La cyber-gang PYSA ransomware è stata smantellata

Redazione RHC : 20 Aprile 2022 08:23

Gli specialisti della società svizzera di sicurezza informatica PRODAFT hanno pubblicato i risultati di uno studio di 18 mesi sul gruppo di cyber-estorsione PYSA.

PYSA (acronimo di “Protect Your System, Amigo”) è l’eredità del ransomware Mespinoza. Il malware è stato rilevato per la prima volta a dicembre 2019 ed è stato il quarto ransomware più utilizzato nell’ultimo trimestre del 2021.

Da settembre 2020, il gruppo ha rubato informazioni riservate a 747 vittime. Nel gennaio 2022, i suoi server sono stati rimossi.

Sponsorizza la prossima Red Hot Cyber Conference! Il giorno Lunedì 18 maggio e martedì 19 maggio 2026 9 maggio 2026, presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà la V edizione della la RHC Conference.  Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.  Se sei interessato a sponsorizzare l'evento e a rendere la tua azienda protagonista del più grande evento della Cybersecurity Italiana, non perdere questa opportunità. E ricorda che assieme alla sponsorizzazione della conferenza, incluso nel prezzo, avrai un pacchetto di Branding sul sito di Red Hot Cyber composto da Banner più un numero di articoli che saranno ospitati all'interno del nostro portale.  Quindi cosa stai aspettando? Scrivici subito a [email protected] per maggiori informazioni e per accedere al programma sponsor e al media Kit di Red Hot Cyber. Supporta Red Hot Cyber attraverso:  L'acquisto del fumetto sul Cybersecurity Awareness Ascoltando i nostri Podcast Seguendo RHC su WhatsApp Seguendo RHC su Telegram Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

Secondo Intel 471, la maggior parte delle vittime si trova negli Stati Uniti (59,2% di tutti gli attacchi PYSA) e nel Regno Unito (13,1%). Molto spesso PYSA ha attaccato le organizzazioni governative, educative e sanitarie.

Come altri gruppi ransomware, PYSA ha utilizzato una doppia tattica di estorsione: pubblicare i file rubati della vittima se si rifiutava di pagare il riscatto.

I file crittografati dal malware venivano generati con l’estensione .pysa. Per decifrarli era necessaria una chiave RSA privata, che poteva essere ottenuta solo pagando un riscatto agli estorsionisti. Quasi il 58% delle vittime che hanno pagato l’importo richiesto sono state in grado di ripristinare l’accesso ai propri file.

Questo dato deve far riflettere, in quanto non sempre dopo il pagamento del riscatto, è possibile decifrare i file, in quanto possono subentrare problematiche di diversa natura.

Gli specialisti PRODAFT sono riusciti a trovare una cartella .git pubblicamente accessibile gestita dagli operatori PYSA e hanno scoperto il login di uno degli autori del progetto: [email protected] .

L’operazione PYSA ha coinvolto almeno 11 account, la maggior parte dei quali sono stati creati l’8 gennaio 2021. Il 90% di tutta l’attività nel pannello di controllo del malware è stata rappresentata da quattro account: t1, t3, t4 e t5.

L’infrastruttura PYSA includeva anche container Docker, inclusi server di leak pubblici, database e server di comando e controllo, oltre a un cloud Amazon S3 per l’archiviazione di file crittografati.

“Il gruppo è supportato da sviluppatori competenti che applicano moderne metodologie sul ciclo di vita del codice. Ciò indica un ambiente professionale con una distribuzione ben organizzata delle responsabilità, piuttosto che una rete scarsamente connessa di hacker semi-autonomi”

hanno affermato i ricercatori.

Redazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli