Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Cerca
UtiliaCS 970x120
TM RedHotCyber 320x100 042514
Si chiamano ALPHV e vogliono un “meta-universo” ransomware. L’intervista

Si chiamano ALPHV e vogliono un “meta-universo” ransomware. L’intervista

Redazione RHC : 19 Giugno 2022 09:09

Alla fine dell’anno scorso, i ricercatori di sicurezza informatica hanno iniziato a notare un ceppo di ransomware chiamato ALPHV che si è distinto per essere particolarmente sofisticato e codificato nel linguaggio di programmazione Rust, il primo rilevato in attacchi reali.

Da allora il gruppo è diventato più aggressivo dove i dettagli sulle sue vittime (circa due dozzine) sono state pubblicate sul sito di estorsioni negli ultimi due mesi. Recentemente sono emerse notizie secondo cui i funzionari tedeschi della sicurezza informatica ritenevano che il gruppo era responsabile del recente attacco alla logistica tedesca, che ha portato all’interruzione della fornitura di petrolio nelle stazioni di servizio.

Ma poi in Italia lo abbiamo notato con l’attacco ancora in corso ai danni dell’Università di Pisa del quale abbiamo parlato molto su RHC.


Banner 600x900 Betti Rha Cybersecurity Awareness

Cybersecurity Awareness per la tua azienda? Scopri BETTI RHC!

Sei un'azienda innovativa, che crede nella diffusione di concetti attraverso metodi "non convenzionali"? 
Red hot cyber ha sviluppato da diversi anni una Graphic Novel, l'unica nel suo genere nel mondo, che consente di formare i dipendenti sulla sicurezza informatica attraverso la lettura di un fumetto.
Scopri di più sul corso a fumetti di Red Hot Cyber. Contattaci tramite WhatsApp al numero 375 593 1011 per richiedere ulteriori informazioni oppure alla casella di posta [email protected]


Supporta Red Hot Cyber attraverso: 

  1. L'acquisto del fumetto sul Cybersecurity Awareness
  2. Ascoltando i nostri Podcast
  3. Seguendo RHC su WhatsApp
  4. Seguendo RHC su Telegram
  5. Scarica gratuitamente “Byte The Silence”, il fumetto sul Cyberbullismo di Red Hot Cyber

Se ti piacciono le novità e gli articoli riportati su di Red Hot Cyber, iscriviti immediatamente alla newsletter settimanale per non perdere nessun articolo. La newsletter generalmente viene inviata ai nostri lettori ad inizio settimana, indicativamente di lunedì.

L’analista di Recorded Future Dmitry Smilyanets, ha chiamato il rappresentante di BlackCat, per conoscere le intenzioni del gruppo e quello che immaginano per il prossimo futuro. 

L’intervista è stata condotta in russo tramite messaggi TOX ed è stata tradotta in inglese con l’aiuto di un linguista del gruppo Insikt di Recorded Future e poi RHC l’ha tradotta in italiano. 

Dmitry Smilyanets: Come devo rivolgermi a: ALPHV, Alfa o BlackCat? 

Supporto ALPHV: Per quanto vorremmo evitarlo, il marchio deve esistere per semplificare l’interazione con le compagnie assicurative e di recupero. Il nostro unico nome è ALPHV. BlackCat è stato inventato da The Record e BC.a Noberus di Symantec. Il nome ‘BlackCat’ è stato menzionato da MalwareHunterTeam.

DS: Siete arrivati sulla scena del ransomware con conoscenza ed esperienza. Il codice, le procedure e le tempistiche hanno forti legami con REvil e DarkSide. È un rebranding o un mix di talenti sotto una nuova bandiera? 

ALPHV: In parte, siamo tutti collegati a gandrevil [GandCrab / REvil], blackside [BlackMatter / DarkSide], mazegreggor [Maze / Egregor], lockbit, ecc.. Tramite la pubblicità si scrive software, le pubblicità scelgono un marchio, un programma di partnership non è niente senza pubblicità. Non esiste un rebranding o un mix di talenti perché non abbiamo alcuna relazione diretta con questi programmi di partnership. Diciamo solo: “Abbiamo preso in prestito i loro vantaggi ed eliminato i loro svantaggi”.

DS: Hai menzionato molteplici vantaggi rispetto alle varianti di ransomware Conti e Lockbit , riconosci altri gruppi di ransomware come concorrenti o partner commerciali?

ALPHV: Senza esagerare, crediamo che al momento non ci siano software competitivi sul mercato. Oltre a software di alta qualità, per i partner avanzati, noi forniamo la gamma completa di servizi relativi al riscatto/metaverso o Premium Concierge – chiamalo come vuoi. Siamo in una categoria di peso diversa, quindi non riconosciamo nessuno e non faremo ransomware TikTok. Separatamente, vogliamo ringraziare i media per una revisione dettagliata e onesta del malware. I risultati parlano da soli.

La sezione delle FAQ all’interno del portale web affiliato di ALPHV ransomware (Fonte TheRecord)

DS: Aggiungerai il supporto per la lingua cinese dopo l’espansione strategica di RAMP e Lockbit a est?

ALPHV: Non siamo assolutamente interessati ad alcuna cooperazione, espansione o interazione con altri affiliati e lavoriamo solo con partner di lingua russa. Recentemente c’è stata la prima epurazione, la seconda arriverà presto e chiuderemo i battenti. Non abbiamo in programma di espanderci geograficamente (prima dell’attuazione dei piani per conquistare il mondo intero), ma aggiungeremo sicuramente il cinese dopo l’arabo 🙂

DS: Perché RUST? Stai cercando di offuscare il codice utilizzato in precedenza? Cross-compilazione?

ALPHV: RUST viene scelto come moderno linguaggio di programmazione multipiattaforma di basso livello. Nel comando della console, il nome del progetto è alphv-N(ext)G(eneration). Abbiamo realizzato un prodotto veramente nuovo, con un nuovo look e approccio che soddisfa i requisiti moderni sia per una soluzione RaaS che per un software commerciale di alta classe.

DS: Perché hai aggiunto token di accesso e domini univoci per ogni vittima?

ALPHV: Come darkmatter [DarkSide / BlackMatter], abbiamo subito l’intercettazione da parte delle vittime per la successiva decrittazione svolta da Emsisoft.

DS: Hai menzionato contatti commerciali con le società di recupero che “hanno lavorato in precedenza con REvil e DarkSide”. I negoziatori ti aiutano a ottenere ciò che desideri o di solito si mettono in mezzo?

ALPHV: Le società di recupero con cui lavoriamo semplificano solo il processo. Hanno i loro sconti che possono variare tra il 20-40% e l’intero processo di recupero non richiede più di 24 ore dal momento del primo contatto.  Una curiosità: i nomi reali delle società sono stati ottenuti a seguito dell’analisi della corrispondenza delle vittime dopo che la rete è stata crittografata, ovvero al momento delle trattative abbiamo capito con chi stavamo parlando.

DS: Come ti collochi nella lotta geopolitica tra Russia e USA?

ALPHV: Assolutamente apolitico.

DS: Raccomandi ai tuoi affiliati di non prendere di mira il governo, l’assistenza sanitaria e le istituzioni educative, nonché vietate gli attacchi alla Comunità degli Stati Indipendenti (CSI). Come controlli i tuoi affiliati e fai rispettare le regole? 

ALPHV: Controlliamo preventivamente — al momento della registrazione. Come puoi vedere, non eseguiamo una campagna pubblicitaria attiva e tagliamo facilmente i legami con i partner non conformi, ma non importa quanto ci sforziamo di filtrare le persone durante la creazione di un account, succede una merda. C’era già stato un episodio quando le chiavi di decrittazione sono state emesse automaticamente con l’esclusione dell’affiliato.

DS: Una delle vittime pubblicate proviene dal settore sanitario, come è successo?

ALPHV: Non attacchiamo istituzioni mediche statali, ambulanze, ospedali. Questa regola non si applica alle aziende farmaceutiche, alle cliniche private.

DS: Spiega come funzionano queste funzioni speciali: Chiamate, DDoS, Brute, Mixer, Mega.

ALPHV: L’intero elenco di opzioni descritte di seguito è disponibile esclusivamente per gli annunci che hanno raggiunto la soglia di 1,5 milioni di dollari di pagamento.

  • Chiamate. Soluzioni in outsourcing per le chiamate. Se la comunicazione con la vittima viene persa, puoi provare a stabilire un contatto telefonico, in casi estremi, informare i concorrenti della fuga di notizie. Non ancora integrato nel pannello, funziona in modalità manuale.
  • DDoS. E’ una botnet che permette di eseguire gli attacchi DDoS più potenti. Tutto è chiaro qui. Non ancora integrato nel pannello, funziona in modalità manuale.
  • Brute. Proprio centro dati GPU + esternalizzazione di strutture in affitto, dizionari e regole di proprietà. Attualmente non è disponibile. In futuro, consentirà di rompere gli hash nel pannello.
  • Mixer. Questo non è affatto il nostro mixer 🙂 Non esiste alcun processo per mescolare le monete nella nostra piattaforma. Quando si esegue un’operazione, le nostre monete vanno semplicemente nel classico mixer per le successive manipolazioni, e otteniamo monete assolutamente pulite e verificate, di cui anche il mercato dei cambi più diligente sarà gestito.
  • Mega. Un proprio deposito onion distribuito che semplifica il processo di negoziazione sia per le nostre campagne, che per le vittime. La maggior parte dei dialoghi inizia con una richiesta di un elenco/contenuto di file rubati. Cerchiamo di insegnare di caricare file nel nostro data center immediatamente o anche prima del processo di crittografia stesso. In futuro, ciò consentirà di condividere i dati sul volume/numero di file, un albero di file e/o anche un registro di distruzione di file per confermare automaticamente l’eliminazione sicura di tutti i file esistenti della vittima. Già integrato nel pannello, funziona automaticamente.

DS: Stai costruendo una partnership ransomware dream team? 

ALPHV: Questo è stato fatto in fase di pianificazione. Il nostro obiettivo principale è creare il nostro meta-universo RaaS che includa l’intera gamma di servizi relativi alla nostra attività.

DS: Come cambierà la scena del ransomware in futuro?

ALPHV: Segui i nostri aggiornamenti 🙂

DS: Puoi dirmi un segreto: chi è il “super amministratore”?

ALPHV: Una persona molto umile, il nostro leader spirituale e tecnico.

Un post su un forum underground di ALPHV

DS: Puoi commentare l’indagine di Brian Krebs, in cui ha sottolineato la connessione tra “binrs”, uno sviluppatore, e ALPHV ?

ALPHV: Le indagini degli analisti da divano divertiranno sempre i nativi della darknet. Siamo molto al di là di ciò che il signor Krebs può immaginare.

Fonte

https://therecord.media/an-alphv-blackcat-representative-discusses-the-groups-plans-for-a-ransomware-meta-universe/

Immagine del sitoRedazione
La redazione di Red Hot Cyber è composta da un insieme di persone fisiche e fonti anonime che collaborano attivamente fornendo informazioni in anteprima e news sulla sicurezza informatica e sull'informatica in generale.

Lista degli articoli

Articoli in evidenza

Immagine del sito
100 anni di Intelligence italiana! Mattarella celebra il centenario del SIM al Quirinale
Di Redazione RHC - 16/10/2025

Il 15 ottobre 2025 segna un anniversario di eccezionale rilievo nella storia della sicurezza nazionale italiana: cento anni dalla nascita del Servizio Informazioni Militare (SIM), primo servizio di in...

Immagine del sito
Allarme: migliaia di siti italiani a rischio! 526.000 siti e 6.500 db in vendita nel Darkweb
Di Luca Stivali - 16/10/2025

Un nuovo post sul dark web offre l’accesso completo a migliaia di server e database MySQL appartenenti a provider italiani di hosting condiviso. Nelle ultime ore è apparso su un forum underground u...

Immagine del sito
F5 subisce una violazione di sicurezza: codice sorgente e dati sensibili rubati
Di Redazione RHC - 16/10/2025

Un grave incidente di sicurezza è stato segnalato da F5, principale fornitore di soluzioni per la sicurezza e la distribuzione delle applicazioni. Era stato ottenuto l’accesso a lungo termine ai si...

Immagine del sito
Il “Double Bind” porta al Jailbreak di GPT-5: L’AI che è stata convinta di essere schizofrenica
Di Luca Vinciguerra - 15/10/2025

Un nuovo e insolito metodo di jailbreaking, ovvero l’arte di aggirare i limiti imposti alle intelligenze artificiali, è arrivato in redazione. A idearlo è stato Alin Grigoras, ricercatore di sicur...

Immagine del sito
Microsoft Patch Tuesday col botto! 175 bug corretti e due zero-day sfruttati
Di Redazione RHC - 14/10/2025

Nel suo ultimo aggiornamento, il colosso della tecnologia ha risolto 175 vulnerabilità che interessano i suoi prodotti principali e i sistemi sottostanti, tra cui due vulnerabilità zero-day attivame...