Giacomo Lanzi
WastedLocker: Ransomware di ultima generazione
Tempo di lettura: 6 min
WastedLocker e’ un software per attacchi ransomware che ha iniziato a colpire imprese e altre organizzazioni nel maggio 2020. E’ noto per le sue elevate richieste di riscatto che raggiungono milioni di dollari per vittima. E’ il prodotto di un gruppo di criminali informatici altamente qualificati che operano da oltre un decennio: Evil Corp.
Chi c’e’ dietro a WastedLocker Ransomware
Il gruppo dietro a WastedLocker si fa chiamare Evil Corp e alcuni degli individui ad esso associati hanno una lunga storia nel mondo del cyber crime. Il gruppo e’ meglio conosciuto per aver gestito il malware e la botnet Dridex dal 2011, ma e’ stato anche responsabile della creazione di programmi ransomware nel corso degli anni.
Attraverso vari episodi di attacchi criminali, il gruppo ha sviluppato fin dal 2011 malware diretti soprattutto alle aziende statunitensi. Sono per questo noti alle forze dell’ordine gia’ da tempo. Dopo un periodo di inattivita’, il gruppo e’ ricomparso a gennaio del 2020 e la loro attivita’ e’ ripresa come al solito, con vittime che compaiono nelle stesse regioni di prima.
WastedLocker e’ un programma completamente nuovo della Evil Corp che ha iniziato a infettare le organizzazioni a maggio 2020. Non condivide il codice con BitPaymer (un software precedentemente usato) ma mostra altre similitudini nella nota del riscatto e nella personalizzazione per-victim. La mancanza di attivita’ della Evil Corp tra marzo e maggio potrebbe essere spiegata dal gruppo che stava lavorando allo sviluppo di questa nuova cyber threat cosi’ come di altri tools che compongono il suo set di strumenti.
Come funziona
Secondo i rapporti di Symantec, la catena di infezione per WastedLocker inizia con un framework di attacco basato su JavaScript. Il framework, chiamato SocGholish, viene distribuito come un falso aggiornamento del browser da avvisi visualizzati su siti web legittimi ma compromessi. I siti web di notizie hackerate sono un vettore comune.
Il framework SocGholish e’ distribuito come file ZIP. Una volta aperto ed eseguito, avvia una catena di attacchi che comporta il download e l’esecuzione di script PowerShell e la backdoor di Cobalt Strike. La Evil Corp ha usato questa stessa tecnica di distribuzione in passato per distribuire il Dridex Trojan, quindi fa parte del suo arsenale da molto tempo.
Una volta che gli hacker hanno accesso ad un computer, iniziano a distribuire vari strumenti per rubare credenziali degli utenti. Inoltre, possono anche aumentare i privilegi ed effettuare un lateral movement verso altre macchine. L’obiettivo degli aggressori e’ quello di identificare e ottenere l’accesso a sistemi di alto valore come i server. In seguito implementano sulle macchine compromesse un file binario ad hoc per le vittime.
L’uso di strumenti di hacking manuale e di amministrazione di sistema fanno parte di una tendenza osservata negli ultimi anni. Secondo questo trend, i criminali informatici stanno adottando sempre piu’ spesso tecniche di attacco che in passato erano associate all’attivita’ di spionaggio informatico. Questa tendenza pone un serio problema per le organizzazioni piu’ piccole che non hanno i budget e le risorse IT per dispiegare le difese contro minacce avanzate, ma sono un bersaglio frequente per i gruppi del ransomware e altri cybercriminali finanziariamente motivati.
WestedLocker nel dettaglio
WastedLocker usa una combinazione di crittografia AES e RSA nella sua routine di crittografia che e’ simile ad altri programmi ransomware. Ogni file e’ criptato con una chiave AES a 256 bit unica generata on-the-fly. Queste chiavi AES insieme ad altre informazioni sui file criptati sono poi criptate con una chiave RSA pubblica a 4096-bit che e’ codificata nel binario WastedLocker. Gli aggressori conservano la parte privata della coppia di chiavi RSA necessaria per recuperare le chiavi AES e decrittare i singoli file.
Secondo un’analisi di Kaspersky Lab, la routine di cifratura e’ forte e correttamente implementata. Quindi le vittime non possono recuperare i loro file senza la chiave RSA privata dell’aggressore. Poiche’ si tratta di una minaccia ransomware distribuita manualmente e personalizzata per ogni bersaglio, gli aggressori generano coppie di chiavi RSA uniche per ogni vittima. Cioe’, la chiave ricevuta da un’organizzazione dopo aver pagato il riscatto non funzionera’ per decriptare i file di un’altra organizzazione colpita.
Alcuni aspetti distintivi di WastedLocker
Il WastedLocker ransomware ha un meccanismo che permette agli aggressori di dare priorita’ a certe directory durante la routine di cifratura. Questo e’ probabilmente usato per assicurare che i file piu’ importanti e preziosi vengano cifrati prima nel caso in cui il processo di cifratura venga rilevato dagli amministratori di sistema e fermato mentre e’ in corso.
Il malware appende un’estensione ai file composta dal nome della vittima e la parola “wasted“. Inoltre, genera un file di testo con la nota di riscatto per ogni file, il che significa che ogni directory conterra’ centinaia o migliaia di copie della nota di riscatto.
WastedLocker e’ progettato per cancellare le copie shadow (i backup di default fatti dal sistema operativo Windows) e cerca di criptare i file in rete, inclusi i backup remoti.
Dopo gli attacchi di luglio 2020
Il Securonix Threat Research Team (STR) sta attivamente indagando sui dettagli degli attacchi critici di Wastedlocker ransomware. Questi, secondo quanto riferito, hanno gia’ colpito piu’ di 31 aziende, di cui 8 sono aziende Fortune 500.
Impatto
Ecco i dettagli chiave riguardanti l’impatto degli attacchi ransomware WastedLocker:
– Il ransomware WastedLocker e’ relativamente nuovo, usato da EvilCorp, che in precedenza usava il trojan Dridex per distribuire il ransomware BitPaymer in attacchi contro organizzazioni governative e imprese negli Stati Uniti e in Europa.
– Il gruppo Evil Corp si concentra attualmente su attacchi mirati su molteplici vittime dell’industria negli ultimi mesi. Garmin e’ una delle ultime vittime di alto profilo attaccate (confermato ufficialmente da Garmin il 27 luglio).
– L’importo del riscatto piu’ recente richiesto e’ stato di 10 milioni di dollari e sembra essere basato sui dati finanziari della vittima. In base ai dettagli disponibili, il riscatto e’ stato probabilmente pagato.
– Ad oggi, sembra essere stato utilizzato uno schema di mono-estorsione, cioe’ con la sola crittografia e nessuna o minima perdita di dati.
Come difendersi
In seguito all’analisi degli attacchi e dei dati a disposizione, vogliamo suggerire metodologie di mitigazione e prevenzione degli attacchi.
– Rivedere le politiche di conservazione dei backup. Assicurarsi che questi siano archiviati in una posizione che non puo’ essere acceduta/criptata dall’operatore che ha piazzato il ransomware mirato. Per esempio, valutare il write-only remote backup.
– Implementare un programma di formazione sulla sicurezza degli utenti finali (dipendenti dell’azienda). Dato che gli utenti finali sono i bersagli del ransomware, e’ meglio che questi siano al corrente dei rischi attuali. E’ importante che siano consapevoli della minaccia del ransomware e di come si verifica.
– Patch dei sistemi operativi, software e firmware dell’infrastruttura. Considerare la possibilita’ di sfruttare un sistema di gestione delle patch centralizzato.
– Mantenere backup regolari e con air-gap dei dati critici dell’azienda/infrastruttura. Una strategia di backup e recupero con air-gap significa assicurarsi che almeno una copia dei dati dell’organizzazione sia offline e non accessibile da alcuna rete.
– Implementare il monitoraggio della sicurezza, in particolare per gli obiettivi di alto valore, per rilevare in anticipo eventuali attivita’ di posizionamento di operatori ransomware dannosi.
Come sempre, noi di SOD siamo a disposizione per una consulenza e per suggerirti quali servizi puoi implementare per la sicurezza della tua azienda. Contattaci per sapere come possiamo aiutarti a mantenere alte le difese aziendali.
Link utili:
I Ransomware piu’ pericolosi nel 2020
Ransomware critici: esempi di attacchi andati a segno
Condividi
RSS
Piu’ articoli…
- Cos’è veramente un cyber threat
- SNYPR: Big Data al servizio della ricerca delle minacce
- Hadoop Open Data Model: raccolta dati “open”
- Pass the Ticket: come mitigarlo con un SOCaaS
- Cos’è il Vishing e come funziona
- UBA e UEBA: le differenze
- Database Activity Monitoring: cos’è e come metterlo in pratica
- SOAR e l’automazione della sicurezza informatica
Categorie …
- Backup as a Service (3)
- Acronis Cloud Backup (18)
- Veeam Cloud Connect (3)
- Cloud CRM (1)
- Cloud Server/VPS (22)
- Conferenza Cloud (4)
- Log Management (2)
- Monitoraggio ICT (4)
- Novita' (13)
- ownCloud (7)
- Privacy (8)
- Secure Online Desktop (14)
- Security (9)
- Cyber Threat Intelligence (CTI) (3)
- Ethical Phishing (8)
- SOCaaS (23)
- Vulnerabilita' (84)
- Web Hosting (15)
Tags
CSIRT
- Vulnerabilità in VMware vCenter attivamente sfruttata in rete
(AL01/210925/CSIRT-ITA) Settembre 25, 2021In riferimento al AL-02/210922/CSIRT-ITA, la Cybersecurity and Infrastructure Security Agency (CISA) notifica che la CVE-2021-22005 risulta essere sfruttata attivamente in rete.
- Analisi di un’infrastruttura di Phishing-as-a-Service
(AL03/210924/CSIRT-ITA) Settembre 24, 2021Di recente, ricercatori di sicurezza hanno analizzato un’infrastruttura di Phishing-as-a-Service - denominata BulletProofLink - utilizzata su larga scala.
- Rilevate vulnerabilità nei dispositivi serie SMA 100 di SonicWall
(AL02/210924/CSIRT-ITA) Settembre 24, 2021SonicWall ha rilasciato aggiornamenti di sicurezza che sanano 3 vulnerabilità presenti nei dispositivi della serie SMA 100, di cui una con gravità “critica”.
- Apple rilascia aggiornamenti per alcuni prodotti
(AL01/210924/CSIRT-ITA) Settembre 24, 2021Apple ha rilasciato nuove versioni di iOS 12.5 e MacOS Catalina che comprendono aggiornamenti di sicurezza volti a sanare 3 vulnerabilità con gravità “alta”.
- Rilevato incremento delle attività del Ransomware Conti
(BL01/210923/CSIRT-ITA) Settembre 23, 2021La Cybersecurity and Infrastructure Security Agency (CISA) e il Federal Bureau of Investigation (FBI) hanno recentemente pubblicato un Alert in cui si evidenzia l’aumento della diffusione del ransomware Conti, utilizzato in oltre 400 attacchi verso organizzazioni dislocate in tutto il mondo.
- Disponibili aggiornamenti per prodotti CISCO
(AL01/210923/CSIRT-ITA) Settembre 23, 2021Aggiornamenti di sicurezza Cisco del 22 settembre 2021 sanano molteplici vulnerabilità su diversi prodotti, di cui 3 con gravità “critica”.
- Nuova versione di Google Chrome
(AL04/210922/CSIRT-ITA) Settembre 22, 2021Il nuovo aggiornamento di Google Chrome per Windows, Mac e Linux corregge 19 vulnerabilità di sicurezza, di cui 5 con gravità “alta”.
- Rilevata vulnerabilità nell’installer di SonicWall Global VPN Client
(AL03/210922/CSIRT-ITA) Settembre 22, 2021Rilevata una vulnerabilità in precedenti versioni dell’installer di SonicWall Global VPN Client che potrebbe permettere l’elevazione di privilegi e l’esecuzione di comandi arbitrari sul dispositivo.
- Aggiornamenti di sicurezza VMware
(AL02/210922/CSIRT-ITA) Settembre 22, 2021Sanate 19 vulnerabilità, di cui una con gravità “critica”, presenti nei prodotti VMWare vCenter Server e VMware Cloud Foundation.
- Aggiornamenti per router Netgear
(AL01/210922/CSIRT-ITA) Settembre 22, 2021Netgear rilascia aggiornamenti di sicurezza per risolvere una vulnerabilità con gravità “alta” che, qualora sfruttata, potrebbe permettere a un utente malitenzionato l’esecuzione di codice arbitrario da remoto sui dispositivi interessati.
Dark Reading
- What Is the Difference Between Security and Resilience? Settembre 24, 2021Resilience shifts the focus toward eliminating the probable impact of the full attack chain.
- Consumers Share Security Fears as Risky Behaviors Persist Settembre 24, 2021While most US adults know they aren't sufficiently protecting their data online, many find security time-consuming or don't know the steps they should take.
- TangleBot Campaign Underscores SMS Threat Settembre 24, 2021The attack targets Android devices and starts with a malicious SMS message that aims to bring malware onto compromised devices.
- Contrast Application Security Platform Scales to Support OWASP Risks Settembre 24, 2021Contrast's platform detects and prevents against OWASP Top Ten risks from development to production with out-of-the-box policy rules and automated compliance reporting.
- Our Eye Is on the SPARROW Settembre 24, 2021How unauthorized users can exploit wireless infrastructures for covert communication.
- Endpoint Still a Prime Target for Attack Settembre 24, 2021A vast majority of security professionals surveyed think any exploit will start with the endpoint.
- Google Spots New Technique to Sneak Malware Past Detection Tools Settembre 23, 2021The operator behind OpenSUpdater is using a new way to sneak adware and other malware past security tools.
- Primer: Microsoft Active Directory Security for AD Admins Settembre 23, 2021Nearly all AD environments are vulnerable to identity attack paths -- a powerful, widespread, and difficult-to-detect attack technique. But we didn't say impossible. Here's how admins can stop them.
- FamousSparrow APT Group Flocks to Hotels, Governments, Businesses Settembre 23, 2021The cyber espionage group has a custom backdoor and has added the ProxyLogon Microsoft Exchange flaw to its toolkit.
- SAIC Appoints Kevin Brown as Chief Information Security Officer Settembre 23, 2021Industry leader with decades of information security experience manages SAIC’s security strategy and oversees critical cybersecurity operations.
Full Disclosure
- APPLE-SA-2021-09-23-1 iOS 12.5.5 Settembre 24, 2021Posted by Apple Product Security via Fulldisclosure on Sep 24APPLE-SA-2021-09-23-1 iOS 12.5.5 iOS 12.5.5 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT212824. CoreGraphics Available for: iPhone 5s, iPhone 6, iPhone 6 Plus, iPad Air, iPad mini 2, iPad mini 3, and iPod touch (6th generation) Impact: Processing a maliciously […]
- APPLE-SA-2021-09-23-2 Security Update 2021-006 Catalina Settembre 24, 2021Posted by Apple Product Security via Fulldisclosure on Sep 24APPLE-SA-2021-09-23-2 Security Update 2021-006 Catalina Security Update 2021-006 Catalina addresses the following issues. Information about the security content is also available at https://support.apple.com/HT212825. XNU Available for: macOS Catalina Impact: A malicious application may be able to execute arbitrary code with kernel privileges. Apple is aware of […]
- openvpn-monitor Cross-Site Request Forgery (CSRF) Settembre 24, 2021Posted by Advisories on Sep 24############################################################# # # COMPASS SECURITY ADVISORY # https://www.compass-security.com/research/advisories/ # ############################################################# # # Product: openvpn-monitor # Vendor: https://github.com/furlongm/openvpn-monitor # CSNC ID: CSNC-2021-011 # CVE ID: CVE-2021-31604 # Subject: Cross-Site Request Forgery (CSRF) # Severity: Medium # Effect: Denial of Service #...
- openvpn-monitor OpenVPN Management Socket Command Injection Settembre 24, 2021Posted by Advisories on Sep 24############################################################# # # COMPASS SECURITY ADVISORY # https://www.compass-security.com/research/advisories/ # ############################################################# # # Product: openvpn-monitor # Vendor: https://github.com/furlongm/openvpn-monitor # CSNC ID: CSNC-2021-010 # CVE ID: CVE-2021-31605 # Subject: OpenVPN Management Socket Command Injection # Severity: High # Effect: Denial of...
- openvpn-monitor Authorization Bypass Settembre 24, 2021Posted by Advisories on Sep 24############################################################# # # COMPASS SECURITY ADVISORY # https://www.compass-security.com/research/advisories/ # ############################################################# # # Product: openvpn-monitor # Vendor: https://github.com/furlongm/openvpn-monitor # CSNC ID: CSNC-2021-009 # CVE ID: CVE-2021-31606 # Subject: Authorization Bypass # Severity: Medium # Effect: Denial of Service # Author:...
- Backdoor.Win32.Minilash.10.b / Remote Denial of Service (UDP Datagram) Settembre 21, 2021Posted by malvuln on Sep 21Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/3c407448a00b2d53b2418f53b66d5b6b.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Backdoor.Win32.Minilash.10.b Vulnerability: Remote Denial of Service (UDP Datagram) Description: The Minilash malware listens on TCP 6711 and UDP port 60000. Third-party attackers who can reach infected systems can send a specially […]
- Backdoor.Win32.Hupigon.asqx / Unauthenticated Open Proxy Settembre 21, 2021Posted by malvuln on Sep 21Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/a344b767d58b6c83b92bb868727e021c.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Backdoor.Win32.Hupigon.asqx Vulnerability: Unauthenticated Open Proxy Description: The malware listens on TCP port 8080. Third-party attackers who can connect to the infected system can relay requests from the original connection to the...
- Trojan.Win32.Agent.xaamkd / Insecure Permissions Settembre 21, 2021Posted by malvuln on Sep 21Discovery / credits: Malvuln - malvuln.com (c) 2021 Original source: https://malvuln.com/advisory/095651e1704b501123b41ea2e9736820.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Trojan.Win32.Agent.xaamkd Vulnerability: Insecure Permissions Description: The malware creates an dir with insecure permissions under c:\ drive and grants change (C) permissions to the authenticated user group. Standard users can rename the...
- APPLE-SA-2021-09-20-10 iTunes 12.12 for Windows Settembre 21, 2021Posted by product-security-noreply--- via Fulldisclosure on Sep 21APPLE-SA-2021-09-20-10 iTunes 12.12 for Windows iTunes 12.12 for Windows addresses the following issues. Information about the security content is also available at https://support.apple.com/HT212817. ImageIO Available for: Windows 10 and later Impact: Processing a maliciously crafted image may lead to arbitrary code execution Description: This issue was addressed with […]
- APPLE-SA-2021-09-20-9 iTunes U 3.8.3 Settembre 21, 2021Posted by product-security-noreply--- via Fulldisclosure on Sep 21APPLE-SA-2021-09-20-9 iTunes U 3.8.3 iTunes U 3.8.3 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT212809. iTunes U Available for: iOS 12.4 and later or iPadOS 12.4 and later Impact: Processing a maliciously crafted URL may lead to arbitrary javascript code execution Description: […]
Customers
Twitter FEED
Recent activity
-
SecureOnlineDesktop
Estimated reading time: 5 minutes Ogni anno cresce costantemente il numero di attacchi che minacciano la sicurezz… https://t.co/e1g9VBSYq9
-
SecureOnlineDesktop
Estimated reading time: 5 minutes Every year the number of attacks that threaten the security of devices, comput… https://t.co/MnoEKRNMwk
-
SecureOnlineDesktop
Estimated reading time: 7 minutes Il vishing è una particolare tipologia di phishing che sfrutta la tecnologia Vo… https://t.co/q9OO03jSHj
-
SecureOnlineDesktop
Estimated reading time: 5 minutes Come abbiamo già affrontato precedentemente negli scorsi articoli, i ransomware… https://t.co/O8xUUJocYc
-
SecureOnlineDesktop
Estimated reading time: 6 minutes Il Database Activity Monitoring (DAM) è una tecnologia applicata alla sicurezza… https://t.co/juh8ZBKMqP
Newsletter
Prodotti e Soluzioni
Collaborazioni
Modelli Cloud
News
- Cos’è veramente un cyber threat Settembre 15, 2021
- SNYPR: Big Data al servizio della ricerca delle minacce Settembre 13, 2021
- Hadoop Open Data Model: raccolta dati “open” Settembre 8, 2021
- Pass the Ticket: come mitigarlo con un SOCaaS Settembre 6, 2021
- Cos’è il Vishing e come funziona Settembre 1, 2021
Recensioni Google
Contatti
Copyright © 2011 Secure Online Desktop s.r.l. All Rights Reserved.
VAT: 07485920966 “Cloud Computing services - Software cloud - Cloud server - VPS” Terms of ServicePrivacy Policy
ISO Certifications