'azienda. Dinamiche simili le abbiamo descritte anche parlando del [gruppo ransomware Qilin](/blog/ransomware-qilin-pmi-italia-come-proteggersi) e di come colpisce le PMI italiane. La strada, in questo caso, era una sola: ricostruire da zero, in modo pulito, e ripristinare i dati dai backup. ## Fase 1 — Reinstallazione completa degli host ESXi La prima regola dopo un attacco di questa portata è non fidarsi di nulla di ciò che è rimasto in piedi. Un host compromesso non si "ripulisce": si azzera e si ricostruisce. Gli host VMware ESXi interessati sono stati quindi completamente formattati e reinstallati da zero. Le attività hanno incluso la formattazione degli host compromessi, l'installazione ex novo di VMware ESXi, la configurazione della rete di management, la ricostruzione della configurazione storage e la verifica della corretta operatività delle interfacce fisiche di rete. È un lavoro metodico, in cui ogni passaggio va verificato prima di procedere al successivo. Saltare un controllo, in questa fase, significa rischiare di ricostruire sopra una base ancora fragile. ## Fase 2 — Ricostruzione della connettività SAN iSCSI L'infrastruttura si appoggiava a una SAN (Storage Area Network) con datastore condiviso, presentato agli host tramite protocollo iSCSI. Con gli host reinstallati da zero, tutta la configurazione di collegamento verso lo storage era da ricreare. Sono state quindi ricostruite tutte le configurazioni necessarie a ristabilire la connettività tra gli host ESXi e il sistema di storage. È in questa fase che è emerso un dettaglio tecnico rivelatosi decisivo: una specifica configurazione VLAN era necessaria per consentire la corretta comunicazione tra gli host e lo storage. Individuarla ha permesso di sbloccare il ripristino dei datastore condivisi — un esempio di come, nell'incident response, il troubleshooting accurato faccia spesso la differenza tra un ripristino riuscito e uno bloccato a metà. ## Fase 3 — Ripristino dei datastore condivisi Ristabilita la connettività iSCSI, gli host ESXi hanno rilevato correttamente il datastore condiviso presente sullo storage. È stato effettuato il mount del datastore esistente, mantenendone la firma originale — un passaggio che consente di recuperare la struttura dei dati senza doverla ricreare da capo. A questo punto, la fondazione era di nuovo solida: host puliti, storage collegato, datastore accessibili. Restava la parte più attesa dal cliente: riportare in vita i servizi. ## Fase 4 — Ripristino delle macchine virtuali dai backup Qui si è giocata la partita più importante, ed è anche il punto in cui la storia poteva finire molto peggio. Perché un ripristino è possibile solo se i backup esistono, sono integri e non sono stati anch'essi cifrati dall'attacco. Il ripristino è avvenuto tramite la soluzione di backup presente nell'infrastruttura. Le attività hanno previsto la registrazione dei nuovi host, la ricostruzione dell'ambiente di virtualizzazione, il ripristino delle macchine virtuali dai backup disponibili, la verifica di integrità dei sistemi ripristinati e la riattivazione progressiva dei servizi aziendali. "Progressiva" è la parola chiave: i servizi non sono stati riaccesi tutti insieme, ma in sequenza controllata, verificando a ogni passo che il sistema ripristinato fosse integro e sicuro prima di rimetterlo in produzione. Il risultato: infrastruttura ricostruita, dati recuperati, azienda di nuovo operativa. ## La lezione più importante: il ripristino non è la fine Se la storia si fermasse qui, sarebbe un buon racconto di recovery tecnico. Ma la parte più preziosa, per qualsiasi PMI che legga questo articolo, viene adesso. Durante l'analisi post-incidente è emerso il motivo per cui l'attacco aveva potuto propagarsi così in profondità. L'azienda disponeva di un antivirus tradizionale, correttamente installato e funzionante. Il problema è che un antivirus tradizionale, da solo, non è più sufficiente contro le tecniche di attacco moderne. Mancavano infatti le capacità che oggi fanno la differenza: - **EDR (Endpoint Detection & Response)**: la capacità di rilevare comportamenti sospetti, non solo file malevoli noti; - analisi comportamentale avanzata, che riconosce un attacco da come si muove, non da una firma nota; - contenimento automatico delle minacce e isolamento immediato degli endpoint compromessi, per fermare la propagazione; - threat hunting, la ricerca attiva di minacce che si nascondono nell'ambiente. Un antivirus tradizionale riconosce ciò che già conosce. Un ransomware moderno, spesso, è progettato proprio per non essere ancora conosciuto — e per muoversi lateralmente da un sistema all'altro prima di colpire. È in quello spazio che l'attacco ha trovato terreno libero. ## Il rafforzamento: l'adozione di un EDR moderno Contestualmente al ripristino, abbiamo avviato con il cliente un percorso di rafforzamento della sicurezza, partendo dall'elemento più urgente: la protezione degli endpoint. Sono stati installati e configurati gli agenti di una piattaforma EDR (Endpoint Detection & Response) di nuova generazione, che introduce funzionalità assenti nell'antivirus precedente: rilevamento e risposta sugli endpoint, analisi comportamentale in tempo reale, rilevamento specifico delle attività riconducibili al ransomware, isolamento immediato degli endpoint compromessi, monitoraggio centralizzato e threat intelligence avanzata. La differenza pratica è sostanziale: dove prima l'infrastruttura poteva solo bloccare minacce già catalogate, oggi è in grado di riconoscere un attacco dal suo comportamento e di contenerlo automaticamente prima che si propaghi. ## Le cinque misure che ogni PMI dovrebbe considerare L'incidente ha reso evidente un principio che vale ben oltre questo singolo caso: la sicurezza informatica efficace è multilivello. Non esiste un singolo prodotto che protegga da tutto; esiste una combinazione di misure che, insieme, riducono drasticamente il rischio. Sulla base di questo intervento, ecco le raccomandazioni che estendiamo a qualsiasi PMI. ### 1\. Autenticazione multifattore (MFA) L'assenza di MFA è oggi uno dei principali vettori di compromissione degli account aziendali. Va abilitata su posta elettronica, accessi VPN, pannelli amministrativi, portali cloud e servizi Microsoft 365. È la misura con il miglior rapporto tra costo (quasi nullo) ed efficacia. ### 2\. Protezione EDR sugli endpoint Server, workstation e sistemi critici dovrebbero essere protetti da una soluzione EDR, non solo da un antivirus tradizionale. È la differenza tra reagire alle minacce note e riconoscere quelle nuove. ### 3\. Backup verificati e testati Avere i backup non basta: vanno verificati periodicamente, e le procedure di disaster recovery vanno testate con ripristini reali. In questo caso, i backup hanno salvato l'azienda. Non è un dettaglio da dare per scontato — un backup mai testato è una promessa, non una garanzia. ### 4\. Segmentazione della rete Separare in VLAN dedicate i servizi critici, la rete server e la rete storage limita i movimenti laterali dell'attaccante. Anche se un ransomware entra, una rete segmentata gli impedisce di raggiungere tutto. ### 5\. Monitoraggio continuo La visibilità sugli eventi di sicurezza permette di accorgersi di un attacco mentre è in corso, non dopo. È ciò che trasforma un potenziale disastro in un incidente contenuto. Molte di queste misure si intrecciano con i temi che abbiamo affrontato in altri articoli, dalla [differenza tra cloud security e cybersecurity](/blog/cloud-security-vs-cybersecurity-differenze) agli adempimenti richiesti dalla [normativa NIS2](/blog/nis2-pmi-scadenze-giugno-ottobre-2026): non sono argomenti separati, ma parti dello stesso approccio alla sicurezza. Per approfondire le buone pratiche a livello nazionale è utile anche il sito dell'[Agenzia per la Cybersicurezza Nazionale](https://www.acn.gov.it). ### Scarica la checklist di sicurezza anti-ransomware Le cinque misure di questo articolo, tradotte in una checklist operativa da applicare in azienda. Richiedila e te la inviamo via email. [Richiedi la checklist](/contatti) ## Conclusione: da un attacco si può uscire più forti Questo intervento racconta due storie in una. La prima è tecnica: un'infrastruttura VMware compromessa dal ransomware è stata ricostruita completamente — reinstallazione degli host ESXi, riconfigurazione della SAN iSCSI, ripristino dei datastore e recupero delle macchine virtuali dai backup. L'azienda è tornata operativa. La seconda storia è più importante: lo stesso incidente è diventato l'occasione per portare la sicurezza dell'azienda a un livello che prima non aveva. Un EDR moderno al posto del solo antivirus, e un percorso verso MFA, segmentazione di rete e monitoraggio avanzato. L'azienda che è uscita da questo incidente è più protetta di quella che vi è entrata. È il messaggio che ci teniamo a lasciare: un attacco ransomware è un evento grave, ma non è la fine. Con le competenze giuste e un piano lucido, si torna operativi — e si può trasformare il momento peggiore in un punto di svolta per la sicurezza aziendale. ## Domande frequenti ### Cosa fare subito dopo un attacco ransomware? La priorità è isolare i sistemi colpiti per fermare la propagazione, evitare di spegnere le macchine in modo incontrollato per non perdere informazioni utili all'analisi, e contattare tempestivamente un partner di incident response. In parallelo si verifica lo stato dei backup, che sono l'elemento che determina la possibilità di un ripristino senza pagare il riscatto. ### Si possono recuperare i dati dopo un attacco ransomware senza pagare il riscatto? Sì, a condizione di disporre di backup integri e non compromessi dall'attacco. Nel caso descritto in questo articolo, l'azienda è stata riportata in piena operatività ricostruendo l'infrastruttura e ripristinando le macchine virtuali dai backup disponibili, senza cedere alla richiesta di riscatto. È il motivo per cui backup verificati e testati sono la misura di sicurezza più importante. ### Perché un antivirus tradizionale non basta contro il ransomware? Un antivirus tradizionale riconosce prevalentemente minacce già note tramite firme. Il ransomware moderno è spesso progettato per non essere ancora catalogato e per muoversi lateralmente tra i sistemi prima di colpire. Servono quindi capacità di analisi comportamentale, rilevamento e risposta sugli endpoint (EDR) e contenimento automatico, assenti in un antivirus tradizionale. ### Cos'è un EDR e in cosa differisce da un antivirus? EDR significa Endpoint Detection & Response. A differenza di un antivirus, che blocca minacce note, un EDR analizza il comportamento dei sistemi in tempo reale, rileva attività sospette anche se non catalogate, isola automaticamente gli endpoint compromessi e offre monitoraggio centralizzato e threat intelligence. È la differenza tra reagire alle minacce conosciute e riconoscere quelle nuove. ### Quanto tempo serve per ripristinare un'infrastruttura VMware dopo un ransomware? Dipende dall'estensione del danno, dalla qualità dei backup e dalla complessità dell'infrastruttura. Il ripristino comprende la reinstallazione degli host ESXi, la riconfigurazione dello storage, il recupero dei datastore e il ripristino progressivo delle macchine virtuali dai backup, con verifiche di integrità a ogni passaggio. La disponibilità di backup integri è il fattore che incide di più sui tempi. ### Come si previene un attacco ransomware in azienda? Con un approccio di sicurezza multilivello: autenticazione multifattore su tutti gli accessi, protezione EDR sugli endpoint, backup verificati e testati con procedure di disaster recovery, segmentazione della rete per limitare i movimenti laterali e monitoraggio continuo degli eventi di sicurezza. Nessuna singola misura è sufficiente da sola; è la combinazione a ridurre drasticamente il rischio. La tua azienda saprebbe rialzarsi da un attacco simile? Delta Infor affianca le PMI sia nella risposta agli incidenti sia, soprattutto, nella prevenzione: valutiamo il livello di protezione attuale, identifichiamo le vulnerabilità e costruiamo una strategia di sicurezza multilivello adatta alla tua realtà. [Richiedi una valutazione di sicurezza](/contatti) ## Continua a leggere [Cybersecurity Allarme ransomware Qilin: cosa devono fare subito le PMI italiane ](/blog/ransomware-qilin-pmi-italia-come-proteggersi)[Cybersecurity NIS2 e PMI italiane: cosa scade il 30 giugno 2026 e cosa fare entro ottobre ](/blog/nis2-pmi-scadenze-giugno-ottobre-2026)[Cybersecurity Cloud security o cybersecurity: qual è la differenza ](/blog/cloud-security-vs-cybersecurity-differenze) [Torna al Blog](/blog) Indice dei contenuti - [Il punto di partenza: un ambiente cifrato](#punto-di-partenza) - [Fase 1 — Reinstallazione degli host ESXi](#fase-1) - [Fase 2 — Ricostruzione della SAN iSCSI](#fase-2) - [Fase 3 — Ripristino dei datastore condivisi](#fase-3) - [Fase 4 — Ripristino delle macchine virtuali](#fase-4) - [La lezione: il ripristino non è la fine](#lezione) - [Il rafforzamento: l'adozione di un EDR moderno](#edr) - [Le cinque misure per ogni PMI](#cinque-misure) - [Conclusione](#conclusione) - [Domande frequenti](#faq) ![Delta Infor](/assets/delta-logo-BsjoyT8Y.png) Partner tecnologico per la digital transformation aziendale. Soluzioni IT avanzate dal 1995. [](https://it.linkedin.com/company/delta-infor-srl)[](https://www.facebook.com/deltainforsrl)[](https://www.instagram.com/delta.infor) ### Servizi - [Security Assessment](/security-assessment) - [Infrastrutture IT Sicure](/infrastrutture-sicure) - [Security Operations](/security-operations) - [Compliance & Governance](/compliance-governance) - [Incident Response](/incident-response) - [Business Continuity](/business-continuity) - [Security Awareness](/security-awareness) ### Dove operiamo - [Assistenza Informatica Lodi](/assistenza-informatica-lodi) - [Assistenza Informatica Monza Brianza](/assistenza-informatica-monza-brianza) ### Link Utili - [Blog](/blog) - [Community](/community) - [Contatti](/contatti) - [Supporto Remoto](/supporto-remoto) ### Contatti - [0371.42.70.90](tel:+390371427090) - [info@deltainfor.it](mailto:info@deltainfor.it) - Via Codognino, 4 26854 Cornegliano Laudense (LO) © 2026 Delta Infor. Tutti i diritti riservati. | P.IVA IT06075650967 [Privacy Policy](/privacy)[Cookie Policy](/cookie) ![Delta Infor](/assets/delta-infor-logo-PobhqqLm.png) ### La tua privacy è importante Utilizziamo cookie tecnici necessari al funzionamento del sito e, previo tuo consenso, cookie analitici per migliorare la tua esperienza. Per maggiori informazioni consulta la nostra [Cookie Policy](/cookie) e l'[Informativa Privacy](/privacy). Personalizza le preferenze Cookie Necessari Sempre attivi Essenziali per il funzionamento del sito. Includono autenticazione, sessione e preferenze cookie. Non possono essere disattivati. Cookie Analitici Google Analytics Ci aiutano a capire come i visitatori interagiscono con il sito tramite Google Analytics. I dati sono raccolti in forma anonima con IP anonimizzato. Cookie di Marketing Non attivi Utilizzati per mostrare annunci e contenuti pertinenti ai tuoi interessi. Al momento non sono attivi ma potranno essere introdotti in futuro. Rifiuta tuttiAccetta tutti