Giacomo Lanzi
I Ransomware piu’ pericolosi nel 2020
Tempo di lettura: 5 min
La minaccia ransomware (o cyber estorsione) e’ in aumento. Nel 2020 si e’ registrato un picco nel numero di incidenti segnalati e nella quantita’ di hacker che tentano di estorcere denaro alle organizzazioni. E’ importante che ogni organizzazione faccia tutto il possibile per combattere questi criminali ed essere informati e’ un elemento chiave. In questo articolo vediamo i ransomware piu’ pericolosi del 2020.
Il 2020 sta volgendo al termine e forse non stupisce, vista la situazione mondiale, che si e’ registrato un picco di attacchi ransomware notevole, soprattutto nel primo trimestre. In quel periodo, secondo alcune fonti, ha raggiunto un picco del 25% rispetto al trimestre precedente.
I ransomware piu’ pericolosi
Maze
Secondo un consulente dell’FBI per il settore privato, “Attori informatici sconosciuti hanno preso di mira diverse imprese statunitensi e internazionali con il ransomware Maze dall’inizio del 2019. Maze cripta i dati sul file system di un computer infetto e le relative condivisioni di file di rete. Una volta che la vittima e’ stata compromessa, ma prima dell’evento di cifratura, gli attori estraggono i dati”.
“Dopo l’evento di cifratura, I cyber criminali chiedono un riscatto specifico per la vittima pagato in Bitcoin (BTC) per ottenere la chiave di decifratura. Una campagna internazionale Maze si e’ rivolta al settore sanitario, mentre il suo dispiegamento negli Stati Uniti e’ stato piu’ vario”.
L’FBI ha osservato per la prima volta l’attivita’ di Maze ransomware contro le vittime statunitensi nel novembre 2019. Dalla sua osservazione iniziale, Maze ha utilizzato diversi metodi per l’intrusione, tra cui la creazione di siti di criptovalute dall’aspetto malevolo e campagne di malspam che impersonano agenzie governative e noti fornitori di sicurezza. E’ sicuramente tra i ransomware piu’ pericolosi e insidiosi e ha fatto parecchi danni nell’ultimo anno.
REvil ransomware
Potreste aver sentito parlare di REvil Ransomware a causa di una recente violazione dei media e degli avvocati dello spettacolo Grubman Shire Meiselas & Sacks. Hanno confermato la notizia che il loro studio e’ stato vittima di un attacco di Ransomware. L’attacco e’ avvenuto a inizio 2020.
Diverse celebrita’ di primo piano, clienti dello studio legale, hanno subito potenzialmente una fuga di dati. Il contratto del tour di Madonna e’ stato presumibilmente divulgato.
Gli aggressori hanno raddoppiato la richiesta di riscatto a 42 milioni di dollari e hanno minacciato di rilasciare informazioni dannose sul presidente Trump.
SNAKE (EKANS) Ransomware
Ekans Ransomware e’ una variante del malware che infetta i sistemi di controllo industriali per interrompere le operazioni fino al pagamento di un riscatto. Gli analisti della sicurezza dicono che Ekans e’ uno spin-off di Snake Ransomware e che finora ha infettato le fabbriche legate al settore automobilistico ed elettronico, in particolare Honda.
Secondo quanto riferito, gli hacker hanno preso di mira i server Honda con una variante di malware per la crittografia dei file denominata Ekans, costringendo le autorita’ dell’azienda a mandare a casa gli operai dell’unita’ di produzione quando i dispositivi automatizzati installati sono diventati non operativi.
Anche se Honda non ha mai ammesso che i suoi server sono stati interrotti a causa di un attacco informatico, ha ammesso che la sua infrastruttura IT e’ stata interrotta per motivi imprecisati.
Questo ransomware risulta particolarmente pericoloso per aziende che potrebbero dover bloccare la produzione a causa dell’attacco.
Trickbot Ransomware – il pericolo in una petizione
Una campagna di email di phishing che chiede di votare in forma anonima sulla campagna Black Lives Matter sta diffondendo il malware TrickBot che ruba informazioni. Nato come Trojan bancario, il TrickBot si e’ evoluto per eseguire una varieta’ di comportamenti dannosi.
Questo comportamento include la diffusione laterale attraverso una rete, il furto di credenziali salvate nei browser, il furto di database di Active Directory Services, il furto di cookie e chiavi OpenSSH, il furto di RDP, VNC e PuTTY Credentials e altro ancora. TrickBot collabora anche con operatori ransomware, come Ryuk, per dare accesso a una rete compromessa per distribuire il ransomware.
Mailto (conosciuto come Netwalker Ransomware)
NetWalker e’ apparso sulla scena a meta’ del 2009. Simili ad altre famiglie di ransomware ben supportate, gli operatori si rivolgono ad entita’ di alto valore globali. Gli obiettivi del gruppo si estendono a diverse industrie e abbracciano anche i settori dell’istruzione, della medicina e quello governativo.
NetWalker raccoglie i dati dai suoi obiettivi e viene utilizzato dagli operatori come leva attraverso le minacce per pubblicare o rilasciare i dati nel caso in cui la vittima non soddisfi le loro richieste. Ad oggi, i dati rubati appartenenti a dodici diverse vittime di NetWalker sono stati divulgati pubblicamente. Gli aggressori dietro le campagne NetWalker sono noti per utilizzare utilita’ comuni, kit di strumenti post-sfruttamento e tattiche di Living-off-the-Land (LOTL) per esplorare un ambiente compromesso e sottrarre il maggior numero possibile di dati. Questi strumenti possono includere mimikatz (e relative varianti), varie PSTools, AnyDesk, TeamViewer, NLBrute e altri ancora.
Negli ultimi mesi, si e’ assistito al passaggio di NetWalker ad un modello di consegna RaaS (Ransomware as a Service), che potenzialmente aprira’ la piattaforma ad un numero crescente di criminali intraprendenti. Piu’ recentemente, abbiamo osservato le campagne spam di NetWalker che utilizzano esche legate al COVID-19 per attirare le vittime ad avviare l’infezione.
Conclusioni
I ransomware sono attacchi particolarmente subdoli e pericolosi, che non solo mirano a raccogliere dati, ma fanno leva sulle dinamiche tipiche di un riscatto.
SOD, attraverso il servizio Acronis Cyber Protect Cloud, puo’ difendere i dati da questo tipo di attacco. La protezione avviene analizzando i comportamenti degli utenti e individuando operazioni sospette. L’intervento in caso di attacco e’ immediato e permette di recuperare, nella maggior parte dei casi, i dati attaccati.
Grazie a un sistema di backup, al blocco dell’azione di cifrazione dei dati e all’analisi del comportamento, Acronis Cyber Protect e’ un ottimo servizio contro i piu’ pericolosi attacchi ransomware, capace di individuare i comportamenti sospetti prima che diventino realmente pericolosi per i dati.
Link utili:
Condividi
RSS
Piu’ articoli…
- HTTP/3, tutto quello che c’è da sapere del protocollo di ultima versione
- Machine learning e cybersecurity: Applicazioni UEBA e sicurezza
- Logic Bomb: cosa sono e come prevenirle
- Pass the hash: come guadagnare accesso senza la password
- Ransomware e NAS: un rischio che non si considera
- Monitoring SIEM: le best practice
- Cyber Threat Hunting: a caccia di minacce per la sicurezza
- Ethical hacking: difendere sapendo come attaccare
Categorie …
- Backup as a Service (3)
- Acronis Cloud Backup (18)
- Veeam Cloud Connect (3)
- Cloud CRM (1)
- Cloud Server/VPS (22)
- Conferenza Cloud (4)
- Log Management (2)
- Monitoraggio ICT (4)
- Novita' (12)
- ownCloud (7)
- Privacy (7)
- Secure Online Desktop (14)
- Security (8)
- Ethical Phishing (3)
- SOCaaS (13)
- Vulnerabilita' (82)
- Web Hosting (15)
Tags
CSIRT
- Vulnerabilità in prodotti Cisco non più supportati (EOL)
(AL01/210408/CSIRT-ITA) Aprile 8, 2021Cisco ha reso nota una vulnerabilità critica che interessa alcuni suoi prodotti end-of-life, per i quali consiglia la dismissione.
- Phishing a tema Aruba
(AL01/210407/CSIRT-ITA) Aprile 7, 2021Rilevata una pagina di phishing finalizzata al furto delle credenziali di accesso al portale di gestione dei servizi Aruba.
- Campagna malspam diffonde il trojan Poulight
(AL02/210406/CSIRT-ITA) Aprile 6, 2021È stata recentemente rilevata una campagna malspam finalizzata a diffondere il trojan Poulight, programmato per raccogliere il maggior numero di informazioni sulla macchina infetta.
- Risolta vulnerabilità critica in VMware
(AL01/2100406/CSIRT-ITA) Aprile 6, 2021VMware ha pubblicato un bollettino di sicurezza contenente aggiornamenti per sanare una vulnerabilità con gravità “critica” nella soluzione Carbon Black Cloud Workload.
- La Settimana Cibernetica del 4 aprile 2021 Aprile 5, 2021Scarica il riepilogo delle notizie pubblicate dallo CSIRT italiano dal 29 marzo al 4 aprile 2021.
- Aggiornamenti di sicurezza per Chrome
(AL02/210402/CSIRT-ITA) Aprile 2, 2021Google ha rilasciato una nuova versione del browser Chrome per sanare 8 vulnerabilità, alcune delle quali di gravità “alta”.
- Risolte vulnerabilità su Zimbra
(AL01/210402/CSIRT-ITA) Aprile 2, 2021Rilasciati aggiornamenti per sanare 4 vulnerabilità riscontrate nel software Zimbra, di cui una con gravità “critica”.
- Campagna malevola diffonde Remcos
(BL01/210401/CSIRT-ITA) Aprile 1, 2021Il tool legittimo Remcos viene diffuso per scopi malevoli tramite un file Excel armato di macro.
- Risolte vulnerabilità OpenSSL su prodotti Cisco
(AL02/210331/CSIRT-ITA) Marzo 31, 2021Cisco ha pubblicato un bollettino di sicurezza contenente aggiornamenti per sanare le recenti vulnerabilità di OpenSSL che interessano alcuni prodotti Cisco.
- Risolte vulnerabilità su VMware
(AL01/210331/CSIRT-ITA) Marzo 31, 2021VMware ha pubblicato un bollettino di sicurezza contenente aggiornamenti per sanare 2 vulnerabilità con gravità “critica”.
Dark Reading:
- Battle for the Endpoint Aprile 9, 2021How to build a new cyber strategy for 2021 and beyond.
- CISA Launches New Threat Detection Dashboard Aprile 9, 2021Aviary is a new dashboard that works with CISA's Sparrow threat detection tool.
- Unofficial Android App Store APKPure Infected With Malware Aprile 9, 2021The APKPure app store was infected with malware that can download Trojans to other Android devices, researchers report.
- 8 Security & Privacy Apps to Share With Family and Friends Aprile 9, 2021Mobile apps to recommend to the people in your life who want to improve their online security and privacy.
- Women Are Facing an Economic Crisis & the Cybersecurity Industry Can Help Aprile 9, 2021Investing in women's cybersecurity careers can bring enormous benefits and help undo some of the significant economic damage wrought by the pandemic.
- Zoom Joins Microsoft Teams on List of Enterprise Tools Hacked at Pwn2Own Aprile 8, 2021White-hat hacking event shows yet again why there's no such thing as foolproof security against modern attacks.
- Fraudsters Use HTML Legos to Evade Detection in Phishing Attack Aprile 8, 2021Criminals stitch pieces of HTML together and hide them in JavaScript files, researchers report.
- 600K Payment Card Records Leaked After Swarmshop Breach Aprile 8, 2021A leaked database also contains the nicknames, hashed passwords, contact details, and activity history of Swarmshop admins, sellers, and buyers.
- Handcuffs Over AI: Solving Security Challenges With Law Enforcement Aprile 8, 2021We've tried everything else ... now it's time to make the prospect of getting caught -- and punished -- a real deterrent to cybercrime.
- SecOps and DevOps: From Cooperation to Automation Aprile 7, 2021Omdia Principal Analyst Eric Parizo discusses the major obstacles SecOps organizations face as they seek to build ties with DevOps teams, and offers a programmatic approach to help create a path toward DevSecOps.
Full Disclosure
- CFP ZeroNights 2021 Aprile 10, 2021Posted by CFP ZeroNights on Apr 09ZeroNights 2021 CFP is OPEN: Offensive and defensive research (15/30/45min). Submit your talk! # About conference Place: Saint-Petersburg, Russia Date: 30 June Timeslots: 15/30/45 min Site: https://zeronights.org # CFP Timeline CFP start: 1 March CFP end: 15 May CFP page: https://01x.cfp.zeronights.ru/zn2021/ # Conditions: A speaker may deliver either a […]
- Backdoor.Win32.Small.n / Unauthenticated Remote Command Execution (SYSTEM) Aprile 8, 2021Posted by malvuln on Apr 08Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/fb24c3509180f463c9deaf2ee6705062.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Backdoor.Win32.Small.n Vulnerability: Unauthenticated Remote Command Execution (SYSTEM) Description: The backdoor malware listens on TCP Port 1337, upon successful connection we get handed a remote shell from the infected host with SYSTEM...
- [SYSS-2020-032] Open Redirect in Tableau Server (CVE-2021-1629) Aprile 8, 2021Posted by Vladimir Bostanov on Apr 08Advisory ID: SYSS-2020-032 Product: Tableau Server Manufacturer: Tableau Software, LLC, a Salesforce Company Affected Version(s): 2019.4-2019.4.17, 2020.1-2020.1.13, 2020.2-2020.2.10, 2020.3-2020.3.6, 2020.4-2020.4.2 Tested Version(s): 2020.2.1 (20202.20.0525.1210) 64-bit Windows Vulnerability Type: URL Redirection to Untrusted Site (CWE-601) Risk Level: Medium Solution Status: Fixed Manufacturer Notification: 2020-07-29 Solution Date:...
- Backdoor.Win32.Hupigon.das / Unauthenticated Open Proxy Aprile 8, 2021Posted by malvuln on Apr 08Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/7afe56286039faf56d4184c476683340.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Backdoor.Win32.Hupigon.das Vulnerability: Unauthenticated Open Proxy Description: The malware drops an hidden executable named "winserv.com" under Windows dir, which accepts TCP connections on port 8080. Afterwards, it connects to a...
- Trojan.Win32.Hotkeychick.d / Insecure Permissions Aprile 8, 2021Posted by malvuln on Apr 08Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/aff493ed1f98ed05c360b462192d2853.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Trojan.Win32.Hotkeychick.d Vulnerability: Insecure Permissions Description: creates an insecure dir named "Sniperscan" under c:\ drive and grants change (C) permissions to the authenticated user group. Standard users can rename the...
- Trojan-Downloader.Win32.Genome.qiw / Insecure Permissions Aprile 8, 2021Posted by malvuln on Apr 08Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/5cddc4647fb1c59f5dc7f414ada7fad4.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Trojan-Downloader.Win32.Genome.qiw Vulnerability: Insecure Permissions Description: Genome.qiw creates an insecure dir named "tmp" under c:\ drive and grants change (C) permissions to the authenticated user group. Standard users can...
- Trojan-Downloader.Win32.Genome.omht / Insecure Permissions Aprile 8, 2021Posted by malvuln on Apr 08Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/01055838361f534ab596b56a19c70fef.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Trojan-Downloader.Win32.Genome.omht Vulnerability: Insecure Permissions Description: Genome.omht creates an insecure dir named "wjmd97" under c:\ drive and grants change (C) permissions to the authenticated user group. Standard users can...
- Trojan.Win32.Hosts2.yqf / Insecure Permissions Aprile 8, 2021Posted by malvuln on Apr 08Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/274a6e846c5a4a2b3281198556e5568b.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Trojan.Win32.Hosts2.yqf Vulnerability: Insecure Permissions Description: Hosts2.yqf creates an insecure dir named "mlekaocYUmaae" under c:\ drive and grants change (C) permissions to the authenticated user group. Standard users can...
- usd20210005: Privileged File Write in Check Point Identity Agent < R81.018.0000 Aprile 8, 2021Posted by Responsible Disclosure via Fulldisclosure on Apr 08### Advisory: Privileged File Write Description =========== The Check Point Identity Agent allows low privileged users to write files to protected locations of the file system. Details ======= Advisory ID: usd-2021-0005 Product: Check Point Identity Agent Affected Version: < R81.018.0000 Vulnerability Type: Symlink Vulnerability Security Risk: High […]
- CVE-2021-26709 - Multiple Pre-Auth Stack Buffer Overflow in D-Link DSL-320B-D1 ADSL Modem Aprile 8, 2021Posted by Gabriele Gristina on Apr 08Multiple Pre-Auth Stack Buffer Overflow in D-Link DSL-320B-D1 ADSL Modem ======== < Table of Contents > ========================================= 0. Overview 1. Details 2. Solution 3. Disclosure Timeline 4. Thanks & Acknowledgements 5. References 6. Credits 7. Legal Notices ======== < 0. Overview > =============================================== Release Date: 7 March 2021 Revision: […]
Customers
Twitter FEED
Recent activity
-
SecureOnlineDesktop
ICON_PLACEHOLDEREstimated reading time: 6 minutes Out of nowhere, someone replies to an email conversation dated… https://t.co/kXIx3FPWfm
-
SecureOnlineDesktop
L'hacking etico e la salvaguardia del patrimonio aziendale https://t.co/SLncmaZ1ci
-
SecureOnlineDesktop
ICON_PLACEHOLDERTempo di lettura: 5 minutes Le ransomware gang hanno preso di mira le aziende negli ultimi tempi,… https://t.co/3hF62deo6S
-
SecureOnlineDesktop
ICON_PLACEHOLDEREstimated reading time: 10 minutes Ingegneria sociale è il termine usato per una vasta gamma di a… https://t.co/gj1hMDdfjn
-
SecureOnlineDesktop
Enterprise e piccole aziende, l'importanza di un Next Generation SIEM https://t.co/qT4PxR13Li
Newsletter
Prodotti e Soluzioni
Collaborazioni
Modelli Cloud
News
- HTTP/3, tutto quello che c’è da sapere del protocollo di ultima versione Aprile 5, 2021
- Machine learning e cybersecurity: Applicazioni UEBA e sicurezza Marzo 31, 2021
- Logic Bomb: cosa sono e come prevenirle Marzo 29, 2021
- Pass the hash: come guadagnare accesso senza la password Marzo 24, 2021
- Ransomware e NAS: un rischio che non si considera Marzo 22, 2021
Recensioni Google
Contatti
Copyright © 2011 Secure Online Desktop s.r.l. All Rights Reserved.
VAT: 07485920966 “Cloud Computing services - Software cloud - Cloud server - VPS” Terms of ServicePrivacy Policy
ISO Certifications