Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 29 Luglio 2021 15:38
Parliamo spesso del Ransomware su questo blog, dove nel tempo abbiamo trattato diverse cyber-gang e descritto con precisione il fenomeno della RaaS (Ransomware as a Service), una organizzazione criminale piramidale, che consente oggi di violare grandi aziende e richiedere riscatti sempre più importanti.
CORSO NIS2 : Network and Information system 2
La direttiva NIS2 rappresenta una delle novità più importanti per la sicurezza informatica in Europa, imponendo nuovi obblighi alle aziende e alle infrastrutture critiche per migliorare la resilienza contro le cyber minacce.
Con scadenze stringenti e penalità elevate per chi non si adegua, comprendere i requisiti della NIS2 è essenziale per garantire la compliance e proteggere la tua organizzazione.
Accedi All'Anteprima del Corso condotto dall'Avv. Andrea Capelli sulla nostra Academy e segui l'anteprima gratuita.
Per ulteriori informazioni, scrivici ad [email protected] oppure scrivici su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Partendo dal primo Ransomware della storia, ovvero Trojan AIDS, creato dal medico Joseph Popp, siamo arrivati ai tempi recenti dove il fenomeno dell’estorsione è passata dalla modalità più semplice (prima estorsione), fino alla terza.
Queste forme variopinte di estorsione possono suddividersi appunto in:
Ma mentre la terza estorsione viene portata avanti da cyber-gang di élite (lo abbiamo visto nell’intervista ad UNKNOWN, la voce di REvil all’interno del forum XSS), oppure da gruppi altamente sofisticati come Darkside, la seconda estorsione, nata dalla cyber-gang Maze a fine 2019, è quella che porta maggiori vantaggi ed è quella che permette grossi guadagni con un minimo sforzo. Regola principale del cybercrime da profitto.
“Gli attacchi di questo tipo rappresentano un importante cambio di paradigma in ambito estorsione digitale”
ha spiegato al Sole 24 Ore Marco Ramilli, Ceo e Founder di Yoroi (del gruppo Tinexta Cyber).
“Nati per rispondere alla rassicurante certezza della vittima offerta da moderni sistemi di backup o disaster recovery, introducono nella fase di ricatto, la pubblicazione di documenti intimi per la vittima stessa. In questo modo la vittima non solo vede i propri sistemi informativi bloccati ma anche i propri documenti condivisi in rete. Una seconda leva psicologica estremamente significativa per ogni vittima. Ma non bisogna cedere a ricatti, non dobbiamo alimentare quel mercato che devia la giustizia digitale e per questo motivo abbiamo deciso di collaborare con Il Sole 24 Ore offrendo un set di informazioni gratuite per sensibilizzare il lettore sull’enorme frequenza di minacce digitali e sul loro andamento storico in modo da incuriosire ed allertare la sua attenzione verso ciò che più è rilevante in un preciso momento”.
Il risultato della collaborazione tra il Sole 24 ore e Yoroi (una realtà tutta italiana che si occupa di intelligence delle minacce), ha prodotto una dashboard che viene aggiornata quotidianamente, la quale riporta i principali attacchi, le tendenze e le tipologie di minacce informatiche in corso.
La dashboard consente di visualizzare con un ritardo di un giorno, la situazione globale degli attacchi ransomware, dove è possibile cliccando sulla “bolla” relativa, accedere al numero corrispondente per un dato paese. E’ possibile inoltre visualizzare, partendo dal 16 di maggio, una animazione che mostra le infezioni da ransomware globali e il loro susseguirsi nel tempo.
E’ possibile anche entrare più nel dettagli andando a filtrare gli eventi per delle specifiche cyber-gang, come abbiamo fatto noi in questo caso.
Il grafico mostra gli eventi nella scala del tempo, ed infatti andando a ricercare l’attacco di REvil alla JBS del primo di giugno 2021, risulta correttamente riportato.
E’ possibile anche visualizzare il malware che avvia l’infezione con un altro grafico, anche se si vede in maniera molto netta che si tratta principalmente di file eseguibili, o downloader che poi distribuiscono successivamente il carico utile (payload) del ransomware stesso.
Infatti, le infezioni da ransomware vengono spesse avviate utilizzando un servizio RDP esposto in maniera non corretta o vulnerabile, come riportato da CoveWare e oltretutto tale sfruttamento risulta in grande aumento, pari al 768% come dalla ricerca svolta da EST.
Come abbiamo riportato nell’analisi della RaaS, negli attacchi di alto profilo, il vettore di attacco principale spesso viene acquisito dalle cyber-gang attraverso i “broker di accesso”. Si tratta di altri attori della piramide della RaaS (descritta con precisione nell’articolo di Red Hot Cyber), i quali sono specializzati in attività offensive (penetration test), avendo come unico obiettivo quello di acquisire persistenza all’interno di una rete di una organizzazione.
Tali broker rivendono alla cyber-gang questi vettori di attacco (anche a prezzi molto alti, come ad esempio 100.000 euro per una azienda di grandissime dimensioni, come richiesto recentemente nelle underground da BlackMatter), in modo che assieme ai propri “affiliati” procedono a colpire l’organizzazione, ad es-filtrare quanti più dati possibili e quindi, lanciare il ransomware (l’ultima parte del processo di attacco).
In una recente analisi svolta da Cognyte, sono state riportate le principali CVE sfruttate nel 2021, dove svettano 3 vulnerabilità critiche di Microsoft, 2 su Microsoft Windows e una su Microsoft Office:
Dove ovviamente molte di queste sono utilizzate in allegati malevoli nelle mail di phishing.
Quello che ha realizzato Yoroi assieme al Sole 24 ore, si tratta di uno strumento molto utile, probabilmente per gli esperti di settore, che può far comprendere l’andamento delle infezioni mondiali da malware.
RedazioneSabato 9 maggio, al Teatro Italia di Roma, si è chiusa la Red Hot Cyber Conference 2025, l’appuntamento annuale gratuito creato dalla community di RHC dedicato alla sicurezza informatica, ...
La banda di criminali informatici di NOVA rivendica all’interno del proprio Data Leak Site (DLS) un attacco informatico al Comune di Pisa. Disclaimer: Questo rapporto include screenshot e/o tes...
Un grave attacco informatico ha colpito l’infrastruttura digitale dell’Università nella notte tra l’8 e il 9 maggio, causando l’interruzione improvvisa dei servizi onl...
Per anni, Reddit è rimasto uno dei pochi angoli di Internet in cui era possibile discutere in tutta sicurezza di qualsiasi argomento, dai videogiochi alle criptovalute, dalla politica alle teorie...
Le autorità statunitensi continuano a cercare soluzioni per fermare la fuga di chip avanzati verso la Cina, nonostante le rigide restrizioni all’esportazione in vigore. Il senatore Tom Cot...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
