Dati ransomware pubblicati in chiaro Piergiorgio Venuti

I dati esfiltrati durante un attacco ransomware a doppia estorsione non sono pubblici. Sfatiamo un mito

Estimated reading time: 3 minuti

Introduzione

Gli attacchi ransomware stanno diventando sempre più comuni e redditizi per i criminali informatici. In particolare, la variante “a doppia estorsione” prevede non solo la crittografia dei dati della vittima, ma anche la sottrazione e la minaccia di pubblicazione online degli stessi per ottenere il riscatto. Si ritiene comunemente che i dati rubati non vengano effettivamente diffusi pubblicamente, ma rimangano confinati nel dark web. In realtà le cose non stanno così.

Cos’è il dark web

Il dark web indica quella parte di internet i cui contenuti non sono indicizzati dai motori di ricerca standard. Per accedere al dark web è necessario utilizzare browser specifici come Tor, che rendono anonima la navigazione crittografando e instradando il traffico attraverso più nodi. Proprio grazie all’anonimato che garantisce, il dark web viene spesso utilizzato per attività criminali, come la vendita di dati rubati.

Tuttavia il dark web non è così oscuro e misterioso come si crede. Software come Tor sono gratuiti e facilmente accessibili a tutti. Di conseguenza, anche dati sensibili di aziende finite nel dark web possono facilmente trapelare anche pubblicamente.

Le cybergang pubblicano spesso anche in chiaro

Contrariamente alla credenza comune, molte delle organizzazioni criminali che gestiscono attacchi ransomware finiscono per pubblicare i dati rubati alle vittime anche pubblicamente, come ulteriore strumento di pressione per ottenere il pagamento del riscatto.

I forum e i siti usati per queste pubblicazioni sono spesso ospitati su server extra-UE, dove non vi sono conseguenze legali, e sono facilmente accessibili a chiunque. Ad esempio il gruppo Conti, tra i più attivi nel mondo ransomware, pubblica regolarmente dati esfiltrati tramite il proprio sito “Conti Leaks”.

Anche gruppi ransomware meno noti finiscono per pubblicare campioni di dati rubati su forum pubblici, inviando poi l’URL alla vittima, per dimostrare che la minaccia di divulgazione completa è concreta.

Queste pubblicazioni avvengono su siti accessibili a chiunque disponga di una connessione internet. Non è necessario ricorrere al dark web per accedere ai dati trafugati.

Perché le cybergang pubblicano i dati in chiaro

Ci sono principalmente tre motivazioni che spingono gli operatori ransomware a pubblicare i dati rubati anche pubblicamente, e non solo sul dark web:

  • Aumentare la pressione sulla vittima: la pubblicazione di un campione di dati sensibili è un potente strumento di coercizione per spingere la vittima a pagare, per evitare la divulgazione completa.
  • Danneggiare l’immagine del bersaglio: le cybergang mirano spesso ad infliggere il maggior danno possibile alle vittime, oltre che a ottenere un riscatto. La pubblicazione dei dati danneggia la reputazione dell’organizzazione colpita.
  • Pubblicità per i propri servizi: mostrare i dati trafugati funge da prova delle effettive capacità del gruppo ransomware, permettendo di attirare più clienti per futuri attacchi.

Un business milionario

La vendita dei dati rubati è divenuta un business estremamente lucrativo per i criminali informatici, secondo solo a quello dei ransomware. Recenti rapporti stimano che i ricavi derivanti dalla sola vendita di dati rubati nel 2021 abbia fruttato agli hacker oltre 2 miliardi di dollari.

Dati sensibili di aziende possono essere venduti per decine di migliaia di euro nel dark web. Ma la pubblicazione gratuita di campioni aumenta ulteriormente l’impatto distruttivo dell’attacco.

Conclusione: prevenire è meglio che curare

La possibilità che i dati trafugati da un attacco ransomware vengano diffusi pubblicamente, e non solo nel dark web, è dunque concreta e da non sottovalutare. Le conseguenze di una simile violazione dati possono essere estremamente gravi per un’azienda, causando danni d’immagine, sanzioni legali e perdita di proprietà intellettuale.

Diventa quindi cruciale investire nella prevenzione, adottando soluzioni di sicurezza moderne come piattaforme SOC (Security Operation Center) che monitorano h24 la rete aziendale per individuare e bloccare gli attacchi prima che gli hacker possano rubare o criptare i dati sensibili.

Inoltre, servizi avanzati di threat intelligence come quelli forniti da aziende come Secure Online Desktop consentono di monitorare il dark web per identificare eventuali dati rubati dell’azienda che vengono messi in vendita, per agire immediatamente e limitare i danni.

Useful links:

Condividi


RSS

Piu’ articoli…

Categorie …

Tags

RSS CSIRT

  • Sanate vulnerabilità su GitLab CE/EE (AL06/241113/CSIRT-ITA) Novembre 13, 2024
    Rilasciati aggiornamenti di sicurezza che risolvono 6 vulnerabilità, di cui una con gravità “alta”, in GitLab Community Edition (CE) ed Enterprise Edition (EE).
  • Aggiornamenti Mensili Microsoft (AL01/241113/CSIRT-ITA) Novembre 13, 2024
    Microsoft ha rilasciato gli aggiornamenti di sicurezza mensili che risolvono un totale di 158 nuove vulnerabilità, di cui 4 di tipo 0-day.
  • Fortinet: rilevate vulnerabilità in molteplici prodotti (AL05/241113/CSIRT-ITA) Novembre 13, 2024
    Rilevate nuove vulnerabilità in vari prodotti, di cui 4 con gravità “alta”. Tali vulnerabilità potrebbero permettere il bypass dei meccanismi di sicurezza, l’esecuzione di comandi arbitrari e la possibilità di elevare i privilegi utente sui sistemi interessati.
  • Adobe rilascia aggiornamenti per sanare molteplici vulnerabilità (AL04/241113/CSIRT-ITA) Novembre 13, 2024
    Adobe ha rilasciato aggiornamenti di sicurezza per risolvere molteplici vulnerabilità, con gravità “alta”, nei prodotti After Effects, Substance 3D Painter, Illustrator, InDesign, Photoshop e Commerce.
  • Ivanti November Security Update (AL03/241113/CSIRT-ITA) Novembre 13, 2024
    Ivanti rilascia aggiornamenti di sicurezza che risolvono 49 vulnerabilità, di cui 9 con gravità “critica” e 36 con gravità “alta”, nei prodotti EPM (Endpoint Manager), ICS (Ivanti Connect Secure), IPS (Ivanti Policy Secure), ISAC (Ivanti Secure Access Client) e Ivanti Avalanche.
  • Vulnerabilità in prodotti Citrix (AL02/241113/CSIRT-ITA) Novembre 13, 2024
    Rilevate 3 nuove vulnerabilità di sicurezza, di cui una con gravità “alta”, che interessa i software Citrix NetScaler ADC e Gateway. Tale vulnerabilità potrebbe permettere ad un utente malevolo di compromettere la disponibilità del servizio sui dispositivi target.
  • Aggiornamenti per prodotti Siemens (AL04/241112/CSIRT-ITA) Novembre 12, 2024
    Siemens ha rilasciato aggiornamenti di sicurezza per correggere molteplici vulnerabilità nei propri prodotti – anche SCADA, di cui una con gravità “critica” in TeleControl, sistema di telecontrollo progettato per monitorare e controllare impianti industriali.
  • Rilevate vulnerabilità nel prodotto DLink DSL6740C (AL03/241112/CSIRT-ITA) Novembre 12, 2024
    Rilevate 7 vulnerabilità di sicurezza, di cui una con gravità “critica” e 6 con gravità “alta”, nel prodotto D-Link DSL6740C. Tali vulnerabilità, qualora sfruttate, potrebbero permettere ad un utente malintenzionato remoto il bypass dei meccanismi di autenticazione e l’esecuzione di comandi arbitrari sui sistemi interessati.
  • SAP Security Patch Day (AL02/241112/CSIRT-ITA) Novembre 12, 2024
    SAP rilascia il Security Patch Day di novembre che risolve diverse vulnerabilità, di cui una con gravità “alta” che interessa il prodotto SAP Web Dispatcher, componente chiave per la gestione del traffico HTTP(S) verso i sistemi SAP. Tale vulnerabilità potrebbe permettere ad un utente malevolo la creazione di link opportunamente predisposti che, qualora eseguiti tramite […]
  • Schneider Electric: sanate vulnerabilità in vari prodotti (AL01/241112/CSIRT-ITA) Novembre 12, 2024
    Sanate nuove vulnerabilità presenti in alcuni prodotti – integrabili anche in soluzioni SCADA - di Schneider Electric, di cui una con gravità “critica” e 5 con gravità “alta”.

RSS darkreading

RSS Full Disclosure

  • SEC Consult SA-20241112-0 :: Multiple vulnerabilities in Siemens Energy Omnivise T3000 (CVE-2024-38876, CVE-2024-38877, CVE-2024-38878, CVE-2024-38879) Novembre 13, 2024
    Posted by SEC Consult Vulnerability Lab via Fulldisclosure on Nov 12SEC Consult Vulnerability Lab Security Advisory < 20241112-0 > ======================================================================= title: Multiple vulnerabilities product: Siemens Energy Omnivise T3000 vulnerable version: >=8.2 SP3 fixed version: see solution section CVE number: CVE-2024-38876, CVE-2024-38877, CVE-2024-38878, CVE-2024-38879 impact: High...
  • Security issue in the TX Text Control .NET Server for ASP.NET. Novembre 13, 2024
    Posted by Filip Palian on Nov 12Hej, Let&apos;s keep it short ... ===== Intro ===== A "sudo make me a sandwich" security issue has been identified in the TX Text Control .NET Server for ASP.NET[1]. According to the vendor[2], "the most powerful, MS Word compatible document editor that runs in all browsers". Likely all versions […]
  • SEC Consult SA-20241107-0 :: Multiple Vulnerabilities in HASOMED Elefant and Elefant Software Updater Novembre 10, 2024
    Posted by SEC Consult Vulnerability Lab via Fulldisclosure on Nov 09SEC Consult Vulnerability Lab Security Advisory < 20241107-0 > ======================================================================= title: Multiple Vulnerabilities product: HASOMED Elefant and Elefant Software Updater vulnerable version:
  • Unsafe eval() in TestRail CLI Novembre 7, 2024
    Posted by Devin Cook on Nov 06This is not a very exciting vulnerability, but I had already publicly disclosed it on GitHub at the request of the vendor. Since that report has disappeared, the link I had provided to MITRE was invalid, so here it is again. -Devin --- # Unsafe `eval()` in TestRail CLI […]
  • 4 vulnerabilities in ibmsecurity Novembre 3, 2024
    Posted by Pierre Kim on Nov 03## Advisory Information Title: 4 vulnerabilities in ibmsecurity Advisory URL: https://pierrekim.github.io/advisories/2024-ibmsecurity.txt Blog URL: https://pierrekim.github.io/blog/2024-11-01-ibmsecurity-4-vulnerabilities.html Date published: 2024-11-01 Vendors contacted: IBM Release mode: Released CVE: CVE-2024-31871, CVE-2024-31872, CVE-2024-31873, CVE-2024-31874 ## Product description ## Vulnerability Summary Vulnerable versions:...
  • 32 vulnerabilities in IBM Security Verify Access Novembre 3, 2024
    Posted by Pierre Kim on Nov 03## Advisory Information Title: 32 vulnerabilities in IBM Security Verify Access Advisory URL: https://pierrekim.github.io/advisories/2024-ibm-security-verify-access.txt Blog URL: https://pierrekim.github.io/blog/2024-11-01-ibm-security-verify-access-32-vulnerabilities.html Date published: 2024-11-01 Vendors contacted: IBM Release mode: Released CVE: CVE-2022-2068, CVE-2023-30997, CVE-2023-30998, CVE-2023-31001, CVE-2023-31004, CVE-2023-31005,...
  • xlibre Xnest security advisory & bugfix releases Ottobre 31, 2024
    Posted by Enrico Weigelt, metux IT consult on Oct 31XLibre project security advisory --------------------------------- As Xlibre Xnest is based on Xorg, it is affected by some security issues which recently became known in Xorg: CVE-2024-9632: can be triggered by providing a modified bitmap to the X.Org server. CVE-2024-9632: Heap-based buffer overflow privilege escalation in _XkbSetCompatMap […]
  • APPLE-SA-10-29-2024-1 Safari 18.1 Ottobre 31, 2024
    Posted by Apple Product Security via Fulldisclosure on Oct 31APPLE-SA-10-29-2024-1 Safari 18.1 Safari 18.1 addresses the following issues. Information about the security content is also available at https://support.apple.com/121571. Apple maintains a Security Releases page at https://support.apple.com/100100 which lists recent software updates with security advisories. Safari Downloads Available for: macOS Ventura and macOS Sonoma Impact: An […]
  • SEC Consult SA-20241030-0 :: Query Filter Injection in Ping Identity PingIDM (formerly known as ForgeRock Identity Management) (CVE-2024-23600) Ottobre 31, 2024
    Posted by SEC Consult Vulnerability Lab via Fulldisclosure on Oct 31SEC Consult Vulnerability Lab Security Advisory < 20241030-0 > ======================================================================= title: Query Filter Injection product: Ping Identity PingIDM (formerly known as ForgeRock Identity Management) vulnerable version: v7.0.0 - v7.5.0 (and older unsupported versions) fixed version: various patches; v8.0 CVE number:...
  • SEC Consult SA-20241023-0 :: Authenticated Remote Code Execution in Multiple Xerox printers (CVE-2024-6333) Ottobre 29, 2024
    Posted by SEC Consult Vulnerability Lab via Fulldisclosure on Oct 28SEC Consult Vulnerability Lab Security Advisory < 20241023-0 > ======================================================================= title: Authenticated Remote Code Execution product: Multiple Xerox printers (EC80xx, AltaLink, VersaLink, WorkCentre)  vulnerable version: see vulnerable versions below fixed version: see solution section below CVE number: CVE-2024-6333...

Customers

Newsletter

{subscription_form_2}