{"id":86086,"date":"2020-06-21T13:42:19","date_gmt":"2020-06-21T11:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh"},"modified":"2020-06-21T13:42:19","modified_gmt":"2020-06-21T11:42:19","slug":"ransomware-novyj-sposob-organizaczii-utechek-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/it\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh","title":{"rendered":"Il ransomware \u2014 un nuovo modo di organizzare le fughe di dati","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Le violazioni dei dati sono un grande problema per i servizi di sicurezza. E adesso, con molti che lavorano da casa, il rischio di violazioni \u00e8 significativamente aumentato. Per questo motivo, famosi gruppi di criminali informatici prestano maggiore attenzione ai protocolli di accesso remoto obsoleti e insufficientemente protetti. E, cosa interessante, un numero crescente di violazioni dei dati oggi \u00e8 associato al Ransomware. Come, perch\u00e9 e in che modo \u2014 leggi qui sotto.<\/p>\n

\"Il
\n<\/a><\/noindex>
\nIniziamo con il fatto che lo sviluppo e la distribuzione di software ransomware \u00e8 di per s\u00e9 un'attivit\u00e0 criminale molto redditizia. Ad esempio, secondo le stime dell'FBI americano, il gruppo Sodinokibi<\/a><\/noindex> ha guadagnato circa 1 milione di dollari al mese nel corso dell'anno scorso. E i criminali che utilizzavano Ryuk guadagnavano ancora di pi\u00f9: all'inizio delle loro operazioni, i loro guadagni arrivavano fino a 3 milioni di dollari al mese. Quindi non sorprende che molti Chief Information Security Officer (CISO) segnalano il ransomware come uno dei cinque principali rischi per le aziende.<\/p>\n

Il Centro Operativo di Protezione Cyber Acronis (CPOC), situato a Singapore, conferma l'attivazione della criminalit\u00e0 informatica nel campo del Ransomware. Nel secondo semestre di maggio, a livello globale, \u00e8 stata registrata una percentuale del 20% in pi\u00f9 di attacchi ransomware rispetto alla norma. Dopo un lieve calo, ora a giugno, stiamo assistendo a un nuovo aumento dell'attivit\u00e0. E ci sono diverse ragioni per questo. <\/p>\n

Accedere al computer della vittima
\n<\/h3>\n

\nLe tecnologie di protezione evolvono e i malintenzionati devono adattare leggermente la loro tattica per colpire specifici sistemi. Gli attacchi mirati di Ransomware continuano a diffondersi tramite email di phishing ben congegnate (qui entra in gioco anche la ingegneria sociale). Tuttavia, recentemente gli sviluppatori di malware si sono concentrati molto sui dipendenti remoti. Per attaccarli, \u00e8 possibile individuare servizi di accesso remoto poco protetti, come RDP, o server VPN con vulnerabilit\u00e0.
\nQuesto \u00e8 esattamente ci\u00f2 che fanno. Nel dark web sono persino emersi servizi ransomware-as-a-service, che forniscono tutto il necessario per attaccare un'organizzazione o una persona specifica. <\/p>\n

Gli aggressori cercano in ogni modo di infiltrarsi nella rete aziendale e ampliare il loro raggio d'azione. Una strategia comune \u00e8 cercare di infettare le reti dei fornitori di servizi. Con l'aumento della popolarit\u00e0 dei servizi cloud, infettare un servizio noto consente di attaccare decine o addirittura centinaia di vittime contemporaneamente. <\/p>\n

In caso di compromissione delle console web di gestione dei sistemi di sicurezza o dei backup, gli aggressori possono disattivare le protezioni, eliminare i backup e consentire al loro malware di diffondersi in tutta l'organizzazione. Questo \u00e8 il motivo per cui gli esperti raccomandano di proteggere rigorosamente tutti gli account di servizio con l'autenticazione a pi\u00f9 fattori. Ad esempio, tutti i servizi cloud Acronis offrono la possibilit\u00e0 di attivare la doppia protezione, poich\u00e9, in caso di compromissione della password, gli aggressori possono annullare tutti i vantaggi offerti da un sistema di cyber-sicurezza integrato. <\/p>\n

Ampliare il raggio d'azione
\n<\/h3>\n

\nQuando l'obiettivo tanto desiderato \u00e8 raggiunto e il malware \u00e8 gi\u00e0 all'interno della rete aziendale, per la sua ulteriore diffusione vengono generalmente impiegate tattiche piuttosto classiche. Gli aggressori analizzano la situazione e cercano di superare le barriere create all'interno dell'azienda per contrastare le minacce. Questa parte dell'attacco pu\u00f2 avvenire in modo manuale (se sono gi\u00e0 penetrati nella rete, significa che la \"trappola\" ha funzionato!). A tal fine, vengono utilizzati strumenti noti come PowerShell, WMI PsExec, insieme a emulatori pi\u00f9 recenti come Cobalt Strike e altre utilit\u00e0. Alcuni gruppi criminali mirano deliberatamente a attaccare i gestori di password per penetrare pi\u00f9 a fondo nella rete aziendale. Inoltre, un malware come Ragnar \u00e8 stato recentemente avvistato in un'immagine di macchina virtuale VirtualBox completamente chiusa, che aiuta a nascondere la presenza di software non autorizzato sulla macchina. <\/p>\n

In questo modo, accedendo alla rete aziendale, il malware cerca di verificare il livello di accesso dell'utente e di applicare le credenziali rubate. Strumenti come Mimikatz e Bloodhound & Co. aiutano a compromettere gli account degli amministratori di dominio. Solo quando l'attaccante ritiene di aver esaurito le possibilit\u00e0 di diffusione, viene caricato direttamente nei sistemi client il programma di ransomware. <\/p>\n

Ransomware come copertura
\n<\/h3>\n

\nConsiderando la gravit\u00e0 della minaccia di perdita di dati, ogni anno sempre pi\u00f9 aziende attuano quello che viene chiamato un \"piano di recupero da disastri\". In questo modo, non devono preoccuparsi troppo dei dati cifrati e, in caso di attacco da ransomware, non iniziano a raccogliere il riscatto, ma avviano il processo di recupero. Ma anche i malintenzionati non riposano. Sotto la copertura del ransomware, si verifica un'ampia cattura di dati. I primi a utilizzare massivamente questa tattica furono Maze nel 2019, sebbene altri gruppi avessero combinato attacchi occasionalmente. Ora, almeno Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO e Sekhmet si dedicano ai furti di dati parallelamente alla crittografia.<\/p>\n

A volte, gli aggressori riescono a estrarre decine di terabyte di dati da un'azienda, i quali avrebbero potuto essere rilevati tramite strumenti di monitoraggio della rete (se installati e configurati). Infatti, la trasmissione dei dati avviene spesso semplicemente tramite FTP, Putty, WinSCP o script PowerShell. Per superare le DLP e i sistemi di monitoraggio della rete, i dati possono essere criptati o inviati come archivio protetto da password, e questo rappresenta una nuova sfida per i servizi di sicurezza, che devono controllare il traffico in uscita alla ricerca di tali file.<\/p>\n

L'analisi del comportamento degli infostealer mostra che gli aggressori non raccolgono qualsiasi cosa \u2014 sono interessati in particolare a bilanci finanziari, database clienti, dati personali dei dipendenti e dei clienti, contratti, registrazioni e documenti legali. Il malware scansione i dischi alla ricerca di qualsiasi informazione che potrebbe teoricamente essere utilizzata per ricatto.
\nSe un attacco di questo tipo ha avuto successo, di solito gli aggressori pubblicano un breve teaser, mostrando alcuni documenti per confermare che i dati sono stati trapelati dall'organizzazione. Alcuni gruppi pubblicano anche l'intero set di dati sul loro sito web se il tempo per il pagamento del riscatto \u00e8 scaduto. Per evitare il blocco e garantire un'ampia diffusione, i dati vengono pubblicati anche nella rete TOR.<\/p>\n

Un altro modo per monetizzare \u00e8 la vendita dei dati. Ad esempio, Sodinokibi ha recentemente annunciato che organizzer\u00e0 aste pubbliche, in cui i dati vanno al partecipante che offre di pi\u00f9. Il prezzo di partenza per queste aste varia da $50.000 a $100.000 a seconda della qualit\u00e0 e del contenuto dei dati. Un set di 10.000 registrazioni di flussi di cassa, dati aziendali riservati e patenti di guida scansionate \u00e8 stato venduto a partire da $100.000. Con $50.000 si potevano acquistare pi\u00f9 di 20.000 documenti finanziari pi\u00f9 tre database con file contabili e dati sui clienti. <\/p>\n

I siti in cui vengono pubblicate le perdite possono essere dei pi\u00f9 svariati. Possono essere semplici pagine che ospitano tutto il materiale rubato, oppure strutture pi\u00f9 complesse con sezioni e possibilit\u00e0 di acquisto. Ma la cosa principale \u00e8 che tutti servono a un unico scopo: aumentare le probabilit\u00e0 degli aggressori di ottenere denaro reale. Se questo modello di business porta buoni risultati per i malintenzionati, non c'\u00e8 dubbio che il numero di questi siti aumenter\u00e0 ulteriormente, assieme alle tecniche di furto e monetizzazione dei dati aziendali.<\/p>\n

Ecco come appaiono i siti attuali in cui vengono pubblicate le perdite di dati:<\/p>\n

\"Il
\n\"Il
\n\"Il
\n\"Il
\n\"Il
\n\"Il
\n<\/p>\n

Cosa fare con i nuovi attacchi
\n<\/h3>\n

\nLa principale sfida per i servizi di sicurezza in queste circostanze \u00e8 che ultimamente sempre pi\u00f9 incidenti legati al Ransomware si rivelano semplici metodi di distrazione per il furto di dati. I malintenzionati non puntano pi\u00f9 solo sulla crittografia dei server. Al contrario, l'obiettivo principale diventa organizzare la fuga di dati mentre si combatte contro i ransomware. <\/p>\n

Pertanto, utilizzare solo un sistema di backup, anche con un buon piano di ripristino, non \u00e8 sufficiente per contrastare le minacce multilivello. Certo, senza backup non si pu\u00f2 fare a meno, poich\u00e9 i malintenzionati cercheranno sicuramente di crittografare qualcosa e di richiedere un riscatto. Si tratta piuttosto del fatto che ora ogni attacco ransomware dovrebbe essere considerato come un motivo per un'analisi approfondita del traffico e per avviare un'indagine su un potenziale attacco. Inoltre, bisognerebbe considerare ulteriori misure di sicurezza che potrebbero: <\/p>\n