WastedLocker Ransomware Cover Giacomo Lanzi

WastedLocker: Ransomware di ultima generazione

Tempo di lettura: 6 min

WastedLocker e’ un software per attacchi ransomware che ha iniziato a colpire imprese e altre organizzazioni nel maggio 2020. E’ noto per le sue elevate richieste di riscatto che raggiungono milioni di dollari per vittima. E’ il prodotto di un gruppo di criminali informatici altamente qualificati che operano da oltre un decennio: Evil Corp.

Chi c’e’ dietro a WastedLocker Ransomware

Il gruppo dietro a WastedLocker si fa chiamare Evil Corp e alcuni degli individui ad esso associati hanno una lunga storia nel mondo del cyber crime. Il gruppo e’ meglio conosciuto per aver gestito il malware e la botnet Dridex dal 2011, ma e’ stato anche responsabile della creazione di programmi ransomware nel corso degli anni.

Attraverso vari episodi di attacchi criminali, il gruppo ha sviluppato fin dal 2011 malware diretti soprattutto alle aziende statunitensi. Sono per questo noti alle forze dell’ordine gia’ da tempo. Dopo un periodo di inattivita’, il gruppo e’ ricomparso a gennaio del 2020 e la loro attivita’ e’ ripresa come al solito, con vittime che compaiono nelle stesse regioni di prima.

WastedLocker e’ un programma completamente nuovo della Evil Corp che ha iniziato a infettare le organizzazioni a maggio 2020. Non condivide il codice con BitPaymer (un software precedentemente usato) ma mostra altre similitudini nella nota del riscatto e nella personalizzazione per-victim. La mancanza di attivita’ della Evil Corp tra marzo e maggio potrebbe essere spiegata dal gruppo che stava lavorando allo sviluppo di questa nuova cyber threat cosi’ come di altri tools che compongono il suo set di strumenti.

WastedLocker Hacker

Come funziona

Secondo i rapporti di Symantec, la catena di infezione per WastedLocker inizia con un framework di attacco basato su JavaScript. Il framework, chiamato SocGholish, viene distribuito come un falso aggiornamento del browser da avvisi visualizzati su siti web legittimi ma compromessi. I siti web di notizie hackerate sono un vettore comune.

Il framework SocGholish e’ distribuito come file ZIP. Una volta aperto ed eseguito, avvia una catena di attacchi che comporta il download e l’esecuzione di script PowerShell e la backdoor di Cobalt Strike. La Evil Corp ha usato questa stessa tecnica di distribuzione in passato per distribuire il Dridex Trojan, quindi fa parte del suo arsenale da molto tempo.

Una volta che gli hacker hanno accesso ad un computer, iniziano a distribuire vari strumenti per rubare credenziali degli utenti. Inoltre, possono anche aumentare i privilegi ed effettuare un lateral movement verso altre macchine. L’obiettivo degli aggressori e’ quello di identificare e ottenere l’accesso a sistemi di alto valore come i server. In seguito implementano sulle macchine compromesse un file binario ad hoc per le vittime.

L’uso di strumenti di hacking manuale e di amministrazione di sistema fanno parte di una tendenza osservata negli ultimi anni. Secondo questo trend, i criminali informatici stanno adottando sempre piu’ spesso tecniche di attacco che in passato erano associate all’attivita’ di spionaggio informatico. Questa tendenza pone un serio problema per le organizzazioni piu’ piccole che non hanno i budget e le risorse IT per dispiegare le difese contro minacce avanzate, ma sono un bersaglio frequente per i gruppi del ransomware e altri cybercriminali finanziariamente motivati.

WestedLocker nel dettaglio

WastedLocker usa una combinazione di crittografia AES e RSA nella sua routine di crittografia che e’ simile ad altri programmi ransomware. Ogni file e’ criptato con una chiave AES a 256 bit unica generata on-the-fly. Queste chiavi AES insieme ad altre informazioni sui file criptati sono poi criptate con una chiave RSA pubblica a 4096-bit che e’ codificata nel binario WastedLocker. Gli aggressori conservano la parte privata della coppia di chiavi RSA necessaria per recuperare le chiavi AES e decrittare i singoli file.

Secondo un’analisi di Kaspersky Lab, la routine di cifratura e’ forte e correttamente implementata. Quindi le vittime non possono recuperare i loro file senza la chiave RSA privata dell’aggressore. Poiche’ si tratta di una minaccia ransomware distribuita manualmente e personalizzata per ogni bersaglio, gli aggressori generano coppie di chiavi RSA uniche per ogni vittima. Cioe’, la chiave ricevuta da un’organizzazione dopo aver pagato il riscatto non funzionera’ per decriptare i file di un’altra organizzazione colpita.

Alcuni aspetti distintivi di WastedLocker

Il WastedLocker ransomware ha un meccanismo che permette agli aggressori di dare priorita’ a certe directory durante la routine di cifratura. Questo e’ probabilmente usato per assicurare che i file piu’ importanti e preziosi vengano cifrati prima nel caso in cui il processo di cifratura venga rilevato dagli amministratori di sistema e fermato mentre e’ in corso.

Il malware appende un’estensione ai file composta dal nome della vittima e la parola “wasted“. Inoltre, genera un file di testo con la nota di riscatto per ogni file, il che significa che ogni directory conterra’ centinaia o migliaia di copie della nota di riscatto.

WastedLocker e’ progettato per cancellare le copie shadow (i backup di default fatti dal sistema operativo Windows) e cerca di criptare i file in rete, inclusi i backup remoti.

Dopo gli attacchi di luglio 2020

Il Securonix Threat Research Team (STR) sta attivamente indagando sui dettagli degli attacchi critici di Wastedlocker ransomware. Questi, secondo quanto riferito, hanno gia’ colpito piu’ di 31 aziende, di cui 8 sono aziende Fortune 500.

Impatto

Ecco i dettagli chiave riguardanti l’impatto degli attacchi ransomware WastedLocker:

Il ransomware WastedLocker e’ relativamente nuovo, usato da EvilCorp, che in precedenza usava il trojan Dridex per distribuire il ransomware BitPaymer in attacchi contro organizzazioni governative e imprese negli Stati Uniti e in Europa.
Il gruppo Evil Corp si concentra attualmente su attacchi mirati su molteplici vittime dell’industria negli ultimi mesi. Garmin e’ una delle ultime vittime di alto profilo attaccate (confermato ufficialmente da Garmin il 27 luglio).
– L’importo del riscatto piu’ recente richiesto e’ stato di 10 milioni di dollari e sembra essere basato sui dati finanziari della vittima. In base ai dettagli disponibili, il riscatto e’ stato probabilmente pagato.
– Ad oggi, sembra essere stato utilizzato uno schema di mono-estorsione, cioe’ con la sola crittografia e nessuna o minima perdita di dati.

WastedLocker hacker

Come difendersi

In seguito all’analisi degli attacchi e dei dati a disposizione, vogliamo suggerire metodologie di mitigazione e prevenzione degli attacchi.

– Rivedere le politiche di conservazione dei backup. Assicurarsi che questi siano archiviati in una posizione che non puo’ essere acceduta/criptata dall’operatore che ha piazzato il ransomware mirato. Per esempio, valutare il  write-only remote backup.
Implementare un programma di formazione sulla sicurezza degli utenti finali (dipendenti dell’azienda). Dato che gli utenti finali sono i bersagli del ransomware, e’ meglio che questi siano al corrente dei rischi attuali. E’ importante che siano consapevoli della minaccia del ransomware e di come si verifica.
Patch dei sistemi operativi, software e firmware dell’infrastruttura. Considerare la possibilita’ di sfruttare un sistema di gestione delle patch centralizzato.
Mantenere backup regolari e con air-gap dei dati critici dell’azienda/infrastruttura. Una strategia di backup e recupero con air-gap significa assicurarsi che almeno una copia dei dati dell’organizzazione sia offline e non accessibile da alcuna rete.
Implementare il monitoraggio della sicurezza, in particolare per gli obiettivi di alto valore, per rilevare in anticipo eventuali attivita’ di posizionamento di operatori ransomware dannosi.

Come sempre, noi di SOD siamo a disposizione per una consulenza e per suggerirti quali servizi puoi implementare per la sicurezza della tua azienda. Contattaci per sapere come possiamo aiutarti a mantenere alte le difese aziendali.

Link utili:

I Ransomware piu’ pericolosi nel 2020

Ransomware critici: esempi di attacchi andati a segno

Acronis Active Protection: difesa dai ransomware

SIEM in informatica: la storia

Contattaci

Condividi


RSS

Piu’ articoli…

Categorie …

Tags

RSS CSIRT

RSS Dark Reading

RSS Full Disclosure

  • Win32.MarsStealer Web Panel / Unauthenticated Remote Data Deletion Gennaio 16, 2022
    Posted by malvuln on Jan 16Discovery / credits: Malvuln - malvuln.com (c) 2022 Original source: https://malvuln.com/advisory/8abb41f6e7010d70c90f65fd9a740faa_C.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Win32.MarsStealer Web Panel Vulnerability: Unauthenticated Remote Data Deletion Description: The Mars-Stealer web interface has a "Grab Rules" component area that lets a user specify which type of files to collect from […]
  • Win32.MarsStealer Web Panel / Unauthenticated Remote Persistent XSS Gennaio 16, 2022
    Posted by malvuln on Jan 16Discovery / credits: Malvuln - malvuln.com (c) 2022 Original source: https://malvuln.com/advisory/8abb41f6e7010d70c90f65fd9a740faa_B.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Win32.MarsStealer Web Panel Vulnerability: Unauthenticated Remote Persistent XSS Description: The Mars-Stealer web interface has a "Marker Rules" component area. Third-party attackers who can reach the Mars-Stealer server can send HTTP...
  • Win32.MarsStealer Web Panel / Unauthenticated Remote Information Disclosure Gennaio 16, 2022
    Posted by malvuln on Jan 16Discovery / credits: Malvuln - malvuln.com (c) 2022 Original source: https://malvuln.com/advisory/8abb41f6e7010d70c90f65fd9a740faa.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Win32.MarsStealer Web Panel Vulnerability: Unauthenticated Remote Information Disclosure Description: The malware web interface stores screen captures named "screenshot.jpg" in the panel directory, ZIP archived. Third-party attackers who...
  • Ab Stealer Web Panel / Unauthenticated Remote Persistent XSS Gennaio 16, 2022
    Posted by malvuln on Jan 16Discovery / credits: Malvuln - malvuln.com (c) 2022 Original source: https://malvuln.com/advisory/9e44c10307aa8194753896ecf8102167.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Ab Stealer Web Panel Vulnerability: Unauthenticated Remote Persistent XSS Description: The "Ab Stealer" web Panel By KingDomSc for "AbBuild v.1.0.exe" is used to browse victim information "Get All Victims Passwords, With...
  • SEC Consult SA-20220113-0 :: Cleartext Storage of Phone Password in Cisco IP Phones Gennaio 14, 2022
    Posted by SEC Consult Vulnerability Lab, Research on Jan 14SEC Consult Vulnerability Lab Security Advisory < 20220113-0 > ======================================================================= title: Cleartext Storage of Phone Password product: Cisco IP Phone Series 78x1, 88x5, 88x1, 7832, 8832, 8821 and 3905 vulnerable version: Firmware
  • 🐞 Call for Papers for Hardwear.io USA 2022 is OPEN! Gennaio 14, 2022
    Posted by Andrea Simonca on Jan 14Hello, We are happy to announce that the CFP for Hardwear.io USA 2022 is OPEN! If you have a groundbreaking embedded research or an awesome open-source tool you’d like to showcase before the global hardware security community, this is your chance. Send in your ideas on various hardware subjects, […]
  • APPLE-SA-2022-01-12-1 iOS 15.2.1 and iPadOS 15.2.1 Gennaio 12, 2022
    Posted by Apple Product Security via Fulldisclosure on Jan 12APPLE-SA-2022-01-12-1 iOS 15.2.1 and iPadOS 15.2.1 iOS 15.2.1 and iPadOS 15.2.1 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT213043. HomeKit Available for: iPhone 6s and later, iPad Pro (all models), iPad Air 2 and later, iPad 5th generation and later, […]
  • Reprise License Manager 14.2 - Reflected Cross-Site Scripting Gennaio 12, 2022
    Posted by Gionathan Reale via Fulldisclosure on Jan 12# Product:  RLM 14.2 # Vendor:   Reprise Software # CVE ID:   CVE-2021-45422 # Vulnerability Title: Reflected Cross-Site Scripting # Severity: Medium # Author(s): Giulia Melotti Garibaldi # Date:     2022-01-11 # ############################################################# Introduction: An issue was discovered in Reprise License Manager 14.2, Reprise License Manager 14.2 is affected […]
  • [RT-SA-2021-009] Credential Disclosure in Web Interface of Crestron Device Gennaio 12, 2022
    Posted by RedTeam Pentesting GmbH on Jan 12Advisory: Credential Disclosure in Web Interface of Crestron Device When the administrative web interface of the Crestron HDMI switcher is accessed unauthenticated, user credentials are disclosed which are valid to authenticate to the web interface. Details ======= Product: Crestron HD-MD4X2-4K-E Affected Versions: 1.0.0.2159 Fixed Versions: - Vulnerability Type: […]
  • Backdoor.Win32.Controlit.10 / Unauthenticated Remote Command Execution Gennaio 11, 2022
    Posted by malvuln on Jan 11Discovery / credits: Malvuln - malvuln.com (c) 2022 Original source: https://malvuln.com/advisory/859aab793a42868343346163bd42f485.txt Contact: malvuln13 () gmail com Media: twitter.com/malvuln Threat: Backdoor.Win32.Controlit.10 Vulnerability: Unauthenticated Remote Command Execution Description: The malware listens on TCP port 3347. Third-party attackers who can reach an infected system can run any OS commands made available by the […]

Customers

Newsletter