Ransomware a doppia estorsione Cover Giacomo Lanzi

Ransomware a doppia estorsione: Cosa sono e come difendersi

Estimated reading time: 8 minutes

Cercando di alzare la posta in gioco e guadagnare più soldi con il ransomware, i criminali informatici utilizzano sempre più spesso una tattica nota come ransomware a doppia estorsione. Non solo criptano i dati e chiedono un riscatto alla vittima per riottenere l’accesso. Minacciano anche di caricarli online se le loro condizioni non vengono soddisfatte.

Facciamo un passo indietro, il ransomware è uno dei tipi più comuni di minaccia informatica. Prende di mira un’azienda ogni 14 secondi ed è costato $11,5 miliardi solo nel 2019. In genere, gli hacker che effettuano questi attacchi violano un sistema per rubare i dati e cancellarli se la vittima non paga un riscatto.

Ransomware a doppia estorsione

Perché gli hacker prediligono i ransomware a doppia estorsione?

L’ascesa del ransomware a doppia estorsione dimostra che i criminali informatici espandono costantemente il loro arsenale. Paolo Passeri, direttore di cyber intelligence della ditta di software Netskope, dice che questi attacchi sono diventati popolari perché sono il modo più semplice per gli hacker di guadagnare.

Dice Passeri: “Con gli attacchi ransomware a doppia estorsione, anche se è disponibile un backup, gli aggressori possono mettere più pressione sulla vittima per pagare il riscatto. La maggiore pressione deriva dalle potenziali gravi conseguenze di una fuga di dati, per esempio danni economici e di reputazione. Gruppi come REvil sono ancora più creativi: non fanno semplicemente trapelare i dati, li monetizzano mettendoli all’asta sul dark web e mettendo ancora più pressione sulle loro vittime.”

Quando conducono un attacco ransomware a doppia estorsione, gli hacker cominciano a dedicare più tempo alla strategia generale. Passeri avverte che i truffatori non stanno più adottando un approccio opportunistico. Stanno, invece, selezionando attentamente il loro obiettivo e il metodo di attacco per aumentare il denaro che guadagnano dai riscatti. Spiega: “gli attori della minaccia selezionano le loro vittime, scegliendo organizzazioni i cui affari possono essere colpiti da una fuga di dati“.

Lo spear phishing è il mezzo principale per distribuire ransomware a doppia estorsione, ma i criminali informatici stanno anche sfruttando le vulnerabilità nei dispositivi on-premises come i concentratori VPN. “Negli ultimi mesi, quasi tutte le principali tecnologie VPN hanno subito gravi vulnerabilità che sono state sfruttate per attacchi simili”, dice Passeri.

“Questo è spiacevole, data la situazione attuale con telelavoro forzato dove queste tecnologie di accesso remoto giocano un ruolo cruciale nel garantire la continuità aziendale durante il Covid-19. Questi sistemi sono direttamente esposti a Internet, quindi gli attori della minaccia possono scansionarli e successivamente sfruttare qualsiasi vulnerabilità scoperta”.

Rischi del Doxing: la diffusione dei dati privati

Il ransomware a doppia estorsione fornisce ai criminali informatici maggiori opportunità, permettendo loro di estorcere due volte alle vittime. Possono chiedere un primo pagamento per decriptare i file e un secondo per non renderli pubblici.

Questa tecnica, conosciuta anche come doxing, è stata usata da un numero crescente di gruppi ransomware nell’ultimo anno. Le conseguenze del doxing sono più gravi per la vittima, quindi spesso si abbassano alle richieste. Questo significa più soldi nelle tasche dei criminali informatici per finanziare nuovi ceppi di ransomware e sostenere altre attività criminali.

I miglioramenti nel malware e gli incentivi finanziari per gli hacker hanno portato alla crescita degli attacchi ransomware a doppia estorsione. In passato il ransomware criptava i file e gli hacker rubavano i dati, ma era raro fare entrambe le cose.

Ora abbiamo bot che possono scansionare il web alla ricerca di dati non protetti, rubarli, criptarli o cancellarli e lasciare una nota di riscatto per il proprietario, il tutto in un unico attacco automatizzato. L’hacker può poi riscuotere un riscatto per i dati e vendere i dati ad altri criminali, facendo il doppio gioco con il minimo sforzo.

Ransomware a doppia estorsione Doxing

Una tattica aggressiva

Nell’ultimo anno c’è stato un afflusso di attacchi ransomware a doppia estorsione. Gli hacker hanno guadagnato trazione alla fine del 2019 quando dei gruppi di alto profilo come Maze hanno iniziato a sfruttare aggressivamente questa tattica.

In questi casi particolarmente aggressivi, l’hacker estraeva una copia dei dati prima di criptarli. In questo modo l’aggressore non solo impedisce alla vittima di accedere ai suoi dati, ma tiene anche una copia dei dati per sé.

Per rivendicare la responsabilità e fare pressione sulla vittima durante il processo di negoziazione, l’attaccante spesso rilasciava piccole porzioni di dati online. Se le trattative si bloccano o falliscono, l’aggressore pubblica tutti i dati sottratti o li vende a terzi. Questo crea una significativa violazione nei confronti della vittima.

Cosa fare

Per difendersi da questi attacchi, ci sono diversi passi che le aziende dovrebbero fare. Per esempio, mantenere i sistemi aggiornati per garantire che le vulnerabilità conosciute siano risolte. È anche imperativo che le organizzazioni abbiano un approccio di sicurezza a più livelli che includa l’uso di strumenti di prevenzione della perdita di dati. Un esempio è il servizio offerto da SOD Acronis Cyber Protect Cloud. Il sistema può fermare l’estrazione o la cifratura dei dati che dà inizio a questi attacchi di doppia estorsione.

Ma cosa possono fare le organizzazioni se non riescono a mitigare con successo uno di questi attacchi?

Le organizzazioni dovrebbero cercare di includere un’ultima linea di difesa che isoli e fermi immediatamente la crittografia illegittima. Questo mitiga il rischio quando la sicurezza tradizionale basata sulla prevenzione è stata compromessa o bypassata. Anche i processi di backup robusti, comprese le copie off-line (air-gap backup), dovrebbero essere presi in considerazione per rendere più difficile ai criminali criptare o disabilitare gli archivi di dati critici.

Conseguenze

Se un’organizzazione diventa vittima di un attacco ransomware a doppia estorsione, ci sono spesso conseguenze disastrose. I gruppi di criminali sono sempre più sfacciati, anche i nomi distopici come Maze, Netwalker e REvil, sono un indice di questa inclinazione. Il loro orgoglio li porta a mostrare i dati esfiltrati come trofei online e sponsorizzare persino concorsi clandestini di hacking per mostrare il loro malware. In una sorta di cyber show-off.

Per le vittime le conseguenze possono essere devastanti. Travelex, un servizio di cambio valuta, è andato in amministrazione controllata con la perdita di 1.300 posti di lavoro nel Regno Unito a seguito di un attacco ransomware. Durante il colpo, la cyber gang REvil ha chiesto all’azienda di pagare 6 milioni di dollari in 48 ore. L’azienda ha dovuto fare i conti con la minaccia di pubblicazione dei dati della carta di credito, dei numeri di assicurazione nazionale e delle date di nascita dei suoi clienti.

Chiaramente è fondamentale che le aziende facciano tutto il possibile per identificare e fermare questi attacchi prima che causino danni maggiori. Prevenire questi attacchi in modo proattivo è molto meglio che mitigarne gli effetti, con tutti i costi finanziari e i danni alla reputazione che comportano.

La maggior parte degli aggressori ottiene l’accesso attraverso un errore umano. Per questo, insieme a misure tecniche come la gestione interna dell’accesso ai dati e il back-up, l’addestramento del personale e la vigilanza sono elementi chiave nelle difese di un’organizzazione.

Le vittime hanno essenzialmente due scelte, entrambe costose: se si rifiutano di pagare, affrontano una catastrofica violazione di dati con esposizione a dolorose multe normative e richieste civili; se pagano il riscatto, non hanno comunque alcuna garanzia di restituzione dei dati.

Ransomware a doppia estorsione Conseguenze

Gestire i ransomware a doppia estorsione

Anche se essere colpiti da un ransomware può infliggere un duro colpo a qualsiasi azienda, le compagnie dovrebbero essere prudenti quando viene chiesto loro di pagare un riscatto. Farlo potrebbe comportare rischi ancora maggiori. Non c’è certezza che questi hacker non chiederanno altri soldi senza rilasciare comunque i dati.

È importante per le aziende mettere in sicurezza le loro reti e condurre test di simulazione per mitigare la minaccia del ransomware. Tali attacchi simulati aiuteranno ad evidenziare le vulnerabilità all’interno dell’organizzazione senza il rischio di affrontare seri problemi finanziari e di dover rispondere a domande molto difficili da parte dei clienti.

Implementare forti misure di resilienza è il modo migliore per prevenire il ransomware a doppia estorsione. Il ransomware è spesso un’infezione secondaria. Gli attori delle minacce cercano di sfruttare le vulnerabilità conosciute, in particolare in relazione ai protocolli di accesso remoto e alle applicazioni che sono fondamentali per lavorare da casa.

Critico per mitigare tutto ciò, è assicurarsi che le vulnerabilità vengano patchate in modo tempestivo e che i log dei dati di rete vengano monitorati per rilevare qualsiasi attività insolita o esfiltrazione di dati. C’è quindi una potenziale finestra di opportunità per rimediare a qualsiasi infezione primaria (che precede il ransomware) e quindi impedire che si sviluppi il processo per la richiesta di riscatto.

Educazione

Le organizzazioni devono educare il personale sui rischi del ransomware a doppia estorsione e su come viene eseguito. Anche gli utenti individuali possono essere di grande aiuto essendo consapevoli del potenziale degli allegati non sicuri. Dovrebbero, inoltre, essere prudenti nel cliccare qualsiasi link e-mail ricevuto in qualsiasi comunicazione, in particolare con la recente ricomparsa di Emotet, un malware noto.

Ci sono due strategie di difesa per affrontare il ransomware a doppia estorsione. Innanzi tutto, backup robusti, per assicurarsi di non avere le mani legate se gli hacker ottengono il controllo dei dati. Poi, la crittografia, per assicurarsi che se un aggressore minaccia di esporre i dati, anche questo sia protetto.

Questi approcci dovrebbero poi essere incorporati in una strategia più ampia: un attento monitoraggio della rete che potrebbe permettere di tagliare fuori gli aggressori, e la promozione dell’educazione informatica dei dipendenti a non cadere vittima di attacchi di phishing che spesso sono la causa principale di un incidente ransomware.

La minaccia del ransomware a doppia estorsione è innegabile, con i criminali informatici che prendono attentamente di mira e creano questi attacchi nel tentativo di aumentare le dimensioni dei riscatti.

Spesso le organizzazioni pensano di non avere altra scelta che pagare il riscatto per evitare la fuga di dati sensibili. Ma in realtà si tratta di un gioco di roulette russa e le informazioni rubate possono ancora farsi strada online. Quindi l’attenzione deve concentrarsi sulla prevenzione e sulla mitigazione del rischio.

Condividi


RSS

Piu’ articoli…

Categorie …

Tags

RSS CSIRT

RSS Dark Reading:

RSS Full Disclosure

  • Backdoor.Win32.Zombam.gen / Information Disclosure Giugno 15, 2021
    Posted by malvuln on Jun 15Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/ff6516c881dee555b0cd253408b64404_D.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Backdoor.Win32.Zombam.gen Vulnerability: Information Disclosure Description: Zombam malware listens on TCP port 80 and deploys an unsecured HTML Web UI for basic remote administration capability. Third-party attackers who can reach an infected...
  • Backdoor.Win32.VB.pld / Unauthenticated Remote Command Execution Giugno 15, 2021
    Posted by malvuln on Jun 15Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/6ff35087d789f7aca6c0e3396984894e_B.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Backdoor.Win32.VB.pld Vulnerability: Unauthenticated Remote Command Execution Description: The malware listens on TCP port 4000. Third-party attackers who can reach infected systems can connect to port 4000 and run commands made available […]
  • Backdoor.Win32.VB.pld / Insecure Transit Giugno 15, 2021
    Posted by malvuln on Jun 15Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/6ff35087d789f7aca6c0e3396984894e.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Backdoor.Win32.VB.pld Vulnerability: Insecure Transit Description: The malware listens on TCP port 4000 and has a chat feature "Hnadle-X Pro V1.0 Text Chat". Messages are passed in unencrypted plaintext across the network. […]
  • popo2, kernel/tun driver bufferoverflow. Giugno 15, 2021
    Posted by KJ Jung on Jun 15Linux kernel 5.4 version. latest. __tun_chr_ioctl function of ~/drivers/net/tun.c has a stack buffer overflow vulnerability. it get's arg, ifreq_len, and copy the arg(argp) to ifr(ifreq struct) and this steps are no bounds-checking. if cmd == TUNSETIFF or TUNSETQUEUE or and so on condition then it's enter copy_from_user function area.
  • Onapsis Security Advisory 2021-0014: Missing authorization check in SAP Solution Manager LM-SERVICE Component SP 11 PL 2 Giugno 14, 2021
    Posted by Onapsis Research via Fulldisclosure on Jun 14# Onapsis Security Advisory 2021-0014: Missing authorization check in SAP Solution Manager LM-SERVICE Component SP 11 PL 2 ## Impact on Business Due to a missing authorization check in SAP Solution Manager LM-SERVICE component a remote authenticated attacker could be able to execute privileged actions in the […]
  • Onapsis Security Advisory 2021-0013: [CVE-2020-26829] - Missing Authentication Check In SAP NetWeaver AS JAVA P2P Cluster communication Giugno 14, 2021
    Posted by Onapsis Research via Fulldisclosure on Jun 14# Onapsis Security Advisory 2021-0013: [CVE-2020-26829] - Missing Authentication Check In SAP NetWeaver AS JAVA P2P Cluster communication ## Impact on Business A malicious unauthenticated user could abuse the lack of authentication check on SAP Java P2P cluster communication, in order to connect to the respective TCP […]
  • Onapsis Security Advisory 2021-0012: SAP Manufacturing Integration and Intelligence lack of server side validations leads to RCE Giugno 14, 2021
    Posted by Onapsis Research via Fulldisclosure on Jun 14# Onapsis Security Advisory 2021-0012: SAP Manufacturing Integration and Intelligence lack of server side validations leads to RCE ## Impact on Business By abusing a Code Injection in SAP MII, an authenticated user with SAP XMII Developer privileges could execute code (including OS commands) on the server. […]
  • Onapsis Security Advisory 2021-0011 Missing authorization check in SolMan End-User Experience Monitoring Giugno 14, 2021
    Posted by Onapsis Research via Fulldisclosure on Jun 14# Onapsis Security Advisory 2021-0011: Missing authorization check in SolMan End-User Experience Monitoring ## Impact on Business Any authenticated user of the Solution Manager is able to craft/upload and execute EEM scripts on the SMDAgents affecting its Integrity, Confidentiality and Availability. ## Advisory Information - Public Release […]
  • Onapsis Security Advisory 2021-0010: File exfiltration and DoS in SolMan End-User Experience Monitoring Giugno 14, 2021
    Posted by Onapsis Research via Fulldisclosure on Jun 14# Onapsis Security Advisory 2021-0010: File exfiltration and DoS in SolMan End-User Experience Monitoring ## Impact on Business The End-User Experience Monitoring (EEM) application, part of the SAP Solution Manager, is vulnerable to path traversal. As a consequence, an unauthorized attacker would be able to read sensitive […]
  • Onapsis Security Advisory 2021-0009: Hard-coded Credentials in CA Introscope Enterprise Manager Giugno 14, 2021
    Posted by Onapsis Research via Fulldisclosure on Jun 14# Onapsis Security Advisory 2021-0009: Hard-coded Credentials in CA Introscope Enterprise Manager ## Impact on Business Unauthenticated attackers can bypass the authentication if the default passwords for Admin and Guest have not been changed by the administrator. This may impact the confidentiality of the service. ## Advisory […]

Customers

Newsletter