Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca
Parla Vanir Group! L’intervista di RHC agli ex affiliati di LockBit, Karakurt and Knight: “Assumete professionisti, non siate tirchi!”  ///    hai una start-up innovativa sulla cybersecurity? Candidati alla call!    ///  CVE-2024-4577: La Vulnerabilità PHP Sfruttata entro 24 Ore dalla Sua Scoperta  ///    scopri betti-rhc, il fumetto sul cybersecurity awareness    ///  Palo Alto Networks Risolve Vulnerabilità Critiche di Sicurezza: Aggiornamenti per CVE-2024-5910 e BlastRADIUS  ///    Scropri i corsi di Red Hot Cyber    ///  Il Mondo Ha Bisogno di Nuovi Muri! Come la Sicurezza Nazionale Sta Cambiando il Panorama Geopolitico Globale  ///    Iscriviti al nostro canale Whatsapp    ///  La National Security Agency degli Stati Uniti è stata violata? 325.498 nomi, email, numeri di telefono e indirizzi compromessi  ///    hai una start-up innovativa sulla cybersecurity? Candidati alla call!    ///  Meow Ransomware rivendica l’attacco nel suo Data Leak Site al colosso HPE  ///    scopri betti-rhc, il fumetto sul cybersecurity awareness    ///  Il Threat Actors 888 rivendicata una compromissione di Microsoft  ///    Scropri i corsi di Red Hot Cyber    ///  Il Threat Actors 888 rivendicata una compromissione di Nokia  ///    Iscriviti al nostro canale Whatsapp    ///  Due gravi vulnerabilità sono state rilevate su Citrix NetScaler Console, Agent e SVM  ///    hai una start-up innovativa sulla cybersecurity? Candidati alla call!    ///  L’exploit POC per l’RCE di VMware vCenter Server è ora disponibile Online!  ///  
Crowdstrike
Crowdstrike

BlackCat sta arrivando. E non lascia sperare a nulla di buono.

Redazione RHC : 8 Aprile 2022 18:48

Gli hacker delle bande criminali BlackMatter e REvil hanno lanciato un nuovo gruppo chiamato BlackCat, noto anche come ALPHV, che sta già attaccando attivamente le organizzazioni.

Secondo l’ultimo rapporto di Kaspersky Lab, il ransomware ha infettato “un gran numero di vittime aziendali”.

Il modo esatto in cui i ruoli sono distribuiti all’interno del nuovo gruppo, tra i suoi partner e altri servizi di criminalità informatica, è ancora sconosciuto, ha affermato Kurt Baumgartner, ricercatore senior sulla sicurezza di LK.

“Molto probabilmente, tutti gli attacchi BlackCat vengono effettuati da membri di entrambi i gruppi, che mantengono aggiornato il codice e il servizio, e i partner fanno il proprio lavoro. Alcuni lavori potrebbero anche essere delegati come broker o affiliati di altre fazioni”

ha spiegato Baumgartner.

Come hanno scoperto gli esperti di LK, BlackCat utilizza una versione modificata di uno strumento chiuso chiamato Fendr (la versione modificata si chiama ExMatter), che in precedenza era utilizzata solo da BlackMatter.

In particolare, questi nuovi “gatti neri” lo utilizzavano per estrarre dati dalle reti aziendali prima del dispiegamento del ransomware a dicembre 2021 e gennaio 2022.

Il raggruppamento è uno dei pochi che utilizza il popolare linguaggio di programmazione Rust, consentendogli di compilare rapidamente strumenti per più piattaforme. Con Rust, gli hacker possono rilasciare la stessa versione dello strumento per Windows e Linux (compilazione incrociata) ed eseguire controlli di sicurezza approfonditi per ridurre le vulnerabilità.

Scopriamo meglio i criminali di BlackCat

I ricercatori di sicurezza di Recorded Future e MalwareHunterTeam, intorno a fine del 2021, scoprirono un nuovo ceppo di ransomware chiamato ALPHV/BlackCat, coinvolto in precedenza in operazioni criminali con la famigerata cyber gang REvil (Sodinokibi).

Questo ransomware, è tecnicamente il terzo ceppo ad utilizzare il linguaggio Rust dopo la pubblicazione di un proof-of-concept che venne rilasciato su GitHub nel 2020 e un ceppo sperimentale, oramai defunto chiamato BadBeeTeam che venne osservato nello stesso anno.

ALPHV (BlackCat) è il primo ad essere creato e distribuito attraverso una cyber gang che opera in modello RaaS (Ransomware as a Service). Seguendo il modello di REvil, la gang pubblicizzò il suo programma di affiliazione all’interno dei forum clandestini di criminalità informatica (XSS e Exploit), invitando altri criminali ad unirsi e lanciare attacchi contro grandi aziende per estorcere denaro.

Coloro che si candidano, noti come “affiliati”, ricevono una versione del ransomware ALPHV (BlackCat) che possono utilizzare negli attacchi per poi spartire i proventi una volta arrivato il pagamento da parte dell’azienda violata.

Tra le funzionalità che pubblicizzano, c’è la possibilità di crittografare i dati su sistemi Windows, Linux e VMWare eSXI e la possibilità per gli “affiliati” di guadagnare tra l’80% e il 90% del riscatto finale, a seconda della somma totale che estraggono dalle vittime .

In sintonia con le tattiche della maggior parte delle principali operazioni di ransomware odierne, il gruppo si impegna anche in una doppia estorsione, in cui utilizzano i dati rubati per fare pressione sulle vittime affinché paghino, minacciando di far trapelare i dati rubati se non lo fanno.

Il gruppo sembra gestire più di un Data Leak Site (DLS), dove ognuno di questi ospita i dati di una o due vittime, con ALPHV (BlackCat) che ne crea uno nuovo da utilizzare in nuovi attacchi. Una teoria è che questi siti di fuga siano attualmente ospitati dagli stessi affiliati ALPHV (BlackCat), il che spiega i diversi URL di fuga dei dati.

Sebbene ci siano stati altri tentativi di creare ransomware in Rust, BlackCat è il primo a rappresentare una vera minaccia e di cui le aziende devono fare attenzione. In un tweet, Michael Gillespie (famoso analista di malware presso Emsisoft e autore di decine di utilità di decrittazione ransomware), descrisse BlackCat come un ransomware “molto sofisticato”.

Tuttavia, BlackCat non è l’unico RaaS professionale ad utilizzare Rust, dove tale linguaggio di programmazione è considerato molto più sicuro rispetto a C e C++.

Anche altri gruppi di criminalità informatica, come gli operatori di BuerLoader e FickerStealer , hanno fatto i primi passi nel 2021 verso l’implementazione delle versioni Rust dei loro strumenti.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.