Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 19 Marzo 2022 08:24
Analizzando gli attacchi ransomware BlackCat e BlackMatter, gli esperti hanno identificato molte somiglianze nelle loro tattiche, tecniche e procedure (TTPs), che potrebbero indicare una stretta connessione tra loro.
Mentre il ransomware spesso rinomina le sue operazioni quando le forze dell’ordine lli prendono di mira, BlackCat (alias Alphv) è una specie di “super gruppo” composto da partner di vari gruppi di cyber-ransomware.
BlackCat è apparso per la prima volta nel novembre 2021 e da allora ha attaccato diverse organizzazioni in tutto il mondo. Molti esperti hanno visto in esso una somiglianza con BlackMatter, un gruppo di cyber-estorsionisti emerso dai “resti” del famigerato DarkSide che ha attaccato il Colonial Pipeline nel maggio 2021.
Vuoi diventare un esperto del Dark Web e della Cyber Threat Intelligence (CTI)?
Stiamo per avviare il corso intermedio in modalità "Live Class", previsto per febbraio.
A differenza dei corsi in e-learning, disponibili online sulla nostra piattaforma con lezioni pre-registrate, i corsi in Live Class offrono un’esperienza formativa interattiva e coinvolgente.
Condotti dal professor Pietro Melillo, le lezioni si svolgono online in tempo reale, permettendo ai partecipanti di interagire direttamente con il docente e approfondire i contenuti in modo personalizzato.
Questi corsi, ideali per aziende, consentono di sviluppare competenze mirate, affrontare casi pratici e personalizzare il percorso formativo in base alle esigenze specifiche del team, garantendo un apprendimento efficace e immediatamente applicabile.
Per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
In un’intervista con The Record il mese scorso, un portavoce di BlackCat ha affermato che le voci secondo cui il gruppo sia una incarnazione di BlackMatter non sono vere. Tuttavia, ha notato che BlackCat è composto da partner di diversi RaaS.
“Siamo in parte associati a gandrevil [GandCrab/REvil], blackside [BlackMatter/DarkSide], mazegreggor [Maze/Egregor], lockbit, ecc., perché eravamo i loro partner. Abbiamo preso in prestito i loro vantaggi ed eliminato gli svantaggi”
ha affermato il rappresentante del gruppo.
Secondo Cisco Talos, sembra che BlackCat sia un esempio di espansione aziendale verticale.
“In sostanza, è un modo per controllare la catena di approvvigionamento a monte, rendendo un servizio fondamentale per la loro attività (l’operatore RaaS) più adatto alle loro esigenze e aggiungendo un’altra fonte di reddito”
hanno spiegato i ricercatori.
Inoltre, gli esperti hanno riscontrato una serie di somiglianze tra BlackMatter e BlackCat, inclusi gli strumenti e i nomi di file utilizzati e il dominio per mantenere un accesso costante alle reti violate.
L’utilizzo dello stesso indirizzo C&C potrebbe indicare che un partner di BlackMatter è stato probabilmente uno dei primi a implementare BlackCat, poiché entrambi gli attacchi hanno impiegato più di 15 giorni per raggiungere la fase di crittografia.
“Come abbiamo visto molte volte, i servizi RaaS vanno e vengono. Tuttavia, è molto probabile che i loro partner stiano passando a un nuovo servizio. E molti TTPs persistono con loro”
Hanno spiegato i ricercatori.
I ricercatori di sicurezza di Recorded Future e MalwareHunterTeam, intorno a fine del 2021, scoprirono un nuovo ceppo di ransomware chiamato ALPHV/BlackCat, coinvolto in precedenza in operazioni criminali con la famigerata cyber gang REvil (Sodinokibi).
Questo ransomware, è tecnicamente il terzo ceppo ad utilizzare il linguaggio Rust dopo la pubblicazione di un proof-of-concept che venne rilasciato su GitHub nel 2020 e un ceppo sperimentale, oramai defunto chiamato BadBeeTeam che venne osservato nello stesso anno.
ALPHV (BlackCat) è il primo ad essere creato e distribuito attraverso una cyber gang che opera in modello RaaS (Ransomware as a Service). Seguendo il modello di REvil, la gang pubblicizzò il suo programma di affiliazione all’interno dei forum clandestini di criminalità informatica (XSS e Exploit), invitando altri criminali ad unirsi e lanciare attacchi contro grandi aziende per estorcere denaro.
Coloro che si candidano, noti come “affiliati”, ricevono una versione del ransomware ALPHV (BlackCat) che possono utilizzare negli attacchi per poi spartire i proventi una volta arrivato il pagamento da parte dell’azienda violata.
Tra le funzionalità che pubblicizzano, c’è la possibilità di crittografare i dati su sistemi Windows, Linux e VMWare eSXI e la possibilità per gli “affiliati” di guadagnare tra l’80% e il 90% del riscatto finale, a seconda della somma totale che estraggono dalle vittime .
In sintonia con le tattiche della maggior parte delle principali operazioni di ransomware odierne, il gruppo si impegna anche in una doppia estorsione, in cui utilizzano i dati rubati per fare pressione sulle vittime affinché paghino, minacciando di far trapelare i dati rubati se non lo fanno.
Il gruppo sembra gestire più di un Data Leak Site (DLS), dove ognuno di questi ospita i dati di una o due vittime, con ALPHV (BlackCat) che ne crea uno nuovo da utilizzare in nuovi attacchi. Una teoria è che questi siti di fuga siano attualmente ospitati dagli stessi affiliati ALPHV (BlackCat), il che spiega i diversi URL di fuga dei dati.
Sebbene ci siano stati altri tentativi di creare ransomware in Rust, BlackCat è il primo a rappresentare una vera minaccia e di cui le aziende devono fare attenzione. In un tweet, Michael Gillespie (famoso analista di malware presso Emsisoft e autore di decine di utilità di decrittazione ransomware), descrisse BlackCat come un ransomware “molto sofisticato”.
Tuttavia, BlackCat non è l’unico RaaS professionale ad utilizzare Rust, dove tale linguaggio di programmazione è considerato molto più sicuro rispetto a C e C++.
Anche altri gruppi di criminalità informatica, come gli operatori di BuerLoader e FickerStealer , hanno fatto i primi passi nel 2021 verso l’implementazione delle versioni Rust dei loro strumenti.
RedazioneLa Casa Bianca ha avviato un’indagine dopo che ignoti hanno avuto accesso al telefono personale del capo dello staff presidenziale degli Stati Uniti, Susie Wiles, e hanno utilizzato i dati per ...
Se c’è un nome che nel 2025 continua a campeggiare con crescente insistenza nei report di incident response, nei feed di threat intelligence e nei blog degli analisti di cybersicurezza, &#...
Il 66% dei docenti italiani afferma di non essere formato per insegnare l’IA e la cybersecurity. Se consideriamo le sole scuole pubbliche, la percentuale aumenta drasticamente al 76%. La domand...
Il Sottosegretario alla Presidenza del Consiglio, Alfredo Mantovano, ha partecipato questa mattina, alla Loggia dei Mercanti di Ancona, all’incontro “La cybersicurezza per lo sviluppo so...
Microsoft vuole rivoluzionare il modo in cui vengono gestiti gli aggiornamenti su Windows. L’azienda ha annunciato una nuova piattaforma di orchestrazione degli aggiornamenti che punta a trasfo...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
