{"id":86086,"date":"2020-06-21T13:42:19","date_gmt":"2020-06-21T11:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh"},"modified":"2020-06-21T13:42:19","modified_gmt":"2020-06-21T11:42:19","slug":"ransomware-novyj-sposob-organizaczii-utechek-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh","title":{"rendered":"Ransomware \u2014 un nuovo modo di organizzare le fughe di dati","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Le violazioni dei dati sono una questione delicata per il servizio di sicurezza. E ora che la maggior parte delle persone lavora da casa, il rischio di violazioni risulta molto pi\u00f9 elevato. \u00c8 per questo che noti gruppi di cybercriminali prestano maggiore attenzione ai protocolli di accesso remoto obsoleti e insufficientemente protetti. E, cosa interessante, sempre pi\u00f9 violazioni dei dati oggi sono collegate al Ransomware. Come, perch\u00e9 e in che modo \u2014 leggi sotto.<\/p>\n

\"Ransomware
\n<\/a><\/noindex>
\nIniziamo dicendo che lo sviluppo e la distribuzione di ransomware \u00e8 di per s\u00e9 un'attivit\u00e0 criminale molto redditizia. Ad esempio, secondo le stime dell'FBI americano, il gruppo Sodinokibi<\/a><\/noindex> nel corso dell'ultimo anno ha guadagnato circa 1 milione di dollari al mese. E i criminali che utilizzano Ryuk guadagnavano ancora di pi\u00f9: all'inizio dell'attivit\u00e0 del gruppo, i loro profitti arrivavano fino a 3 milioni di dollari al mese. Non \u00e8 quindi sorprendente che molti CISO segnalino i ransomware come uno dei cinque principali rischi per le aziende.<\/p>\n

Il centro sicurezza Acronis Cyber Protection Operation Center (CPOC), situato a Singapore, conferma l'aumento della criminalit\u00e0 informatica nel settore del Ransomware. Nella seconda met\u00e0 di maggio, sono stati bloccati in tutto il mondo il 20% in pi\u00f9 di ransomware rispetto al solito. Dopo un leggero calo, ora, a giugno, assistiamo nuovamente a una crescita dell'attivit\u00e0. E ci sono diverse ragioni per questo. <\/p>\n

Accedere al computer della vittima
\n<\/h3>\n

\nLe tecnologie di protezione si evolvono e i criminali devono cambiare un po' la loro tattica per infiltrarsi in un sistema specifico. Gli attacchi mirati di Ransomware si diffondono ancora attraverso email di phishing ben congegnate (qui non manca la ingegneria sociale). Tuttavia, negli ultimi tempi, gli sviluppatori di malware prestano molta attenzione ai dipendenti remoti. Per attaccarli, si possono trovare servizi di accesso remoto poco protetti, come RDP o server VPN con vulnerabilit\u00e0.
\n\u00c8 esattamente ci\u00f2 che stanno facendo. Nel dark web sono apparsi anche servizi di ransomware-as-a-service, che forniscono tutto il necessario per attaccare un'organizzazione o una persona scelta. <\/p>\n

I criminali cercano qualsiasi modo per infiltrarsi nella rete aziendale e ampliare il campo d'azione. Un'area popolare \u00e8 diventata il tentativo di infettare le reti dei fornitori di servizi. Poich\u00e9 i servizi cloud stanno iniziando a guadagnare popolarit\u00e0, infettare un servizio noto consente di attaccare decine o addirittura centinaia di vittime in una sola volta. <\/p>\n

In caso di compromissione delle console web di gestione dei sistemi di sicurezza o di backup, gli aggressori possono disattivare la protezione, eliminare i backup e garantire la distribuzione del loro malware in tutta l'organizzazione. \u00c8 proprio per questo che gli esperti raccomandano di proteggere attentamente tutti gli account di servizio tramite autenticazione a pi\u00f9 fattori. Ad esempio, tutti i servizi cloud Acronis consentono di impostare una doppia protezione, poich\u00e9 in caso di compromissione della password, i criminali possono annullare tutti i vantaggi derivanti dall'uso di un sistema complesso di cyber difesa. <\/p>\n

Espansione del campo d'azione
\n<\/h3>\n

\nQuando l'obiettivo desiderato \u00e8 raggiunto e il malware \u00e8 gi\u00e0 all'interno della rete aziendale, per la ulteriore diffusione vengono tipicamente utilizzate tattiche comuni. I criminali studiano la situazione e cercano di superare le barriere che sono state create all'interno dell'azienda per contrastare le minacce. Questa parte dell'attacco pu\u00f2 avvenire manualmente (dopotutto, se sono gi\u00e0 entrati nella rete, significa che sono stati presi all'amo!). A tal fine vengono utilizzati strumenti noti, come PowerShell, WMI PsExec, oltre al pi\u00f9 recente emulatore Cobalt Strike e altre utility. Alcuni gruppi criminali attaccano specificamente i gestori di password per infiltrarsi pi\u00f9 a fondo nella rete aziendale. Un malware come Ragnar \u00e8 stato recentemente individuato in un'immagine virtuale di VirtualBox completamente chiusa, che aiuta a nascondere la presenza di software estraneo sulla macchina. <\/p>\n

Cos\u00ec, entrando nella rete aziendale, il malware cerca di verificare il livello di accesso dell'utente e applicare le password rubate. Strumenti come Mimikatz e Bloodhound & Co. aiutano a compromettere gli account degli amministratori di dominio. Solo quando l'attaccante ritiene che le possibilit\u00e0 di diffusione siano esaurite, il ransomware viene caricato direttamente nei sistemi del cliente. <\/p>\n

Ransomware come copertura
\n<\/h3>\n

\nConsiderando la gravit\u00e0 della minaccia di perdita di dati, ogni anno sempre pi\u00f9 aziende attuano quello che viene definito un \"piano di recupero da disastro\". Grazie a questo, non si preoccupano molto dei dati crittografati e, in caso di attacco ransomware, non iniziano a raccogliere un riscatto, ma avviano il processo di ripristino. Tuttavia, anche i criminali non restano fermi. Sotto la copertura del ransomware si verifica un furto di dati su larga scala. I primi a utilizzare massicciamente questa tattica sono stati i Maze nel 2019, sebbene altri gruppi abbiano periodicamente combinato attacchi. Ora furti di dati, insieme alla crittografia, sono gestiti da almeno Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO e Sekhmet.<\/p>\n

A volte ai criminali riesce di estrarre dall'azienda decine di terabyte di dati, che avrebbero potuto essere individuati da strumenti di monitoraggio di rete (se fossero stati installati e configurati). Infatti, pi\u00f9 spesso il trasferimento di dati avviene semplicemente tramite FTP, Putty, WinSCP o script PowerShell. Per bypassare i sistemi DLP e di monitoraggio di rete, i dati possono essere crittografati o inviati come archivio protetto da password, e questa \u00e8 una nuova sfida per le forze di sicurezza, che devono controllare il traffico in uscita alla ricerca di tali file.<\/p>\n

L'analisi del comportamento degli infostealer mostra che i criminali non raccolgono tutto indiscriminatamente \u2014 sono interessati in particolare ai report finanziari, alle banche dati dei clienti, ai dati personali dei dipendenti e dei clienti, ai contratti, alle registrazioni, ai documenti legali. Il malware scansiona i dischi alla ricerca di qualsiasi informazione che potrebbe teoricamente essere utilizzata per ricatti.
\nSe un attacco simile ha avuto successo, di solito gli aggressori pubblicano un breve teaser, mostrando alcuni documenti a conferma che i dati sono stati rubati dall'organizzazione. Alcuni gruppi pubblicano addirittura l'intero set di dati sul proprio sito web, se il termine per il pagamento del riscatto \u00e8 scaduto. Per evitare il blocco e garantire un'ampia copertura, i dati vengono resi pubblici anche sulla rete TOR.<\/p>\n

Un altro modo per monetizzare \u00e8 la vendita dei dati. Ad esempio, Sodinokibi ha recentemente annunciato l'organizzazione di aste pubbliche, dove i dati vengono assegnati al partecipante che offre la somma pi\u00f9 alta. Il prezzo di partenza per queste aste \u00e8 di $50-100K a seconda della qualit\u00e0 e del contenuto dei dati. Ad esempio, un set di 10.000 record su flussi di cassa, dati aziendali riservati e patenti di guida scansionate sono stati venduti a partire da $100.000. Inoltre, per $50.000 era possibile acquistare oltre 20.000 documenti finanziari pi\u00f9 tre database con file di contabilit\u00e0 e dati dei clienti. <\/p>\n

I siti che pubblicano le fughe di dati possono essere dei pi\u00f9 diversi. Pu\u00f2 essere una semplice pagina dove vengono semplicemente caricati tutti i dati rubati, ma ci sono anche strutture pi\u00f9 complesse con sezioni e possibilit\u00e0 d'acquisto. Ma la cosa principale \u00e8 che tutti servono a un unico scopo: aumentare le possibilit\u00e0 degli aggressori di ottenere denaro vero. Se questo modello di business si dimostrer\u00e0 efficace per i criminali informatici, non c'\u00e8 dubbio che ci saranno ancora pi\u00f9 di questi siti e le tecniche di furto e monetizzazione dei dati aziendali saranno ulteriormente ampliate.<\/p>\n

Ecco come appaiono i siti attuali dove vengono pubblicate le fughe di dati:<\/p>\n

\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n\"Ransomware
\n<\/p>\n

Cosa fare con i nuovi attacchi
\n<\/h3>\n

\nLa principale sfida per le forze di sicurezza in queste circostanze \u00e8 che di recente sempre pi\u00f9 incidenti legati al ransomware si rivelano semplicemente un metodo di distrazione per il furto di dati. I criminali informatici non puntano pi\u00f9 solo alla crittografia dei server. Al contrario, l'obiettivo principale diventa organizzare la fuga di dati mentre si combatte contro i ransomware. <\/p>\n

Pertanto, l'uso di un'unica soluzione di backup, anche con un buon piano di ripristino, risulta insufficiente per affrontare minacce multilivello. Certo, le copie di sicurezza sono necessarie, poich\u00e9 i malintenzionati tenteranno sicuramente di crittografare qualcosa e richiederanno un riscatto. Si tratta piuttosto del fatto che ora ogni attacco che utilizza il Ransomware deve essere considerato come un'opportunit\u00e0 per un'analisi approfondita del traffico e l'avvio di un'indagine su un possibile attacco. Inoltre, \u00e8 opportuno considerare ulteriori mezzi di sicurezza che potrebbero: <\/p>\n