“Rubiamo i tuoi dati, poi decidi tu” : RHC Intervista la cyber gang ransomware CRPx0

CRPx0 è un gruppo ransomware che punta soprattutto all'esfiltrazione dei dati e alla data extortion, evitando in molti casi la tradizionale cifratura dei sistemi. In un'intervista a Red Hot Cyber racconta il proprio modello RaaS, il reclutamento degli affiliati, le vittime, i siti di leak e la strategia basata sulla pressione reputazionale ed economica.

CRPx0 è un gruppo peculiare: sebbene si autodefinisca “RaaS”, il suo modello operativo e l’offerta di servizi sono fortemente orientati alle operazioni di esfiltrazione. Alcune delle sue attività sono state segnalate pubblicamente 1, evidenziando lo sviluppo interno di strumenti ed infection chain multi-stage. L’infrastruttura di C2 viene utilizzata sia per le attività operative sia per le fasi d’impatto del ransomware; inoltre, sono stati segnalati altri moduli di monetizzazione diretta, come l’estrazione e l’esfiltrazione delle seed phrase dai portafogli crypto.

Le prime vittime pubblicate nel DLS di CRPx0 sono state osservate a luglio 2026, con oltre 30 vittime pubblicate solo in quel mese. I processi di estorsione tradizionali sono soltanto una parte del modello di monetizzazione di CRPx0, che offre anche servizi di “Whitelabeling” e “Hacking-as-a-Service”. Questi servizi richiedono un’infrastruttura sicura e una configurazione pianificata meticolosamente per poter mantenerne l’operativita’. E’ stato proprio questo particolare a spingerci a contattare direttamente CRPx0 e  porre loro alcune domande.

Intervista

1) RHC: Grazie per essere con noi su RedHotCyber, crpx0! Prima di entrare nel vivo, vorremmo darti un momento per presentarti ai nostri lettori. Cos’è crpx0 e com’è nato? C’è una differenza specifica tra il vostro gruppo e le altre operazioni ransomware? Dal vostro punto di vista, cosa vi distingue dagli altri attori ransomware? C’è qualche esperienza passata che considerate un traguardo professionale?

CRPX0: CRPxO è un’operazione professionale di Ransomware-as-a-Service. Ci concentriamo sull’esfiltrazione dei dati, non sulla cifratura. Il nostro approccio è semplice: compromettiamo le reti, rubiamo i dati e diamo alle organizzazioni una scelta chiara: pagare per eliminare i dati o vederli pubblicati. Ciò che ci distingue è la nostra efficienza e la nostra rigorosa adesione alle nostre stesse regole. Siamo un’azienda e trattiamo le nostre vittime come controparti di una transazione, non come bersagli da distruggere. Il nostro più grande traguardo ad oggi è la scala delle nostre operazioni e la credibilità che abbiamo costruito. Il nostro sito di leak parla da solo.

2) RHC: Qual è la vostra principale forza motrice? Si tratta di un guadagno finanziario, di motivazioni politiche o sociali, oppure del desiderio di notorietà?

CRPX0: Il guadagno finanziario è il driver principale. Non abbiamo motivazioni politiche. Siamo un’azienda che fornisce un servizio ai propri affiliati e una soluzione alle proprie vittime. L’ecosistema del ransomware è un mercato e noi ne siamo un attore principale. La nostra reputazione di professionalità è ciò che spinge gli affiliati ad unirsi a noi e le vittime a negoziare.

3) RHC: Il numero di vittime elencate sul vostro sito di leak sta crescendo rapidamente. Questa espansione è guidata da uno specifico modello di reclutamento degli affiliati? La soglia d’ingresso — dal costo di soli 333$ — sembra estremamente interessante ed efficace per la crescita iniziale di un’operazione RaaS. Avete qualche commento a riguardo?

CRPX0: La nostra crescita è un risultato diretto del nostro programma di affiliazione. Lo abbiamo progettato per essere a basso rischio ed elevato rendimento per gli affiliati. La quota di ingresso di 333$ è una decisione strategica: è abbastanza bassa da attirare operatori seri, ma abbastanza alta da filtrare chi fa perdere tempo. Offriamo una piattaforma con un servizio completo: payload, infrastruttura di C2, sito di leak e supporto nelle negoziazioni. Gli affiliati devono solo portare i bersagli. Questo modello ci ha permesso di scalare in modo rapido e costante.

4) RHC: Una trattenuta fissa del 30% sui riscatti è piuttosto alta rispetto ad alcuni affiliati tradizionali, ma voi la attribuite alle vostre offerte di servizi “whitelabel”. Considerati gli elevati costi di gestione per l’infrastruttura e l’hosting, quanto è difficile mantenere la redditività?

CRPX0: La trattenuta del 30% è il riflesso del valore che forniamo. Non siamo semplicemente uno sviluppatore di payload. Gestiamo l’intero backend: hosting, infrastruttura, gestione del sito di leak e negoziazioni. Questo permette ai nostri affiliati di concentrarsi su ciò che sanno fare meglio: ottenere l’accesso iniziale. I costi di gestione sono significativi, ma il volume delle nostre operazioni garantisce la redditività. È un modello scalabile e sostenibile.

5) RHC: In termini di numero di affiliati, avete intenzione di continuare ad espandervi o avete un limite massimo che preferite non superare?

CRPX0: Non abbiamo un limite massimo rigido per gli affiliati. La nostra infrastruttura è progettata per scalare. Tuttavia, diamo la priorità alla qualità rispetto alla quantità. Selezioniamo i nostri affiliati e accettiamo solo coloro che hanno capacità comprovate. Pochi operatori esperti valgono molto di più di un gran numero di operatori non professionali.

6) RHC: Quali operazioni gestite rigorosamente all’interno e quali funzioni esternalizzate a terze parti?

CRPX0: Tutte le operazioni principali sono gestite all’interno: sviluppo dei payload, infrastruttura di C2, manutenzione del sito di leak e negoziazioni. Questo ci dà un controllo completo sulla qualità e sulla sicurezza delle nostre operazioni. Non esternalizziamo funzioni critiche.

7) RHC: Alcuni security researchers sono riusciti ad esporre parti del vostro backend, inclusi il codice sorgente e i pannelli amministrativi. Si è trattato di un rischio calcolato o di una svista di cui vi siete resi conto solo dopo la fuga di notizie? In che modo questo ha impattato sulla configurazione della vostra infrastruttura per il futuro?

CRPX0: Operiamo in un ambiente ad alto rischio. Un certo livello di esposizione è un rischio calcolato. Tuttavia, ci adattiamo e miglioriamo continuamente la nostra infrastruttura. Ogni leak è un’opportunità per imparare. Da allora abbiamo rafforzato i nostri sistemi e siamo passati a una configurazione più resiliente. È un continuo gioco del gatto con il topo, e noi intendiamo rimanere un passo avanti.

8) RHC: Una fonte dichiara che circa 74 vittime sono state rimosse dal vostro sito di leak dopo esservi apparse, anche se non siamo riusciti a verificare in modo incrociato questo conteggio esatto. Rimuovete effettivamente i contenuti dal sito e cosa fa scattare una rimozione? Qual è il vostro processo standard per aggiornare o eliminare un post in base a come si concludono le negoziazioni?

CRPX0: Sì, rimuoviamo i post. L’inserimento è uno strumento di negoziazione, non una gogna pubblica permanente. Quando una vittima paga e i dati vengono eliminati, rimuoviamo la sua voce. Questa è una parte standard del nostro protocollo. Siamo professionisti, non vandali. Il nostro processo è chiaro: pubblichiamo una notifica di violazione, celebriamo la negoziazione per un accordo e, al momento del pagamento, eliminiamo sia i dati che l’inserimento pubblico.

9) RHC: Data la rapida crescita della vostra lista di bersagli, potreste darci una valutazione dei livelli di sicurezza che avete riscontrato nelle vostre operazioni? Avete preferenze tecniche specifiche o settori in cui vi specializzate, dal punto di vista operativo?

CRPX0: I nostri bersagli principali sono aziende di medie dimensioni in settori regolamentati: sanità, legale, finanza e aerospaziale. Si tratta di organizzazioni che dispongono di dati di valore e di un reale incentivo economico e reputazionale a proteggerli. Abbiamo riscontrato un’ampia varietà di livelli di sicurezza, da eccellenti a inesistenti. La nostra preferenza operativa va alla velocità e all’efficienza. Ci muoviamo rapidamente dalla compromissione all’esfiltrazione, riducendo al minimo le possibilità di rilevamento. Prediligiamo il phishing e il furto di credenziali. Non cerchiamo minacce persistenti avanzate; cerchiamo risultati rapidi.

10) RHC: Potreste dirci di più sul vostro servizio di white-labeling? Questo tipo di offerta sembra stia prendendo piede molto rapidamente, ma oltre a una quota di profitto del 100%, promettete anche  ‘anti-takedown & OPSEC hardening’. Come potete realisticamente mantenere una garanzia del genere entro i tempi operativi standard?

CRPX0: Il nostro servizio white-label è pensato per gli affiliati che vogliono gestire il proprio brand. Loro mantengono il 100% dei profitti e noi ci occupiamo dell’infrastruttura. L’”anti-takedown & OPSEC hardening” non è una garanzia assoluta, ma un impegno a seguire le migliori pratiche. Utilizziamo hosting decentralizzato, domini multipli e protocolli di risposta rapida. Non è magia, è solo una rigorosa disciplina operativa.

11) RHC: Se foste il CISO di un’azienda che sapete potrebbe essere un futuro bersaglio di CRPx0, quali tre aspetti della sua sicurezza rafforzereste per primi?

CRPX0:  Se fossi un CISO, mi concentrerei su tre cose: 1) Architettura Zero-Trust — ipotizzare la violazione (assume breach) e limitare gli spostamenti laterali. 2) Applicazione dell’MFA (autenticazione a più fattori) — molte violazioni iniziano con credenziali compromesse. 3) Backup offline — non accessibili dalla rete. Se si hanno queste tre cose, ci si rende un bersaglio molto più difficile.

12) RHC: Sottolineate la OPSEC come un pilastro fondamentale della vostra operazione RaaS. Quali sono le vostre considerazioni sulle recenti operazioni delle forze dell’ordine e come gestite i potenziali rischi operativi nel vostro settore?

CRPX0: Le operazioni delle forze dell’ordine fanno parte del contesto nella quale operiamo. Seguiamo le loro attività, ma non modifichiamo il nostro approccio fondamentale. La sicurezza operativa è la nostra principale priorità. Compartimentiamo le informazioni, utilizziamo comunicazioni cifrate e limitiamo l’esposizione. Siamo consapevoli dei rischi e li gestiamo in modo professionale.

13) RHC: Siete stati collegati alla campagna OnlyFans: si è trattato di una vostra operazione, del lavoro di un affiliato o qualcuno ha semplicemente utilizzato il vostro malware?

CRPX0: Non commentiamo campagne o affiliazioni specifiche. Operiamo in base al principio del need-to-know (accesso alle informazioni stretto e necessario). Il nostro modello di business consiste nel fornire una piattaforma, non nel discutere dettagli operativi.

14) RHC: Perché questa attenzione iniziale per gli studi dentistici e le cliniche pediatriche — organizzazioni con un budget IT praticamente pari a zero? Sono solo bersagli facili o c’è in gioco una strategia di leva normativa? Avete restrizioni sull’uso del vostro ransomware contro il settore sanitario o le infrastrutture critiche?

CRPX0: Puntiamo a qualsiasi organizzazione che detenga dati di valore e che sia probabile che paghi. Le cliniche dentistiche e pediatriche rientrano nel settore sanitario, che è un settore regolamentato. Dispongono di dati dei pazienti (PHI). Sono soggette all’HIPAA. Hanno un forte incentivo a evitare una fuga pubblica di dati e un incubo normativo. Non sono “bersagli facili” per via del loro budget IT, ma per la leva che otteniamo dai dati che detengono. Non poniamo restrizioni sui bersagli, ma evitiamo le infrastrutture critiche.

15) RHC: Il fallimento fa parte del processo: c’è una battuta d’arresto operativa del passato che vi ha insegnato una lezione preziosa? Qual è stata e cosa avete imparato da essa?

CRPX0: All’inizio ci affidavamo troppo a una singola infrastruttura C2. Un’operazione di sequestro (takedown) ha interrotto una campagna. Abbiamo imparato a decentralizzare. Ora utilizziamo sistemi multipli e ridondanti. La ridondanza e il ripristino rapido sono essenziali in questo settore.

16) RHC: Una vittima o una società di incident response vi ha mai sorpreso durante una chat di negoziazione superando in astuzia il vostro team o trovando una scappatoia inaspettata?

CRPX0: No. Abbiamo incontrato team professionisti di incident response ma seguono un copione standard. Non possono usare la negoziazione per tirarsi fuori da una violazione dei dati una volta che questi sono stati esfiltrati. La leva è nelle nostre mani.

17) RHC: Qual è la vostra opinione sull’attuale tendenza dei gruppi ransomware di abbandonare completamente la cifratura per concentrarsi al 100% sulla pura esfiltrazione dei dati e sull’estorsione? Si tratta di una tendenza temporanea o vedete un nuovo meta?

CRPX0: La tendenza verso la pura data extortion è un’evoluzione naturale. La cifratura è rumorosa e lenta. L’esfiltrazione dei dati, invece, è silenziosa e veloce. Inoltre ci fornisce la leva di un sito di leak pubblico. Non è una tendenza temporanea; è il futuro. La pura esfiltrazione dei dati è più efficiente, meno rischiosa e offre tassi di pagamento uguali o persino migliori.

18) RHC: Nessuno rimane al vertice nel mondo del ransomware per sempre senza che una strategia di uscita finisca per raggiungerlo. Qual è il piano a lungo termine di CRPx0? Vi vedete a gestire questa infrastruttura all’infinito o state lavorando in vista di un giorno di “ritiro” / “resa dei conti” finale?

CRPX0: Stiamo costruendo un’operazione sostenibile. Non abbiamo una data di fine stabilita. La strategia di uscita per i nostri operatori è avere un’attività legittima pronta per quando arriverà il momento. Per ora ci concentriamo sulla crescita e sull’efficienza. Ci adatteremo con l’evolversi dell’ecosistema.

19) RHC: Reclutate attivamente insider all’interno delle organizzazioni bersaglio o ritenete che trattare con “talpe” aziendali non verificate sia un rischio troppo grande per la sicurezza operativa?

CRPX0: Non reclutiamo attivamente insider. Introduce troppe variabili e rappresenta un significativo rischio per la OPSEC. Preferiamo la compromissione tecnica: sfruttare vulnerabilità e utilizzare il social engineering. È più prevedibile e più facile da controllare.

20) RHC: Il vostro modello di business si basa interamente sul concedere l’accesso ad affiliati terzi che potrebbero facilmente essere infiltrati delle forze dell’ordine, operatori rivali o dilettanti sprovveduti. Come verificate le persone all’interno della vostra cerchia e come gestite la situazione quando un affiliato di fiducia si rivela essere una minaccia interna che lavora contro di voi?

CRPX0: La verifica degli affiliati è un processo di costruzione della fiducia. Iniziamo con piccole collaborazioni e aumentiamo gradualmente l’accesso. Monitoriamo la loro attività. Se un affiliato è compromesso o diventa una minaccia interna, lo tagliamo fuori immediatamente. Abbiamo piani di emergenza per gestire le cattive condotte degli affiliati.

21) RHC: Grazie per aver dedicato del tempo sottraendolo al vostro lavoro, apprezziamo la vostra collaborazione. Il nostro obiettivo con articoli come questo è dare ai nostri lettori una “doccia fredda” di realtà. La sicurezza è una disciplina tecnica cruda e spietata. Se i difensori vogliono vincere, devono essere tecnicamente più affilati di operazioni come la vostra. Considerate questo spazio come la vostra opportunità per dire qualsiasi cosa desideriate in assoluta libertà. C’è un messaggio che volete lasciare al nostro pubblico o alle organizzazioni che saranno le prossime nella vostra lista DLS?

CRPX0: Il nostro messaggio per i difensori è semplice: preparatevi all’inevitabile. Una violazione non è una questione di “se”, ma di “quando”. Concentratevi sul rilevamento rapido, sul contenimento e sul ripristino. Pagarci è un’opzione, ma investire in una sicurezza solida è la migliore strategia a lungo termine. Alle nostre future vittime: se vi ritrovate sul nostro sito di leak, contattateci rapidamente. Il processo è progettato per essere efficiente. Prima vi fate vivi, prima possiamo risolvere la cosa.

RHC Dark Lab

RHC Dark Lab è un gruppo di esperti della community di Red Hot Cyber dedicato alla Cyber Threat Intelligence guidato da Pietro Melillo. Partecipano al collettivo, Sandro Sana, Alessio Stefan, Raffaela Crisci, Vincenzo Di Lello, Edoardo Faccioli e altri membri che vogliono rimanere anonimi. La loro missione è diffondere la conoscenza sulle minacce informatiche per migliorare la consapevolezza e le difese digitali del paese, coinvolgendo non solo gli specialisti del settore ma anche le persone comuni. L'obiettivo è diffondere i concetti di Cyber Threat Intelligence per anticipare le minacce.