Red Hot Cyber
Sicurezza Informatica, Notizie su Cybercrime e Analisi Vulnerabilità
Come avevamo riportato questa mattina, eravamo in attesa della pubblicazione dei dati del comune di Gorizia sul data leak site (DLS) della cyber gang LockBit e come da countdown avviato circa 2 settimane fa, i dati sono stati pubblicati online.
LockBit, nella pubblicazione del 5 settembre, aveva reso disponibili dei samples, che mostravano il contenuto delle directory in possesso dei criminali informatici, dati esfiltrati dall’interno delle infrastrutture IT del comune.
I dati in questione erano veramente tanti, anche se non veniva specificata ne la loro dimensione e ne la quantità di denaro richiesta come riscatto.
Ora LockBit pubblica i dati e in questo articolo analizzeremo il loro contenuto.
Ricordiamo a tutti che l’accesso alla rete onion e al download dei dati (attraverso TOR Browser) è praticabile da chiunque, anche se non dotato di particolari competenze in materia. Ciò significa che tali dati sono accessibili da qualsiasi persona che sappia normalmente utilizzare un PC.
Accedendo al data leak site (DLS) di Lockbit, ci troviamo di fronte alla consueta interfaccia di “directory listing” dove viene riportata l’alberatura dei dati esfiltrati in questo caso dal Comune di Gorizia.
Andando ad analizzare i dati, possiamo sintetizzare di aver visto:
I dati sono veramente moltissimi, pertanto la nostra analisi non è stata particolarmente approfondita. Stiamo parlando infatti di 268.000 files per un totale di 53 GB di dati liberamente visionabili e scaricabili dal sito di LockBit.
Insomma, si parla di veramente tanti dati che fanno comprendere con precisione il funzionamento interno del Comune di Gorizia.
LockBit è una cyber gang criminale che adotta il modello ransomware-as-a-service (RaaS), anche se la sua struttura presenta variazioni che la differenziano da un tipico modello di affiliazione.
LockBit ransomware è un malware progettato per bloccare l’accesso degli utenti ai sistemi informatici in cambio di un pagamento di riscatto. Questo ransomware viene utilizzato per attacchi altamente mirati contro aziende e altre organizzazioni e gli “affiliati” di LockBit, hanno lasciato il segno minacciando le organizzazioni di tutto il mondo di ogni ordine e grado.
Si tratta del modello ransomware-as-a-service (RaaS) dove gli affiliati depositano del denaro per l’uso di attacchi personalizzati su commissione e traggono profitto da un quadro di affiliazione. I pagamenti del riscatto sono divisi tra il team di sviluppatori LockBit e gli affiliati attaccanti, che ricevono fino a ¾ dei fondi del riscatto.
E’ considerato da molte autorità parte della famiglia di malware “LockerGoga & MegaCortex”. Ciò significa semplicemente che condivide i comportamenti con queste forme consolidate di ransomware mirato ed ha il potere di auto-propagarsi una volta eseguito all’interno di una rete informatica.
LockBit è una cyber gang che restite da molto tempo nel mercato delle affiliazioni RaaS rinnovandosi costantemente. Ha iniziato le sue operazioni a settembre 2019 chiamandosi ABCD per poi cambiare il suo nome in Lockbit. Successivamente il marchio è stato rinominato in LockBit 2.0 apportando diverse novità e a giugno 2021, sono stati apportati dei cambiamenti introducendo la piattaforma Lockbit 3.0.
LockBit 3.0 introduce diverse novità, come una piattaforma di bug-hunting relativa alle infrastrutture utilizzate dalla gang, l’acquisto di criptovaluta, una nuova sezione per gli affiliati e ulteriori modi per monetizzare che possono essere sintetizzate in:
Ovviamente il costo per ogni tipologia di “servizio” è differente e si può pagare in Bitcoin o in Monero.
Lockbit, ha già colpito numerose organizzazioni sia pubbliche che private in Italia, in tutte e tre le varianti ransomware rilevate. Facendo riferimento alle organizzazioni private delle quali abbiamo parlato su Red Hot Cyber troviamo:
Invece per quanto concerne le azienda pubbliche abbiamo:
