Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca
Red Hot Cyber Academy

Ransomware Data Room – Marzo 2022

Luca Mella : 29 Marzo 2022 11:41

Autore: Dott. Luca Mella, Cyber Security Expert (founder doubleextortion.com)
Data Pubblicazione: 29/03/2022

Negli ultimi anni, il fenomeno del ransomware è stato tanto dirompente da influire pesantemente nelle agende di sicurezza di moltissime organizzazioni, e non solo. La brutalità delle pratiche cyber criminali della doppia estorsione ha persino influito nelle politiche di Stati Uniti e Unione Europea: questi attacchi si sono sempre più rivelati strumento di pressione geopolitica nelle dialettiche tra le nazioni del Patto Atlantico e gli stati sotto l’influenza Russa, sino a divenire strumento di cyber-rappresaglia contestuali alle  operazioni militari in Ucraina.

Monitorare gli attacchi ransomware moderni, le doppie estorsioni, uno dei “game-changer” che più sta condizionando il panorama della sicurezza cibernetica mondiale e nazionale, è la ragione fondante della Ransomware Data Room, un osservatorio, un luogo virtuale dove monitorare il fenomeno del ransomware attraverso la fattualità di dati e notizie.

Metodologia


CALL FOR SPONSOR - Sponsorizza l'ottavo episodio della serie Betti-RHC

Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"? Conosci il nostro corso sul cybersecurity awareness a fumetti? Red Hot Cyber sta ricercando un nuovo sponsor per una nuova puntata del fumetto Betti-RHC mentre il team è impegnato a realizzare 3 nuovi episodi che ci sono stati commissionati.

Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]


Supporta RHC attraverso:
  • L'acquisto del fumetto sul Cybersecurity Awareness
  • Ascoltando i nostri Podcast
  • Seguendo RHC su WhatsApp
  • Seguendo RHC su Telegram
  • Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab


  • Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.


    Informazioni e dati su tentativi di estorsione cibernetica e attacchi ransomware sono acquisiti tramite dati OSINT, notizie pubbliche, open data, ed attraverso il portale doubleextortion.com.

    Report dell’Osservatorio

    • Data Room: Gennaio 2022 (link)
    • Data Room: Febbraio 2022 (link)

    Data Room: Marzo 2022

    La Ransomware Data Room ha riscontrato evidenza di almeno 219 tentativi di estorsione cibernetiche e attacchi criminali operati da 18 attori di minaccia attivi nel periodo di riferimento. Volume apparente stabile, anche se in leggero aumento rispetto ai 206 del mese precedente. 

    Data Trends

    Gli attacchi osservati si sono distribuiti con intensità doppia nella seconda metà del mese,  dal 12 marzo infatti è cominciata una escalation di attacchi molto violenti preceduti da dieci giorni di apparente calma, presumibilmente preparatoria a quanto sarebbe avvenuto.

    I picchi di attività principali si sono manifestati il 13 Marzo e dopo il 20 Marzo. Guidati dai gruppi cyber criminali LockBit e Hive gli attacchi sono stati di particolare ferocia: quest’ultimo rimasto pressoché silente per giorni prima dell’hackeraggio alle infrastrutture di Ferrovie dello Stato Italiane, mentre il primo si concentrava su aziende ed enti di medie e piccole dimensioni, a comporre una sorta di continuum offensivo verso i suoi bersagli.

    Figura. Profilo dei tentativi di estorsione registrati nel Marzo 2022.

    Il bilancio degli attacchi a doppia estorsione di Marzo 2022 è inclemente: ben 46 nazioni coinvolte dagli attacchi, cinque stati in più rispetto alle operazioni cyber criminali registrate nel mese precedente.

    Il volume degli attacchi che hanno insistito sui tessuti socio-economici delle nazioni impattate è significativo: se analizziamo i bersagli delle operazioni cyber criminali, Stati Uniti esclusi, il successivo Paese per volume di attacchi subiti è proprio l’Italia, che si posiziona così al secondo posto in questa infausta graduatoria.

    La flessione negli attacchi verso le organizzazioni italiane ha impattato direttamente su enti locali ed infrastrutture nazionali, alimentando uno scenario che desta non poche preoccupazioni per il futuro (link) e che cela interrogativi ancor più oscuri: nel mese di Marzo 2022 l’Italia è stata oggetto di ammonimenti diretti da parte del Ministro degli Esteri russo, una sorta di minaccia non per nulla velata, conforme all’ormai noto stile comunicativo del Cremlino. Non è affatto da escludere che l’intensificazione degli attacchi cyber criminali sia un elemento nella scacchiera internazionale potenzialmente utile ad avvalorare le promesse di “conseguenze irreversibili” che il nostro Paese ha ricevuto per via della posizione nei confronti dell’invasione in Ucraina. 

    Figura. Nazioni più impattate da estorsioni cyber a Marzo 2022

    I verticali colpiti dalle estorsioni sono stati 59. Le aziende di produzione e trasformazione del manifatturiero continuano ad essere pesantemente bersagliate dagli attacchi a doppia estorsione. In questi contesti, non è raro che la trasformazione digitale dei processi produttivi sia stata attuata con logiche di sicurezza e segregazione funzionali agli scenari di rischio pre-covid.

    Tuttavia, la maggiore concentrazione delle estorsioni cyber criminali osservata a Marzo 2022 riserva un ulteriore elemento distintivo: al secondo posto tra i bersagli più colpiti vi sono gli enti pubblici e le agenzie governative. Anche se le istituzioni, specie quelle locali, sono da sempre tra gli immancabili bersagli delle estorsioni cyber, la concentrazione degli attacchi non era mai stata così pronunciata. Le possibili ragioni dietro a questa intensificazione possono celarsi nel legame indiretto tra i vertici di varie organizzazioni malavitose del digitale, la larga base filo-russa di affiliati e operatori cyber criminali, e le spiccate polarizzazioni manifestatesi dopo l’invasione russa in Ucraina, affiancata da fortissime campagne di propaganda guidate da Mosca.

    Figura. Settori produttivi più impattati da estorsioni a Marzo 2022

    Osservatorio

    Tra i numerosi casi di attacco registrati a Marzo 2022, l’osservatorio ha valutato i seguenti casi di tentata doppia estorsione come di portata ed implicazione notevole per i rispettivi contesti di riferimento:  

    Osservatorio italiano

    Nel mese di Marzo 2022, l’osservatorio registra le seguenti estorsioni ransomware come maggiormente rilevanti nel contesto italiano:

    • L’operazione di attacco ed estorsione compiuta dal gruppo Hive ai danni delle Ferrovie dello Stato Italiano, asset strategico per il paese ed infrastruttura critica nazionale (link)
    • Il furto di dati ed estorsioni all’agenzia ambientale della Regione Marche (ARPAM), condotti da affiliati alla gang criminale LockBit (link)
    • Estorsione ai danni dell’associazione provinciale degli Confindustria Caserta, ente che coordina e promuove lo sviluppo di 150mila imprese nel territorio locale (link)
    • ISMEA, Istituto di Servizi per il Mercato Agricolo Alimentare, ente pubblico che gestisce servizi informativi, assicurativi e finanziari per le imprese agricole è stata colpita dagli attacchi di LockBit (link)
    • Le amministrazioni locali del Comune di Villafranca, nel padovano, ed Alcamo in Sicilia, sono stati cifrati dai criminali informatici di LockBit (link, link)

    Osservatorio mondiale

    A livello globale, l’osservatorio segnala le seguenti casistiche ed eventi impattanti il mondo ransomware di rilievo internazionale:

    • Il gigante della componentistica dell’automotive DENSO è stato colpito da PandoraLocker (link). L’attacco non è però l’unico. A Dicembre 2021, la gang criminale Rook aveva riportato una estorsione alle subsidiary messicana di DENSO, accompagnata da 1.1 TB di dati rubati.
    • Bridgestone, un altro colosso nell’automotive, partner storico e fornitore dei circuiti gare della Formula 1 colpito dalle doppie estorsioni di LockBit (link)
    • La gang cyber criminale Lapsus viola NVIDIA, tenta la vendita di 1TB di dati e pubblica codici sorgenti riservati (link)
    • Hacker criminali attaccano il colosso russo Miratorg ed impattano l’emissione di certificati veterinari elettronici, condizione che rende necessario l’intervento del Rosselkhoznadzor (Россельхознадзор), ente federale di supervisione veterinaria e fitosanitaria “al fine di prevenire la crescita dei prezzi di un gruppo di beni prodotti dalla holding Miratorg e la speculazione di questi beni da parte di intermediari senza scrupoli” (link)

    Nuove Tattiche Tecniche e Procedure (TTPs)

    In questo mese, sono emersi elementi netti che indicano il potenziamento dei vettori supply chain da parte degli attaccanti cyber criminali. Ad esempio, la gang Lapsus ha attivato un programma di reclutamento di insider mirato sia ai dipendenti dei grandi gruppi industriali e del software, sia alla pletora di fornitori che possono fornire accessi, anche limitati, a risorse aziendali com VPN, Terminal Server o VDI.

    Luca Mella
    Luca è un professionista della Cyber Security con una profonda passione per il mondo digitale e l’hacking. Luca è autore del progetto “doubleextortion.com”. Ha guidato il primo Computer Emergency Response Team (CERT) italiano certificato da Trusted Introducer ed insegna la malware analysis all’Università di Bologna, è un ex-membro del team “ANeSeC”, uno dei primi team italiani di cyber war-game nati nel lontano 2011.

    Lista degli articoli

    Articoli in evidenza

    Anche Cloudflare violata nell’incidente Salesforce! I rischi del cloud colpiscono tutti
    Di Redazione RHC - 03/09/2025

    Un’intrusione di dati è stata rilevata da Cloudflare, dove un aggressore esperto ha potuto accedere e quindi rubare i dati sensibili dei propri clienti da quella che era l’istanza Salesforce mess...

    Anche Palo Alto Networks Compromessa tramite Salesforce e Drift
    Di Antonio Piazzolla - 03/09/2025

    All’inizio di settembre 2025,Palo Alto Networks ha confermato di essere stata vittima di una violazione dei dati. La compromissione non ha interessato i suoi prodotti o servizi core, bensì alcune i...

    Terrore nel volo di Ursula von der Leyen? Facciamo chiarezza!
    Di Giovanni Pollola - 02/09/2025

    Il 31 agosto 2025 il volo AAB53G, operato con un Dassault Falcon 900LX immatricolato OO-GPE e con a bordo la presidente della Commissione Europea Ursula von der Leyen, è decollato da Varsavia ed è a...

    Zscaler Violazione Dati: Lezione Apprese sull’Evoluzione delle Minacce SaaS
    Di Ada Spinelli - 02/09/2025

    La recente conferma da parte di Zscaler riguardo a una violazione dati derivante da un attacco alla supply chain fornisce un caso studio sull’evoluzione delle minacce contro ecosistemi SaaS compless...

    Proofpoint: Allarme CISO italiani, l’84% teme un cyberattacco entro un anno, tra AI e burnout
    Di Redazione RHC - 02/09/2025

    Proofpoint pubblica il report “Voice of the CISO 2025”: cresce il rischio legato all’AI e rimane il problema umano, mentre i CISO sono a rischio burnout. L’84% dei CISO italiani prevede un att...