Preparati a questi tipi comuni di ransomware
6 forme di attacchi ransomware, 9 attacchi ransomware di grande risonanza e 12 varianti attuali di ransomware che dovreste conoscere.
Panoramica
Comprendere i tipi più comuni di ransomware nel 2024
Tra tutte le minacce presenti nell’attuale panorama informatico, il ransomware è forse quella più temuta. I diversi tipi di attacchi ransomware possono variare per motivazione e meccanismo, ma hanno tutti una cosa in comune: rendono inaccessibili i dati della vittima. Per un’azienda moderna, ciò può rappresentare una minaccia esistenziale.
Scopriamo di più sulle forme più comuni di ransomware, tra cui:
- Lockers
- Crypto-ransomware
- Scareware
- Ransomware as a Service (RaaS)
- Extortionware (compresi Doxware e Leakware)
- Malware wiper
Imparerai inoltre a conoscere gli attacchi di alto profilo avvenuti in passato, nonché le minacce ransomware più gravi di oggi.
Tipi di ransomware
I 6 tipi più comuni di attacchi ransomware
Quando si sente parlare di “ransomware”, solitamente si pensa alla crittografia forzata. Sebbene questo sia un elemento presente in molti degli attacchi ransomware di maggiore risonanza, non è sempre così. Ciò che definisce realmente un attacco ransomware è – come suggerisce il nome stesso – la richiesta di un pagamento per ripristinare la possibilità per la vittima di utilizzare i propri dati. Possiamo osservare questa tattica nei seguenti sei tipi comuni di attacchi ransomware.
1. Crypto-ransomware
:
una delle forme più note e dannose di ransomware, il crypto-ransomware (o encryptor ransomware) crittografa forzatamente i file e i dati all’interno di un sistema, rendendo il contenuto inaccessibile a meno che la vittima non paghi il riscatto. Per aumentare la pressione, gli sviluppatori di crypto-ransomware spesso aggiungono un conto alla rovescia alla loro richiesta di riscatto, al termine del quale i file verranno cancellati. Naturalmente, anche se il riscatto viene pagato, in genere in criptovaluta, non vi è alcuna garanzia che gli autori della minaccia mantengano la promessa di fornire una chiave di decrittazione. Tra le forme più comuni di crypto-ransomware figurano Hive, REvil e Ryuk.
2. Locker
: anziché crittografare i file, il ransomware di tipo “locker” blocca l’accesso ai dati disabilitando le funzioni di base del computer per rendere inutilizzabili file e applicazioni. In genere non è possibile accedere al desktop, sebbene rimangano disponibili funzionalità di mouse e tastiera sufficienti per effettuare il pagamento. Una schermata di blocco mostra la richiesta di riscatto, spesso accompagnata dal temuto conto alla rovescia. Sebbene la distruzione completa dei dati sia improbabile, il malware può diffondersi rapidamente attraverso la rete per infettare altri dispositivi all’interno dell’organizzazione. Tra le forme più comuni di ransomware di tipo “locker” figurano CryptoLocker e Locky.
3. Ransomware as a Service
(
RaaS) Attualmente in forte ascesa, il RaaS porta la comodità del SaaS nel mondo della criminalità informatica. In questa forma di minaccia, l’attacco viene sferrato da un gruppo RaaS professionale che ospita e distribuisce il proprio malware, raccoglie i pagamenti dalle vittime e ripristina l’accesso (idealmente) in cambio di una percentuale del riscatto. Il RaaS offre ai criminali informatici meno esperti dal punto di vista tecnico o ai dilettanti la possibilità di sferrare un attacco ransomware altamente efficace. Per i creatori del malware utilizzato, sferrare l’attacco per conto dei propri clienti rappresenta un modo per guadagnare facilmente con meno rischi. Le bande RaaS possono utilizzare qualsiasi tipo di malware a loro scelta, ma tra le forme più comuni figurano LockBit, Black Basta e BlackMatter, il successore di DarkSide.
4. Extortionware
: intensificando la minaccia del ransomware tradizionale, l’extortionware va oltre la crittografia minacciando di divulgare dati riservati o informazioni di identificazione personale (PII) sui propri bersagli a meno che non venga effettuato un pagamento. Quando tali attacchi prendono di mira una singola vittima – una versione nota anche come «doxware» – questa divulgazione può esporre l’individuo al rischio di umiliazione pubblica, alla rovina della carriera o delle relazioni personali, o persino a danni fisici. Quando l’obiettivo dell’autore dell’attacco si concentra più in generale su un’organizzazione nel suo complesso, ovvero nel caso del “leakware”, l’impatto potenziale è simile a quello di qualsiasi altro tipo di violazione dei dati, tra cui imbarazzo pubblico, danni alle relazioni con i clienti e commerciali, e sanzioni normative. Tra i software comunemente utilizzati in diversi tipi di attacchi di estortionware figurano DoppelPaymer, Revil ed EvilQuest.
5. Malware
wiper
Sebbene non rientri nella definizione classica di ransomware, gli attacchi con malware wiper spesso si mascherano da ransomware, pertanto è importante comprendere le differenze tra i due. Come il ransomware, il malware wiper limita l’accesso dell’utente ai dati. Come in un attacco ransomware, gli autori delle minacce spesso esigono un pagamento, magari utilizzando un conto alla rovescia per ottenere un effetto drammatico. Ma c’è una differenza fondamentale: nella maggior parte dei casi, gli autori di un attacco con malware wiper non hanno alcuna intenzione di ripristinare l’accesso ai dati della vittima. Il loro obiettivo principale è seminare il caos distruggendo i dati in modo permanente, e qualsiasi somma di denaro ricavata nel frattempo è semplicemente un bonus per un lavoro ben fatto. Tra i software utilizzati negli attacchi con malware wiper figurano NotPetya e KillDisk.
6. Scareware
Spesso efficace contro le vittime meno esperte, lo scareware è un software fasullo che sostiene di aver rilevato un virus o un altro problema sul computer e induce l’utente a pagare per risolvere il problema. Un avviso pop-up – o una valanga di essi – esorta l’utente a scaricare uno strumento o un servizio per risolvere il problema. Naturalmente, è proprio questo software scaricato che consente all’autore dell’attacco di accedere al sistema. A quel punto, alcuni tipi di scareware bloccano il computer e chiedono un riscatto, sebbene di solito non danneggino il sistema né compromettano i file. Tra le forme più comuni di scareware figurano Mac Defender e WinFixer.
attacchi ransomware
9 attacchi ransomware ben noti
Un elenco completo degli attacchi ransomware resi pubblici sarebbe troppo lungo da leggere e molte vittime, comprensibilmente, mantengono il silenzio (anche se le società quotate in borsa sono tenute dalla SEC a rendere noti gli attacchi informatici). Alcuni esempi di grande risonanza rendono fin troppo evidente il potenziale danno, compresi i pagamenti del riscatto e il loro impatto più ampio.
1) CryptoLocker (2013-2014) – Uno dei primi grandi attacchi ransomware, diffondendosi tramite allegati e-mail infetti e la botnet Gameover ZeuS, CryptoLocker ha estorto circa 3 milioni di dollari in pagamenti da varie piccole e medie imprese.
2) WannaCry (2017) – Questo attacco globale ha colpito oltre 230.000 computer in 150 aziende. Il Servizio Sanitario Nazionale del Regno Unito ha subito perdite stimate in 92 milioni di dollari, oltre a un disagio incalcolabile per pazienti, operatori sanitari e strutture. Le perdite totali a livello mondiale hanno raggiunto i 4 miliardi di dollari.
3) Petya/NotPetya (2017) – Questa campagna di grande successo ha causato perdite per 10 miliardi di dollari a livello globale, inclusi 300 milioni di dollari per la compagnia di navigazione Maersk.
4) GandCrab (2018-2019) – Prendendo di mira numerose piccole e medie imprese anziché poche vittime facoltose, GandCrab ha causato danni totali stimati in 2 miliardi di dollari in tutto il mondo.
5) REvil/Sodinokibi (2021) – Utilizzato in oltre un quinto degli interventi di risposta agli incidenti di IBM nel 2022, si stima che REvil abbia infettato circa 175.000 computer in tutto il mondo, con almeno 200 milioni di dollari pagati in riscatto. La sola JBS Foods avrebbe pagato, secondo quanto riportato, 11 milioni di dollari.
6) Maze (2019-2020) – La società di consulenza IT Cognizant ha subito un duro colpo a causa della variante del ransomware Maze. L’azienda ha segnalato perdite dirette legate alla Recovery comprese tra i 50 e i 70 milioni di dollari; aggiungendo il mancato guadagno, l’impatto finanziario totale è stato stimato fino a 140 milioni di dollari.
7) Ryuk (2020) – Un attacco sferrato contro Universal Health Services ha colpito 250 strutture sanitarie negli Stati Uniti. È difficile valutare l’impatto a lungo termine, ma le perdite a breve termine ammontavano a 67 milioni di dollari.
8) DarkSide (2021) – Noto soprattutto per l’impatto sulla Colonial Pipeline, questo attacco RaaS ha fruttato un riscatto di 4,4 milioni di dollari – ma questa è solo una parte del quadro. Gli aggressori hanno anche sottratto circa 100 GB di dati dai server dell’azienda. Nel frattempo, la diffusa carenza di carburante e l’aumento dei prezzi hanno provocato ripercussioni sui mercati dei consumatori, delle imprese e finanziari.
9) ALPHV/BlackCat e Scattered Spider (2023) – Le bande di ransomware hanno collaborato in un attacco contro MGM Resorts, ottenendo l’accesso iniziale tramite tattiche di ingegneria sociale su LinkedIn. Nonostante le significative interruzioni delle operazioni e dell’esperienza degli ospiti per quasi due settimane, l’azienda si è rifiutata di pagare il riscatto, subendo però una perdita stimata di 100 milioni di dollari in mancati ricavi e altri danni.
Minacce ransomware
Le 12 minacce ransomware più gravi del momento
L’attuale panorama del ransomware sta diventando sempre più frammentato. Mentre molte varianti più datate e ben note potrebbero essersi evolute, aver cambiato nome o aver cessato le operazioni, continuano a emergere nuovi gruppi. Molti, se non la maggior parte, assumono la forma di RaaS e utilizzano tattiche di doppia estorsione, in cui è necessario pagare due riscatti distinti: uno per la decrittografia e l’altro per la cancellazione dei dati rubati.
Ecco una dozzina di minacce ransomware di cui dovreste essere a conoscenza in questo momento.
1) LockBit – Diffuso da una banda RaaS altamente sofisticata, LockBit è una delle forme di ransomware più prolifiche e distruttive a livello mondiale. Utilizza strumenti nativi di Windows per eludere il rilevamento, camuffa il proprio eseguibile come file .PNG ed è in grado di propagarsi autonomamente attraverso una rete con un intervento manuale minimo. Un marketing aggressivo, un’interfaccia intuitiva e un allettante modello di ripartizione dei profitti ne hanno alimentato la crescente popolarità.
2) PLAY – Conosciuto anche come PlayCrypt, questa sofisticata minaccia informatica è emersa nel giugno 2022 concentrandosi sull’America Latina. Attualmente disponibile come RaaS, PLAY sfrutta le vulnerabilità di risorse accessibili al pubblico, come Fortinet SSL VPN e Microsoft Exchange ProxyNotShell, e utilizza account validi compromessi per l’accesso iniziale.
3) Black Basta – Dall’inizio del 2022, Black Basta è una delle operazioni RaaS più attive al mondo. Il gruppo utilizza una tattica di doppia estorsione, crittografando i dati delle vittime e minacciando poi di pubblicare informazioni sensibili. Evolvendo continuamente le proprie tattiche, Black Basta ha recentemente incorporato attacchi DDoS via e-mail e il phishing vocale (vishing) nelle proprie operazioni.
4) RansomHub – Relativamente nuovo ma in rapida crescita, il RaaS RansomHub prende di mira settori delle infrastrutture critiche quali la sanità, la gestione delle risorse idriche, i servizi finanziari e i servizi governativi. Tattiche comuni come il phishing, lo sfruttamento delle vulnerabilità e il “password spraying”, utilizzate in combinazione con strumenti “EDR-killer”, hanno aiutato il gruppo a violare oltre 200 vittime, tra cui la casa d’aste Christie’s e Change Healthcare.
5) Hunters International – Probabilmente una versione rinominata di Hive, Hunters International opera come un RaaS incentrato principalmente sull’esfiltrazione di dati e sull’estorsione piuttosto che sulla crittografia dei file. Scritto in Rust, un linguaggio che ne potenzia la capacità di eludere il rilevamento e accelerare la crittografia, il malware è noto per la sua capacità di terminare i processi, cancellare i backup e disabilitare i meccanismi di Recovery.
6) Akira – Ancora un altro RaaS noto per le tattiche di doppia estorsione, Akira è rapidamente diventato una delle principali minacce globali di ransomware. Le richieste di riscatto variano in genere da 200.000 a oltre 4 milioni di dollari, con la maggior parte delle vittime nei settori dell’istruzione, della finanza, della produzione e della sanità.
7) Medusa – Diffondendosi rapidamente attraverso affiliati globali, il RaaS Medusa ottiene in genere l’accesso iniziale sfruttando servizi vulnerabili o tramite campagne di phishing. Una volta all’interno, termina oltre 280 servizi e processi di Windows per facilitare la crittografia. Il blog dedicato alla denuncia pubblica delle vittime, presente sia sul dark web che sul surface web, ne ha consolidato la notorietà nella comunità della sicurezza informatica.
8) BianLian – Attualmente una delle principali minacce globali di ransomware, BianLian ha recentemente spostato la propria attenzione dalla crittografia agli attacchi di tipo «extortionware». Ottenendo spesso l’accesso tramite credenziali RDP compromesse, il gruppo utilizza strumenti open source e script da riga di comando per la raccolta delle credenziali e l’individuazione dei dati, per poi esfiltrare i dati tramite servizi di condivisione file come FTP, Rclone o Mega.
9) 8Base – Emerso inizialmente nel 2022 sotto le spoglie di penetration tester, 8Base ora mette in atto schemi di doppia estorsione ai danni di piccole e medie imprese negli Stati Uniti, in Brasile e nel Regno Unito. Il suo malware disabilita i componenti di Windows Defender, elimina le copie shadow, cancella i registri degli eventi e modifica le voci del registro di sistema per aggirare il Controllo dell’accesso utente e garantire la persistenza.
10) INC Ransomware – A partire da luglio 2023, questa operazione ottiene l’accesso tramite e-mail di spear-phishing o sfruttando servizi vulnerabili, per poi utilizzare una combinazione di strumenti commerciali e binari “living-off-the-land” (LOLBIN) per la ricognizione e il movimento laterale. Il gruppo offre cinicamente il “servizio” di rivelare i propri metodi per rendere l’ambiente della vittima più sicuro dopo il pagamento.
11) Qilin – Originariamente operante con il proprio RaaS sotto il nome di Agenda, Qilin utilizza una strategia di doppia estorsione con richieste di riscatto che vanno da 50.000 a 800.000 dollari. Un malware avanzato scritto sia in Golang che in Rust ottiene l’accesso iniziale tramite e-mail di phishing e reti VPN prive di autenticazione a più fattori. Features personalizzabili come l’alterazione delle estensioni dei file e la terminazione di processi specifici rendono il servizio altamente adattabile.
12) Vanir Group – Dal suo esordio nel luglio 2024, il gruppo RaaS Vanir Group ha stretto legami con ex membri di altri noti gruppi di ransomware, il che gli ha permesso di crescere rapidamente in termini di sofisticazione. Il gruppo è noto sia per una parvenza di professionalità sia per tattiche altamente aggressive, come l’invio di messaggi intimidatori agli amministratori delegati per aggiungere urgenza alle richieste di doppia estorsione.
Sia i tipi di software ransomware che le tattiche delle bande che li utilizzano sono in continua evoluzione. Non è possibile ottenere una protezione completa da una violazione, ma mantenendo un’attenzione costante alla protezione dei dati, al Backup and Recovery, nonché alle capacità di resilienza informatica, è possibile mitigare il rischio rappresentato da queste minacce. Siate vigili, siate preparati e potrete contribuire a garantire la continuità operativa a prescindere da ciò che accada.
Termini correlati
Che cos’è la protezione dal ransomware?
La protezione dal ransomware è il processo volto a prevenire il verificarsi di un evento di ransomware e/o a mitigare il rischio di un attacco riuscito.
Che cos’è la protezione dei dati?
La protezione dei dati si riferisce alle pratiche, alle tecnologie e alle politiche utilizzate per salvaguardare i dati da accessi non autorizzati, perdita, danneggiamento e altre minacce.
Che cos’è il cyber deception?
Il cyber deception è una tattica di sicurezza e difesa proattiva che si basa sull’inganno degli autori di attacchi e delle minacce informatiche.
Ransomware 101
Demo di ripristino dopo un attacco ransomware
