Initial Access Broker (IaB): Sempre più una comodity nei mercati underground

Nel mondo dell’underground criminale, il lavoro si divide tra “professionisti”. C’è chi sviluppa ed esercisce il ransomware, c’è chi vende un accesso iniziale alle aziende e c’è chi sfrutta l’accesso iniziale per condurre attacchi informatici e lanciare il ransomware. Ogni “professionista” ha un ruolo ben preciso all’interno di questa “piramide” criminale (leggere il seguente articolo per comprendere meglio).

Nel sottobosco cybercriminale esistono frasi che valgono più di qualsiasi exploit. Una di queste è: «Non effettuo intrusioni su commissione». Non è una posizione etica. È una dichiarazione di mercato.

Advertising

L’utente Big-Bro, attivo in un noto forum underground all’interno della sezione “Access Market” — dedicata agli Initial Access Broker (IAB) — ha pubblicato, a distanza di poche ore l’uno dall’altro, due post in cui mette in vendita oltre 30 accessi privilegiati.

Per ciascun accesso vengono forniti dettagli operativi rilevanti: vettore di accesso, tipologia di credenziali, localizzazione geografica, livello di privilegio ed eventuali note aggiuntive (come la presenza e il tipo di antivirus).
Sono inoltre indicati il settore di appartenenza del target e il fatturato stimato, elementi che rendono il catalogo immediatamente appetibile per affiliati ransomware e altri operatori dell’ecosistema cybercriminale.

I prezzi oscillano tra 1.500 e 100.000 dollari, a seconda del valore dell’accesso.
Il venditore chiede solo tre cose: cosa si vuole acquistare , il nickname del compratore e metodo di pagamento.

Dal punto di vista CTI, non siamo davanti a un annuncio generico, ma a un inventario pronto per affiliati ransomware, gruppi di estorsione e broker secondari.

I pattern sono chiari:

• FortiGate, SonicWall, Sophos, Citrix, RDWeb compaiono in modo ricorrente
• la maggior parte degli accessi è Domain User, ma non mancano Local Admin e Domain Admin
• ambienti enterprise con centinaia o migliaia di host
• la presenza dell’antivirus è puramente descrittiva, non preventiva

E sì, nel catalogo compare anche un’azienda italiana, settore Energia / Oil & Gas.

Tabella completa – Accessi iniziali in vendita (normalizzata)

на заказ я ничего не взламываю

те кто хочет купить пишите что вам нужно конкретно

ваш ник и чем оплата

цены в среднем от 1500$ до 100к $

Che tradotto: Non effettuo intrusioni su commissione. Chi vuole acquistare, scriva specificando esattamente di cosa ha bisogno, il proprio nickname e il metodo di pagamento. I prezzi in media vanno da 1.500 $ fino a 100.000 $.

Quando un attore può permettersi di dire “non lavoro su commissione”, significa che:

• le compromissioni sono continue
• la domanda è stabile
• la sicurezza perimetrale non basta più

E quando in quel catalogo compare anche un’azienda italiana, il problema smette di essere “lontano”.

Luca Stivali

Cyber Security Enthusiast e imprenditore nel settore IT da 25 anni, esperto nella progettazione di reti e gestione di sistemi IT complessi. Passione per un approccio proattivo alla sicurezza informatica: capire come e da cosa proteggersi è fondamentale.

Aree di competenza: Cyber Threat Intelligence, Architectural Design, Divulgazione