🥇Ransomware — un nuovo modo di organizzare le fughe di dati

Le violazioni dei dati sono un grande problema per i servizi di sicurezza. E adesso, con molti che lavorano da casa, il rischio di violazioni è significativamente aumentato. Per questo motivo, famosi gruppi di criminali informatici prestano maggiore attenzione ai protocolli di accesso remoto obsoleti e insufficientemente protetti. E, cosa interessante, un numero crescente di violazioni dei dati oggi è associato al Ransomware. Come, perché e in che modo — leggi qui sotto.

Iniziamo con il fatto che lo sviluppo e la distribuzione di software ransomware è di per sé un'attività criminale molto redditizia. Ad esempio, secondo le stime dell'FBI americano, il gruppo Sodinokibi ha guadagnato circa 1 milione di dollari al mese nel corso dell'anno scorso. E i criminali che utilizzavano Ryuk guadagnavano ancora di più: all'inizio delle loro operazioni, i loro guadagni arrivavano fino a 3 milioni di dollari al mese. Quindi non sorprende che molti Chief Information Security Officer (CISO) segnalano il ransomware come uno dei cinque principali rischi per le aziende.

Il Centro Operativo di Protezione Cyber Acronis (CPOC), situato a Singapore, conferma l'attivazione della criminalità informatica nel campo del Ransomware. Nel secondo semestre di maggio, a livello globale, è stata registrata una percentuale del 20% in più di attacchi ransomware rispetto alla norma. Dopo un lieve calo, ora a giugno, stiamo assistendo a un nuovo aumento dell'attività. E ci sono diverse ragioni per questo.

Accedere al computer della vittima

Le tecnologie di protezione evolvono e i malintenzionati devono adattare leggermente la loro tattica per colpire specifici sistemi. Gli attacchi mirati di Ransomware continuano a diffondersi tramite email di phishing ben congegnate (qui entra in gioco anche la ingegneria sociale). Tuttavia, recentemente gli sviluppatori di malware si sono concentrati molto sui dipendenti remoti. Per attaccarli, è possibile individuare servizi di accesso remoto poco protetti, come RDP, o server VPN con vulnerabilità.
Questo è esattamente ciò che fanno. Nel dark web sono persino emersi servizi ransomware-as-a-service, che forniscono tutto il necessario per attaccare un'organizzazione o una persona specifica.

Gli aggressori cercano in ogni modo di infiltrarsi nella rete aziendale e ampliare il loro raggio d'azione. Una strategia comune è cercare di infettare le reti dei fornitori di servizi. Con l'aumento della popolarità dei servizi cloud, infettare un servizio noto consente di attaccare decine o addirittura centinaia di vittime contemporaneamente.

In caso di compromissione delle console web di gestione dei sistemi di sicurezza o dei backup, gli aggressori possono disattivare le protezioni, eliminare i backup e consentire al loro malware di diffondersi in tutta l'organizzazione. Questo è il motivo per cui gli esperti raccomandano di proteggere rigorosamente tutti gli account di servizio con l'autenticazione a più fattori. Ad esempio, tutti i servizi cloud Acronis offrono la possibilità di attivare la doppia protezione, poiché, in caso di compromissione della password, gli aggressori possono annullare tutti i vantaggi offerti da un sistema di cyber-sicurezza integrato.

Ampliare il raggio d'azione

Quando l'obiettivo tanto desiderato è raggiunto e il malware è già all'interno della rete aziendale, per la sua ulteriore diffusione vengono generalmente impiegate tattiche piuttosto classiche. Gli aggressori analizzano la situazione e cercano di superare le barriere create all'interno dell'azienda per contrastare le minacce. Questa parte dell'attacco può avvenire in modo manuale (se sono già penetrati nella rete, significa che la "trappola" ha funzionato!). A tal fine, vengono utilizzati strumenti noti come PowerShell, WMI PsExec, insieme a emulatori più recenti come Cobalt Strike e altre utilità. Alcuni gruppi criminali mirano deliberatamente a attaccare i gestori di password per penetrare più a fondo nella rete aziendale. Inoltre, un malware come Ragnar è stato recentemente avvistato in un'immagine di macchina virtuale VirtualBox completamente chiusa, che aiuta a nascondere la presenza di software non autorizzato sulla macchina.

In questo modo, accedendo alla rete aziendale, il malware cerca di verificare il livello di accesso dell'utente e di applicare le credenziali rubate. Strumenti come Mimikatz e Bloodhound & Co. aiutano a compromettere gli account degli amministratori di dominio. Solo quando l'attaccante ritiene di aver esaurito le possibilità di diffusione, viene caricato direttamente nei sistemi client il programma di ransomware.

Ransomware come copertura

Considerando la gravità della minaccia di perdita di dati, ogni anno sempre più aziende attuano quello che viene chiamato un "piano di recupero da disastri". In questo modo, non devono preoccuparsi troppo dei dati cifrati e, in caso di attacco da ransomware, non iniziano a raccogliere il riscatto, ma avviano il processo di recupero. Ma anche i malintenzionati non riposano. Sotto la copertura del ransomware, si verifica un'ampia cattura di dati. I primi a utilizzare massivamente questa tattica furono Maze nel 2019, sebbene altri gruppi avessero combinato attacchi occasionalmente. Ora, almeno Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO e Sekhmet si dedicano ai furti di dati parallelamente alla crittografia.

A volte, gli aggressori riescono a estrarre decine di terabyte di dati da un'azienda, i quali avrebbero potuto essere rilevati tramite strumenti di monitoraggio della rete (se installati e configurati). Infatti, la trasmissione dei dati avviene spesso semplicemente tramite FTP, Putty, WinSCP o script PowerShell. Per superare le DLP e i sistemi di monitoraggio della rete, i dati possono essere criptati o inviati come archivio protetto da password, e questo rappresenta una nuova sfida per i servizi di sicurezza, che devono controllare il traffico in uscita alla ricerca di tali file.

L'analisi del comportamento degli infostealer mostra che gli aggressori non raccolgono qualsiasi cosa — sono interessati in particolare a bilanci finanziari, database clienti, dati personali dei dipendenti e dei clienti, contratti, registrazioni e documenti legali. Il malware scansione i dischi alla ricerca di qualsiasi informazione che potrebbe teoricamente essere utilizzata per ricatto.
Se un attacco di questo tipo ha avuto successo, di solito gli aggressori pubblicano un breve teaser, mostrando alcuni documenti per confermare che i dati sono stati trapelati dall'organizzazione. Alcuni gruppi pubblicano anche l'intero set di dati sul loro sito web se il tempo per il pagamento del riscatto è scaduto. Per evitare il blocco e garantire un'ampia diffusione, i dati vengono pubblicati anche nella rete TOR.

Un altro modo per monetizzare è la vendita dei dati. Ad esempio, Sodinokibi ha recentemente annunciato che organizzerà aste pubbliche, in cui i dati vanno al partecipante che offre di più. Il prezzo di partenza per queste aste varia da $50.000 a $100.000 a seconda della qualità e del contenuto dei dati. Un set di 10.000 registrazioni di flussi di cassa, dati aziendali riservati e patenti di guida scansionate è stato venduto a partire da $100.000. Con $50.000 si potevano acquistare più di 20.000 documenti finanziari più tre database con file contabili e dati sui clienti.

I siti in cui vengono pubblicate le perdite possono essere dei più svariati. Possono essere semplici pagine che ospitano tutto il materiale rubato, oppure strutture più complesse con sezioni e possibilità di acquisto. Ma la cosa principale è che tutti servono a un unico scopo: aumentare le probabilità degli aggressori di ottenere denaro reale. Se questo modello di business porta buoni risultati per i malintenzionati, non c'è dubbio che il numero di questi siti aumenterà ulteriormente, assieme alle tecniche di furto e monetizzazione dei dati aziendali.

Ecco come appaiono i siti attuali in cui vengono pubblicate le perdite di dati:

Cosa fare con i nuovi attacchi

La principale sfida per i servizi di sicurezza in queste circostanze è che ultimamente sempre più incidenti legati al Ransomware si rivelano semplici metodi di distrazione per il furto di dati. I malintenzionati non puntano più solo sulla crittografia dei server. Al contrario, l'obiettivo principale diventa organizzare la fuga di dati mentre si combatte contro i ransomware.

Pertanto, utilizzare solo un sistema di backup, anche con un buon piano di ripristino, non è sufficiente per contrastare le minacce multilivello. Certo, senza backup non si può fare a meno, poiché i malintenzionati cercheranno sicuramente di crittografare qualcosa e di richiedere un riscatto. Si tratta piuttosto del fatto che ora ogni attacco ransomware dovrebbe essere considerato come un motivo per un'analisi approfondita del traffico e per avviare un'indagine su un potenziale attacco. Inoltre, bisognerebbe considerare ulteriori misure di sicurezza che potrebbero:

Rilevare rapidamente attacchi e analizzare attività insolite nella rete utilizzando l'IA
Ripristinare istantaneamente i sistemi in caso di attacchi ransomware zero-day, in modo da poter monitorare l'attività di rete
Bloccare la diffusione di malware classico e nuovi tipi di attacchi nella rete aziendale
Analizzare software e sistemi (compresi quelli di accesso remoto) per rilevare vulnerabilità ed exploit attuali
Impedire la trasmissione di informazioni non identificate al di fuori del perimetro aziendale

Solo gli utenti registrati possono partecipare al sondaggio. Accedi, per favore.