La cyber-gang emergente chiamata MedusaLocker (o Medusa ransomware), scoperta per la prima volta a maggio del 2022, inizia a riempire con costanza il suo Data Leak Site (DLS) con aziende violate.
Si affidano prevalentemente alle configurazioni errate di Remote Desktop Protocol (RDP) per accedere alle reti delle vittime e crittografa i dati lasciando una nota di riscatto con le istruzioni in ogni cartella contenente un file crittografato.
Questo fa comprendere che ancora oggi ci sono moltissime aziende che lasciano le interfacce di amministrazione dei server esposte su internet, cosa che non dovrebbe ma essere fatta se non dietro ad una VPN costantemente monitorata ed aggiornata.
Avvio delle iscrizioni al corso Cyber Offensive Fundamentals
Vuoi smettere di guardare tutorial e iniziare a capire davvero come funziona la sicurezza informatica?
La base della sicurezza informatica, al di là di norme e tecnologie, ha sempre un unico obiettivo: fermare gli attacchi dei criminali informatici. Pertanto "Pensa come un attaccante, agisci come un difensore". Ti porteremo nel mondo dell'ethical hacking e del penetration test come nessuno ha mai fatto prima.
Per informazioni potete accedere alla pagina del corso oppure contattarci tramite WhatsApp al numero 379 163 8765 oppure scrivendoci alla casella di posta [email protected].
Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.
La nota invita le vittime a fornire pagamenti ransomware a uno specifico indirizzo di portafoglio Bitcoin.
MedusaLocker sembra funzionare come un modello Ransomware-as-a-Service (RaaS) basato sulla suddivisione dei pagamenti del riscatto. I tipici modelli RaaS coinvolgono lo sviluppatore del ransomware e vari affiliati che distribuiscono il ransomware sui sistemi delle vittime.
Scopri il ransomware con gli articoli di RHC
Il ransomware sta sempre più diventando un minaccia per aziende pubbliche e private, dove in Italia sta dilagando mietendo vittime giorno dopo giorno. Il ransomware è un tipo di malware che cifra l’infrastruttura IT di una organizzazione rendendola inutilizzabile chiedendo un riscatto per poterla sbloccare minacciando la pubblicazione dei dati. Scopriamo con precisione che cosa è il ransomware con gli articoli di Red Hot Cyber
I pagamenti del ransomware MedusaLocker sembrano essere suddivisi tra l’affiliato, che riceve dal 55 al 60 percento del riscatto; e lo sviluppatore, che riceve il resto.
Tecniche, tattiche e procedure
Gli attori del ransomware MedusaLocker molto spesso ottengono l’accesso ai dispositivi delle vittime attraverso dei RDP (Remote Desktop Protocol) vulnerabili. Gli attori utilizzano spesso anche campagne e-mail di phishing e spam, allegando direttamente il ransomware all’e-mail, come vettori iniziali di intrusione.
MedusaLocker ransomware utilizza un file batch per eseguire lo script PowerShell invoke-ReflectivePEInjection. Questo script propaga MedusaLocker in tutta la rete modificando il valore EnableLinkedConnections all’interno del registro della macchina infetta, che quindi consente alla macchina di rilevare host e le reti collegate tramite ICMP (Internet Control Message Protocol) e di rilevare l’archiviazione condivisa tramite il protocollo Server Message Block (SMB) .
A quel punto il malware:
Riavvia il servizio LanmanWorkstations, che consente di rendere effettive le modifiche al registro;
Uccide i processi di noti software di sicurezza;
Riavvia la macchina in modalità provvisoria per evitare il rilevamento da parte del software di sicurezza;
Crittografa i file delle vittime con l’algoritmo di crittografia AES-256; la chiave risultante viene quindi crittografata con una chiave pubblica RSA-2048;
Viene eseguito ogni 60 secondi, crittografando tutti i file tranne quelli critici per la funzionalità della macchina della vittima e quelli che hanno l’estensione di file crittografata designata;
Stabilisce la persistenza copiando un eseguibile (svhost.exe o svhostt.exe) nella directory %APPDATA%\Roaming e programmando un’attività per eseguire il ransomware ogni 15 minuti;
Tenta di impedire le tecniche di ripristino standard eliminando i backup locali, disabilitando le opzioni di ripristino all’avvio ed eliminando le copie shadow.
Gli attori di MedusaLocker inseriscono una richiesta di riscatto in ogni cartella contenente un file con i dati crittografati della vittima. La nota delinea come comunicare con gli attori di MedusaLocker, in genere fornendo alle vittime uno o più indirizzi e-mail a cui gli attori possono essere raggiunti.
La dimensione delle richieste di riscatto di MedusaLocker sembra variare a seconda della situazione finanziaria della vittima percepita dagli attori della minaccia.
La nota di riscatto
La nota di riscatto dice che la rete è stata violata e i dati sono stati copiati. Gli aggressori affermano di essere penetrati nell’intera rete e di aver avuto accesso a tutti i dati.
Secondo la richiesta di riscatto, gli aggressori hanno crittografato tutti i file sulla rete utilizzando un algoritmo di crittografia di livello militare.
La vittima non può decifrare i file senza il loro aiuto. Gli aggressori si offrono di decrittografare i file se la vittima li contatta tramite live chat e paga per lo strumento e le chiavi di decrittazione.
Schermata che compare sopra i PC che sono stati crittografati da Medusa Ransomware
La nota di riscatto avverte anche che se la vittima non paga il riscatto entro tre giorni, tutti i dati saranno resi pubblici. Fornisce istruzioni su come contattare i criminali informatici tramite la loro live chat, il programma Tox Chat e l’e-mail di supporto.
Richiesta di riscatto di Medusa ransomware
Il data leak site (DLS)
Un data leak site di una gang ransomware è un sito web che viene utilizzato dagli attaccanti per pubblicare i dati rubati delle vittime che non hanno pagato il riscatto richiesto. In altre parole, se un’azienda o un’organizzazione è stata colpita da un attacco ransomware e non ha pagato il riscatto, i dati rubati vengono pubblicati su questo sito web, dove possono essere visualizzati e scaricati da chiunque, inclusi i concorrenti dell’azienda, i media e altre organizzazioni malintenzionate.
Questi siti web di sono spesso gestiti dalle gang ransomware come mezzo per fare pressione sulle loro vittime per pagare il riscatto richiesto. Medusa non effettua pubblicazioni parziali dei dati, pertanto quando pubblica, pubblica interamente le informazioni esfiltrate dall’azienda violata.
Home page del data leak site di Medusa ransomware
Va da se che una parte di queste informazioni possono essere rivendute privatamente o tramite delle aste private. Nello specifico, il data leak site di Medusa, raffigura le violazioni attraverso una timeline che riporta le violazioni nel tempo.
E’ presente l nome dell’azienda colpita, il relativo countdown, la data di pubblicazione e il numero di visualizzazioni dell’avviso. Accedendo all’interno di un post invece è possibile vedere in dettagli la violazione e nel caso di pubblicazione dei dati e il file browser per poter scaricare i file pubblicati.
File Explorer presente all’interno del Data Leak Site di Medusa
Nello specifico, Medusa ransomware ha copiato le stesse tattiche di estorsione della famigerata cybergang LockBit introducendo il pagamento per l’estensione del countdown, per la cancellazione dei dati e per il download dei dati stessi.
Dettagli di un avviso sul Data Leak Site di Medusa Ransomware
Ti è piaciuto questo articolo? Ne stiamo discutendo nella nostra Community su LinkedIn, Facebook e Instagram. Seguici anche su Google News, per ricevere aggiornamenti quotidiani sulla sicurezza informatica o Scrivici se desideri segnalarci notizie, approfondimenti o contributi da pubblicare.
Membro e Riferimento del gruppo di Red Hot Cyber Dark Lab, è un ingegnere Informatico specializzato in Cyber Security con una profonda passione per l’Hacking e la tecnologia, attualmente CISO di WURTH Italia, è stato responsabile dei servizi di Cyber Threat Intelligence & Dark Web analysis in IBM, svolge attività di ricerca e docenza su tematiche di Cyber Threat Intelligence presso l’Università del Sannio, come Ph.D, autore di paper scientifici e sviluppo di strumenti a supporto delle attività di cybersecurity. Dirige il Team di CTI "RHC DarkLab"
Aree di competenza:Cyber Threat Intelligence, Ransomware, Sicurezza nazionale, Formazione
Se c’erano ancora dubbi sul fatto che le principali aziende mondiali di intelligenza artificiale fossero d’accordo sulla direzione dell’IA, o sulla velocità con cui dovrebbe arrivarci, questi dubbi sono stati dissipati al World Economic Forum…
Una settimana fa, il CEO di Cursor, Michael Truell, ha annunciato un risultato presumibilmente straordinario. Ha affermato che, utilizzando GPT-5.2, Cursor ha creato un browser in grado di funzionare ininterrottamente per un’intera settimana. Questo browser…
L’Italia si conferma uno degli obiettivi principali della campagna di attacchi DDoS portata avanti dal gruppo hacktivista NoName057(16). Secondo quanto dichiarato direttamente dal collettivo, il nostro Paese ha subito 487 attacchi informatici tra ottobre 2024…
La domanda ritorna ciclicamente da oltre dieci anni: uno smartphone può davvero sostituire un computer? Nel tempo, l’industria ha provato più volte a dare una risposta concreta, senza mai arrivare a una soluzione definitiva. Dai…
Nel mondo della sicurezza circola da anni una convinzione tanto diffusa quanto pericolosa: “se è patchato, è sicuro”. Il caso dell’accesso amministrativo tramite FortiCloud SSO ai dispositivi FortiGate dimostra, ancora una volta, quanto questa affermazione sia non solo incompleta, ma…
