Ransomware novità mani con guanti Giacomo Lanzi

Ransomware: novità recenti 2020/21

Tempo di lettura stimato: 8 minuti

Come sappiamo, un ransomware è un malware che ha lo scopo di estorcere denaro alle vittime. Il mezzo che utilizza è la crittografia per cifrare i dati delle vittime, sia locali che in cloud, e fare in modo che essi siano inaccessibili.

Il ransomware è quindi un ricatto informatico vero e proprio: se la vittima si rifiuta di pagare la somma richiesta, non solo gli verrebbe negato l’accesso ai suoi dati, ma c’è anche il rischio che questi dati vengano totalmente distrutti dagli hacker. Non esiste nessuna garanzia che al pagamento del riscatto corrisponda la riconsegna dei dati non cifrati.

La propensione o meno a pagare un riscatto è stata analizzata da uno studio del 2020, nel quale è emerso che il 65% degli intervistati paga senza esitazione. Inoltre, emerge che più della metà del campione ha pagato quando è stato vittima di un attacco. Anche in Italia gli attacchi informatici colpiscono e il 33% degli italiani vittima di ransomware ha dichiarato che, nonostante abbia pagato il riscatto, i dati in possesso della vittima siano andati totalmente o parzialmente persi. Non c’è infatti nessuna certezza che, pagando una somma di denaro, vengano consegnate le chiavi di decrittazione dei file.

Ransomware novità hacker

Ransomware: novità recenti

Nel 2020 è stato dichiarato da Microsoft che i Ransomware sono stati una delle principali minacce. Si è stimato infatti che gli attacchi digitali di questo tipo siano aumentati nel 2020 rispetto all’anno precedente. Così è accaduto anche nel 2021.

Lo sviluppo delle tecniche

Lo sviluppo delle tecniche ransomware è stato abbastanza lineare. I primi attacchi non erano così organizzati come quelli che si vedono adesso. Venivano eseguiti da hacker singoli e spesso venivano utilizzai per colpire gruppi ristretti di persone, se non un singolo utente. A queste vittime venivano estorte piccole somme di denaro, che col tempo andavano aumentando sempre di più.

L’utilizzo del Ransomware su larga scala risale agli ultimissimi anni: di recente, infatti, si sono evoluti. Adesso sono cambiati gli attori di questi riscatti, che sono gruppi di cybercriminali organizzati.

Ad essere presi di mira non sono più singoli utenti, ma le grandi aziende e i loro dati. La decisione di aumentare il raggio d’azione dei ransomware fu una novità dovuta al fatto che ai criminali e agli hacker abbia convenuto premere sull’urgenza delle aziende di recuperare dati di elevata importanza che non possono essere persi e dalla maggiore possibilità delle aziende di cedere a riscatti più sostanziosi.

Anche il momento in cui avviene l’attacco non è più casuale, ma frutto di una spietata strategia. I criminali scelgono infatti i momenti di festività o i momenti in cui l’azienda è più debole, momenti in cui è facile che i tecnici informatici prestino meno attenzione agli accessi non autorizzati alle banche dati.

Ransomware a doppia estorsione, una delle ultime novità

Un’altra novità che emersa di recente sui ransomware è la doppia estorsione, una tecnica che finisce per estorcere una somma di denaro maggiore. Questa tecnica mette in pratica un doppio riscatto che fa leva sulle debolezze della vittima.

In un primo momento il ricatto si basa sull’accesso ai dati, che viene negato alle vittime. Quando un primo riscatto viene pagato, diverse bande di cybercriminali chiedono un secondo pagamento per evitare che i dati in loro possesso vengano resi pubblici o rilasciati alle aziende competitor.

In questo modo, le aziende non solo devono pagare il primo riscatto per ri-ottenere l’accesso ma gli verrà chiesto un secondo riscatto per mantenere la riservatezza dei dati che comunque potrebbero essere in mano del gruppo di criminali.

Gli attacchi ransomware del 2021

Gli attacchi ransomware sono aumentati a dismisura e non è una novità. Negli ultimi anni, questo nuovo modus operandi della doppia estorsione è risultato molto più remunerativo della semplice eliminazione dei dati, che comunque non deve essere esclusa come possibilità. Anche in caso di pagamento del riscatto, diverse aziende hanno dichiarato di non aver più avuto accesso ai dati.

Nel 2021, l’anno con il numero più consistente di attacchi di tipo ransomware mai registrati, c’è stata una perdita complessiva di denaro pari a 6 mila miliardi di dollari. Le tipologie di attacco ransomware sono diventate sempre più sofisticate e studiate per colpire al cuore le banche dati aziendali e soprattutto per eludere i sistemi di sicurezza informatici delle stesse, che purtroppo risultano obsoleti molto rapidamente.

Ci sono stati diversi attacchi di importanza massiccia che hanno visto come protagonisti diversi tipologie di aziende.

Attacco alla Colonial Pipeline Company

Uno dei più significativi attacchi è stato quello del gruppo hacker DarkSide ai danni della Colonial Pipeline Company, avvenuto a inizio maggio 2021. I danni immediati provocati da questo attacco sono stati l’interruzione della fornitura di carburante che doveva arrivare nel Sud degli Stati Uniti d’America.

Questo attacco è stato di gran lunga il più pesante dell’anno 2021, dato che la Colonial Pipeline si occupa dell’erogazione di più della metà del carburante in circolazione in quella zona degli USA. Il risultato è stato devastante non solo per quanto riguarda il modo in cui ha reagito la compagnia, ma soprattutto per la reazione dei consumatori: è scattata immediatamente la corsa al carburante. Le persone si sono affrettate a riempire quante più taniche di carburante possibile, per evitare di restare a secco, con tutti i rischi che queste azioni si portano dietro.

L’azione informatica, che è costata all’azienda ben 4.4 milioni di dollari, poteva benissimo essere evitata. Difatti, una volta terminato l’attacco e analizzati i resoconti delle azioni dei cybercriminali, è saltata all’occhio immediatamente la mancanza di una delle misure di sicurezza più semplici eppure più efficaci: l’autenticazione a più fattori.

Senza quest’ultima, infatti, gli hacker si sono trovati di fronte una sola barriera da abbattere prima di accedere ai dati, motivo per cui l’attacco è stato così semplice da portare a termine. La facilità con cui l’attacco ha colpito è stata fondamentale nella stimolazione di ulteriori attacchi Ransomware, perché ha aperto le strade verso la probabilità che aziende di alto calibro pecchino di mancanza di sicurezza informatica proprio come la Colonial Pipeline.

Attacco alla CNA Financial

Un ulteriore attacco informatico registrato è stato quello alla CNA Financial. Questo è stato particolarmente impressionante per la facilità con cui la violazione è avvenuta nei confronti di un sistema di sicurezza che si considerava essere uno dei più sicuri.

Le conseguenze dell’attacco sono state in primis un’interruzione della rete e, successivamente, l’impossibilità di acquisire nuovamente la piena operatività della rete. Le vittime singole di questo attacco sono state oltre 15.000. Infatti l’attacco è avvenuto da remoto e ha colpito i computer di quasi tutti i dipendenti. Il riscatto richiesto (e pagato) ammonta a 40 milioni di dollari.

Non si conosce l’identità del mandante dell’attacco, ma molti particolari fanno pensare ad Evil Corp come esecutore dell’attacco. L’indizio più evidente è il software utilizzato, che si chiama Hades, utilizzato in passato proprio dalla Evil Corp.

Nonostante ciò, la Evil Corp non è mai stata sanzionata per i danni provocati a CNA Financial.

Ransomware novità mani con guanti

Come difendersi?

Come abbiamo visto dalle ultime novità ransomware, non è facile recuperare i propri dati se si è vittima di questo tipo di attacchi. Anche se si decide di pagare il riscatto, non è detto che si torni in possesso dei propri dati. Di conseguenza, la difesa più efficiente è la prevenzione, che può essere effettuata in diversi modi.

SOCaaS e UEBA per identificare le minacce

Uno dei modi più efficaci per difendersi è il sistema UEBA, integrato nel SOCaaS offerto da SOD. Questo sistema si basa sull’analisi degli utenti e delle entità. Se, per un hacker, è semplice ottenere le informazioni di accesso di un utente aziendale, è comunque difficile comportarsi normalmente senza suscitare sospetti. Il sistema UEBA monitora i comportamenti di ogni utente ed entità e fa scattare l’allarme nel caso in cui i comportamenti subiscano un cambiamento. Il cambiamento nelle abitudini può essere lecito, ma in questo modo possiamo investigare in maniera immediata per mitigare il rischio.

Il sistema UEBA funziona grazie a diversi algoritmi che monitorano le abitudini degli utenti e dei sistemi coinvolti e segnalano ogni anomalia. Assieme al SIEM, sono componenti fondamentali del SOC che offriamo ai nostri clienti.

Conclusioni

In ogni caso, si consiglia di non cedere per nessun motivo ai riscatti. Si raccomanda una massima attenzione alle frodi e al phishing e l’installazione di antivirus aggiornati.

Per una maggiore sicurezza di alto livello per la tua azienda, non esitare a contattarci per sapere quali soluzioni possiamo offrire per mettere al sicuro i vostri dati. Saremo lieti di rispondere a ogni dubbio.

Useful links:

Condividi


RSS

Piu’ articoli…

Categorie …

Tags

RSS CSIRT

RSS darkreading

RSS Full Disclosure

  • SEC Consult SA-20240220-0 :: Multiple Stored Cross-Site Scripting Vulnerabilities in OpenOLAT (Frentix GmbH) Febbraio 21, 2024
    Posted by SEC Consult Vulnerability Lab, Research via Fulldisclosure on Feb 20SEC Consult Vulnerability Lab Security Advisory < 20240220-0 > ======================================================================= title: Multiple Stored Cross-Site Scripting Vulnerabilities product: OpenOLAT (Frentix GmbH) vulnerable version:
  • Re: Buffer Overflow in graphviz via via a crafted config6a file Febbraio 21, 2024
    Posted by Matthew Fernandez on Feb 20The fix for this ended up landing in Graphviz 10.0.1, available at https://graphviz.org/download/. Details of this CVE (CVE-2023-46045) are now published, but the CPEs are incomplete. For those who track such things, the affected range is [2.36.0, 10.0.1).
  • CVE-2024-24681: Insecure AES key in Yealink Configuration Encrypt Tool Febbraio 21, 2024
    Posted by Jeroen J.A.W. Hermans via Fulldisclosure on Feb 20CloudAware Security Advisory CVE-2024-24681: Insecure AES key in Yealink Configuration Encrypt Tool ======================================================================== Summary ======================================================================== A single, vendorwide, hardcoded AES key in the configuration tool used to encrypt provisioning documents was leaked leading to a compromise of confidentiality of provisioning documents....
  • Microsoft Windows Defender / Backdoor:JS/Relvelshe.A / Detection Mitigation Bypass Febbraio 21, 2024
    Posted by hyp3rlinx on Feb 20[+] Credits: John Page (aka hyp3rlinx) [+] Website: hyp3rlinx.altervista.org [+] Source: https://hyp3rlinx.altervista.org/advisories/Windows_Defender_Backdoor_JS.Relvelshe.A_Detection_Mitigation_Bypass.txt [+] twitter.com/hyp3rlinx [+] ISR: ApparitionSec [Vendor] www.microsoft.com [Product] Windows Defender [Vulnerability Type] Detection Mitigation Bypass Backdoor:JS/Relvelshe.A [CVE Reference] N/A [Security Issue] Back in 2022 I released a...
  • Microsoft Windows Defender / VBScript Detection Bypass Febbraio 21, 2024
    Posted by hyp3rlinx on Feb 20[+] Credits: John Page (aka hyp3rlinx) [+] Website: hyp3rlinx.altervista.org [+] Source: https://hyp3rlinx.altervista.org/advisories/MICROSOFT_WINDOWS_DEFENDER_VBSCRIPT_TROJAN_MITIGATION_BYPASS.txt [+] twitter.com/hyp3rlinx [+] ISR: ApparitionSec [Vendor] www.microsoft.com [Product] Windows Defender [Vulnerability Type] Windows Defender VBScript Detection Mitigation Bypass TrojanWin32Powessere.G [CVE Reference] N/A [Security Issue]...
  • Microsoft Windows Defender / Trojan.Win32/Powessere.G / Detection Mitigation Bypass Part 3 Febbraio 21, 2024
    Posted by hyp3rlinx on Feb 20[+] Credits: John Page (aka hyp3rlinx) [+] Website: hyp3rlinx.altervista.org [+] Source: https://hyp3rlinx.altervista.org/advisories/MICROSOFT_WINDOWS_DEFENDER_TROJAN.WIN32.POWESSERE.G_MITIGATION_BYPASS_PART_3.txt [+] twitter.com/hyp3rlinx [+] ISR: ApparitionSec [Vendor] www.microsoft.com [Product] Windows Defender [Vulnerability Type] Windows Defender Detection Mitigation Bypass TrojanWin32Powessere.G [CVE Reference] N/A [Security Issue]...
  • 44CON 2024 September 18th - 20th CFP Febbraio 15, 2024
    Posted by Florent Daigniere via Fulldisclosure on Feb 1544CON is the UK&apos;s largest combined annual Security Conference and Training event. Taking place 18,19,20 of September at the Novotel London West near Hammersmith, London. We will have a fully dedicated conference facility, including catering, private bar, amazing coffee and a daily Gin O’Clock break.         _  […]
  • SEC Consult SA-20240212-0 :: Multiple Stored Cross-Site Scripting vulnerabilities in Statamic CMS Febbraio 14, 2024
    Posted by SEC Consult Vulnerability Lab, Research via Fulldisclosure on Feb 13SEC Consult Vulnerability Lab Security Advisory < 20240212-0 > ======================================================================= title: Multiple Stored Cross-Site Scripting vulnerabilities product: Statamic CMS vulnerable version: =3.4.17 CVE number: CVE-2024-24570 impact: high homepage: https://statamic.com/...
  • Stored XSS and RCE - adaptcmsv3.0.3 Febbraio 14, 2024
    Posted by Andrey Stoykov on Feb 13# Exploit Title: Stored XSS and RCE - adaptcmsv3.0.3 # Date: 02/2024 # Exploit Author: Andrey Stoykov # Version: 3.0.3 # Tested on: Ubuntu 22.04 # Blog: http://msecureltd.blogspot.com *Description* - It was found that adaptcms v3.0.3 was vulnerable to stored cross site scripting - Also the application allowed the […]
  • OXAS-ADV-2023-0007: OX App Suite Security Advisory Febbraio 14, 2024
    Posted by Martin Heiland via Fulldisclosure on Feb 13Dear subscribers, We&apos;re sharing our latest advisory with you and like to thank everyone who contributed in finding and solving those vulnerabilities. Feel free to join our bug bounty programs for OX App Suite, Dovecot and PowerDNS at YesWeHack. This advisory has also been published at https://documentation.open-xchange.com/appsuite/security/advisories/html/2023/oxas-adv-2023-0007.html. […]

Customers

Newsletter

{subscription_form_2}