Redazione RHC : 29 Luglio 2021 15:38
Parliamo spesso del Ransomware su questo blog, dove nel tempo abbiamo trattato diverse cyber-gang e descritto con precisione il fenomeno della RaaS (Ransomware as a Service), una organizzazione criminale piramidale, che consente oggi di violare grandi aziende e richiedere riscatti sempre più importanti.
Supporta Red Hot Cyber attraverso
Partendo dal primo Ransomware della storia, ovvero Trojan AIDS, creato dal medico Joseph Popp, siamo arrivati ai tempi recenti dove il fenomeno dell’estorsione è passata dalla modalità più semplice (prima estorsione), fino alla terza.
Queste forme variopinte di estorsione possono suddividersi appunto in:
Ma mentre la terza estorsione viene portata avanti da cyber-gang di élite (lo abbiamo visto nell’intervista ad UNKNOWN, la voce di REvil all’interno del forum XSS), oppure da gruppi altamente sofisticati come Darkside, la seconda estorsione, nata dalla cyber-gang Maze a fine 2019, è quella che porta maggiori vantaggi ed è quella che permette grossi guadagni con un minimo sforzo. Regola principale del cybercrime da profitto.
“Gli attacchi di questo tipo rappresentano un importante cambio di paradigma in ambito estorsione digitale”
ha spiegato al Sole 24 Ore Marco Ramilli, Ceo e Founder di Yoroi (del gruppo Tinexta Cyber).
“Nati per rispondere alla rassicurante certezza della vittima offerta da moderni sistemi di backup o disaster recovery, introducono nella fase di ricatto, la pubblicazione di documenti intimi per la vittima stessa. In questo modo la vittima non solo vede i propri sistemi informativi bloccati ma anche i propri documenti condivisi in rete. Una seconda leva psicologica estremamente significativa per ogni vittima. Ma non bisogna cedere a ricatti, non dobbiamo alimentare quel mercato che devia la giustizia digitale e per questo motivo abbiamo deciso di collaborare con Il Sole 24 Ore offrendo un set di informazioni gratuite per sensibilizzare il lettore sull’enorme frequenza di minacce digitali e sul loro andamento storico in modo da incuriosire ed allertare la sua attenzione verso ciò che più è rilevante in un preciso momento”.
Il risultato della collaborazione tra il Sole 24 ore e Yoroi (una realtà tutta italiana che si occupa di intelligence delle minacce), ha prodotto una dashboard che viene aggiornata quotidianamente, la quale riporta i principali attacchi, le tendenze e le tipologie di minacce informatiche in corso.
La dashboard consente di visualizzare con un ritardo di un giorno, la situazione globale degli attacchi ransomware, dove è possibile cliccando sulla “bolla” relativa, accedere al numero corrispondente per un dato paese. E’ possibile inoltre visualizzare, partendo dal 16 di maggio, una animazione che mostra le infezioni da ransomware globali e il loro susseguirsi nel tempo.
E’ possibile anche entrare più nel dettagli andando a filtrare gli eventi per delle specifiche cyber-gang, come abbiamo fatto noi in questo caso.
Il grafico mostra gli eventi nella scala del tempo, ed infatti andando a ricercare l’attacco di REvil alla JBS del primo di giugno 2021, risulta correttamente riportato.
E’ possibile anche visualizzare il malware che avvia l’infezione con un altro grafico, anche se si vede in maniera molto netta che si tratta principalmente di file eseguibili, o downloader che poi distribuiscono successivamente il carico utile (payload) del ransomware stesso.
Infatti, le infezioni da ransomware vengono spesse avviate utilizzando un servizio RDP esposto in maniera non corretta o vulnerabile, come riportato da CoveWare e oltretutto tale sfruttamento risulta in grande aumento, pari al 768% come dalla ricerca svolta da EST.
Come abbiamo riportato nell’analisi della RaaS, negli attacchi di alto profilo, il vettore di attacco principale spesso viene acquisito dalle cyber-gang attraverso i “broker di accesso”. Si tratta di altri attori della piramide della RaaS (descritta con precisione nell’articolo di Red Hot Cyber), i quali sono specializzati in attività offensive (penetration test), avendo come unico obiettivo quello di acquisire persistenza all’interno di una rete di una organizzazione.
Tali broker rivendono alla cyber-gang questi vettori di attacco (anche a prezzi molto alti, come ad esempio 100.000 euro per una azienda di grandissime dimensioni, come richiesto recentemente nelle underground da BlackMatter), in modo che assieme ai propri “affiliati” procedono a colpire l’organizzazione, ad es-filtrare quanti più dati possibili e quindi, lanciare il ransomware (l’ultima parte del processo di attacco).
In una recente analisi svolta da Cognyte, sono state riportate le principali CVE sfruttate nel 2021, dove svettano 3 vulnerabilità critiche di Microsoft, 2 su Microsoft Windows e una su Microsoft Office:
Dove ovviamente molte di queste sono utilizzate in allegati malevoli nelle mail di phishing.
Quello che ha realizzato Yoroi assieme al Sole 24 ore, si tratta di uno strumento molto utile, probabilmente per gli esperti di settore, che può far comprendere l’andamento delle infezioni mondiali da malware.
Redazione: [email protected]
© Copyright RED HOT CYBER. PIVA 16821691009