Dati ransomware pubblicati in chiaro Piergiorgio Venuti

I dati esfiltrati durante un attacco ransomware a doppia estorsione non sono pubblici. Sfatiamo un mito

Estimated reading time: 3 minuti

Introduzione

Gli attacchi ransomware stanno diventando sempre più comuni e redditizi per i criminali informatici. In particolare, la variante “a doppia estorsione” prevede non solo la crittografia dei dati della vittima, ma anche la sottrazione e la minaccia di pubblicazione online degli stessi per ottenere il riscatto. Si ritiene comunemente che i dati rubati non vengano effettivamente diffusi pubblicamente, ma rimangano confinati nel dark web. In realtà le cose non stanno così.

Cos’è il dark web

Il dark web indica quella parte di internet i cui contenuti non sono indicizzati dai motori di ricerca standard. Per accedere al dark web è necessario utilizzare browser specifici come Tor, che rendono anonima la navigazione crittografando e instradando il traffico attraverso più nodi. Proprio grazie all’anonimato che garantisce, il dark web viene spesso utilizzato per attività criminali, come la vendita di dati rubati.

Tuttavia il dark web non è così oscuro e misterioso come si crede. Software come Tor sono gratuiti e facilmente accessibili a tutti. Di conseguenza, anche dati sensibili di aziende finite nel dark web possono facilmente trapelare anche pubblicamente.

Le cybergang pubblicano spesso anche in chiaro

Contrariamente alla credenza comune, molte delle organizzazioni criminali che gestiscono attacchi ransomware finiscono per pubblicare i dati rubati alle vittime anche pubblicamente, come ulteriore strumento di pressione per ottenere il pagamento del riscatto.

I forum e i siti usati per queste pubblicazioni sono spesso ospitati su server extra-UE, dove non vi sono conseguenze legali, e sono facilmente accessibili a chiunque. Ad esempio il gruppo Conti, tra i più attivi nel mondo ransomware, pubblica regolarmente dati esfiltrati tramite il proprio sito “Conti Leaks”.

Anche gruppi ransomware meno noti finiscono per pubblicare campioni di dati rubati su forum pubblici, inviando poi l’URL alla vittima, per dimostrare che la minaccia di divulgazione completa è concreta.

Queste pubblicazioni avvengono su siti accessibili a chiunque disponga di una connessione internet. Non è necessario ricorrere al dark web per accedere ai dati trafugati.

Perché le cybergang pubblicano i dati in chiaro

Ci sono principalmente tre motivazioni che spingono gli operatori ransomware a pubblicare i dati rubati anche pubblicamente, e non solo sul dark web:

  • Aumentare la pressione sulla vittima: la pubblicazione di un campione di dati sensibili è un potente strumento di coercizione per spingere la vittima a pagare, per evitare la divulgazione completa.
  • Danneggiare l’immagine del bersaglio: le cybergang mirano spesso ad infliggere il maggior danno possibile alle vittime, oltre che a ottenere un riscatto. La pubblicazione dei dati danneggia la reputazione dell’organizzazione colpita.
  • Pubblicità per i propri servizi: mostrare i dati trafugati funge da prova delle effettive capacità del gruppo ransomware, permettendo di attirare più clienti per futuri attacchi.

Un business milionario

La vendita dei dati rubati è divenuta un business estremamente lucrativo per i criminali informatici, secondo solo a quello dei ransomware. Recenti rapporti stimano che i ricavi derivanti dalla sola vendita di dati rubati nel 2021 abbia fruttato agli hacker oltre 2 miliardi di dollari.

Dati sensibili di aziende possono essere venduti per decine di migliaia di euro nel dark web. Ma la pubblicazione gratuita di campioni aumenta ulteriormente l’impatto distruttivo dell’attacco.

Conclusione: prevenire è meglio che curare

La possibilità che i dati trafugati da un attacco ransomware vengano diffusi pubblicamente, e non solo nel dark web, è dunque concreta e da non sottovalutare. Le conseguenze di una simile violazione dati possono essere estremamente gravi per un’azienda, causando danni d’immagine, sanzioni legali e perdita di proprietà intellettuale.

Diventa quindi cruciale investire nella prevenzione, adottando soluzioni di sicurezza moderne come piattaforme SOC (Security Operation Center) che monitorano h24 la rete aziendale per individuare e bloccare gli attacchi prima che gli hacker possano rubare o criptare i dati sensibili.

Inoltre, servizi avanzati di threat intelligence come quelli forniti da aziende come Secure Online Desktop consentono di monitorare il dark web per identificare eventuali dati rubati dell’azienda che vengono messi in vendita, per agire immediatamente e limitare i danni.

Useful links:

Condividi


RSS

Piu’ articoli…

Categorie …

Tags

RSS CSIRT

RSS darkreading

RSS Full Disclosure

  • Business Logic Flaw and Username Enumeration in spa-cartcmsv1.9.0.6 Giugno 16, 2024
    Posted by Andrey Stoykov on Jun 15# Exploit Title: Business Logic Flaw and Username Enumeration in spa-cartcmsv1.9.0.6 # Date: 6/2024 # Exploit Author: Andrey Stoykov # Version: 1.9.0.6 # Tested on: Ubuntu 22.04 # Blog: https://msecureltd.blogspot.com/2024/04/friday-fun-pentest-series-5-spa.html Description - It was found that the application suffers from business logic flaw - Additionally the application is vulnerable […]
  • APPLE-SA-06-10-2024-1 visionOS 1.2 Giugno 12, 2024
    Posted by Apple Product Security via Fulldisclosure on Jun 11APPLE-SA-06-10-2024-1 visionOS 1.2 visionOS 1.2 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT214108. Apple maintains a Security Releases page at https://support.apple.com/HT201222 which lists recent software updates with security advisories. CoreMedia Available for: Apple Vision Pro Impact: An app may be […]
  • CyberDanube Security Research 20240604-0 | Multiple Vulnerabilities in utnserver Pro/ProMAX/INU-100 Giugno 9, 2024
    Posted by Thomas Weber via Fulldisclosure on Jun 09CyberDanube Security Research 20240604-0 ------------------------------------------------------------------------------- title| Multiple Vulnerabilities product| SEH utnserver Pro/ProMAX / INU-100 vulnerable version| 20.1.22 fixed version| 20.1.28 CVE number| CVE-2024-5420, CVE-2024-5421, CVE-2024-5422 impact| High homepage| https://www.seh-technology.com/...
  • SEC Consult SA-20240606-0 :: Multiple critical vulnerabilities in Kiuwan SAST on-premise (KOP) & cloud/SaaS & Kiuwan Local Analyzer (KLA) Giugno 9, 2024
    Posted by SEC Consult Vulnerability Lab via Fulldisclosure on Jun 09SEC Consult Vulnerability Lab Security Advisory < 20240606-0 > ======================================================================= title: Multiple critical vulnerabilities product: Kiuwan SAST on-premise (KOP) & cloud/SaaS Kiuwan Local Analyzer (KLA) vulnerable version: Kiuwan SAST
  • Blind SQL Injection - fengofficev3.11.1.2 Giugno 9, 2024
    Posted by Andrey Stoykov on Jun 09# Exploit Title: FengOffice - Blind SQL Injection # Date: 06/2024 # Exploit Author: Andrey Stoykov # Version: 3.11.1.2 # Tested on: Ubuntu 22.04 # Blog: https://msecureltd.blogspot.com/2024/05/friday-fun-pentest-series-6.html Steps to Reproduce: 1. Login to application 2. Click on "Workspaces" 3. Copy full URL 4. Paste the HTTP GET request into […]
  • Trojan.Win32.DarkGateLoader (multi variants) / Arbitrary Code Execution Giugno 9, 2024
    Posted by malvuln on Jun 09Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2024 Original source: https://malvuln.com/advisory/afe012ed0d96abfe869b9e26ea375824.txt Contact: malvuln13 () gmail com Media: x.com/malvuln Threat: Trojan.Win32.DarkGateLoader (multi variants) Vulnerability: Arbitrary Code Execution Description: Multiple variants of this malware look for and execute x32-bit "urlmon.dll" PE file in its current directory. Therefore, we can...
  • SQL Injection Vulnerability in Boelter Blue System Management (version 1.3) Giugno 9, 2024
    Posted by InfoSec-DB via Fulldisclosure on Jun 09Exploit Title: SQL Injection Vulnerability in Boelter Blue System Management (version 1.3) Google Dork: inurl:"Powered by Boelter Blue" Date: 2024-06-04 Exploit Author: CBKB (DeadlyData, R4d1x) Vendor Homepage: https://www.boelterblue.com Software Link: https://play.google.com/store/apps/details?id=com.anchor5digital.anchor5adminapp&hl=en_US Version: 1.3 Tested on: Linux Debian 9 (stretch), Apache 2.4.25, MySQL >= 5.0.12 CVE:...
  • CyberDanube Security Research 20240528-0 | Multiple Vulnerabilities in ORing IAP-420 Maggio 30, 2024
    Posted by Thomas Weber via Fulldisclosure on May 29CyberDanube Security Research 20240528-0 ------------------------------------------------------------------------------- title| Multiple Vulnerabilities product| ORing IAP-420 vulnerable version| 2.01e fixed version| - CVE number| CVE-2024-5410, CVE-2024-5411 impact| High homepage| https://oringnet.com/ found| 2024-01-19 by| T. Weber...
  • HNS-2024-06 - HN Security Advisory - Multiple vulnerabilities in Eclipse ThreadX Maggio 30, 2024
    Posted by Marco Ivaldi on May 29Hi, Please find attached a security advisory that describes multiple vulnerabilities we discovered in Eclipse ThreadX (aka Azure RTOS). * Title: Multiple vulnerabilities in Eclipse ThreadX * OS: Eclipse ThreadX < 6.4.0 * Author: Marco Ivaldi * Date: 2024-05-28 * CVE IDs and severity: * CVE-2024-2214 - High - […]
  • SEC Consult SA-20240527-0 :: Multiple vulnerabilities in HAWKI didactic interface Maggio 28, 2024
    Posted by SEC Consult Vulnerability Lab via Fulldisclosure on May 27 SEC Consult Vulnerability Lab Security Advisory < 20240527-0 > ======================================================================= title: Multiple vulnerabilities product: HAWKI (Interaction Design Team at the University of Applied Sciences and Arts in Hildesheim/Germany) vulnerable version: 1.0.0-beta.1, versions before commit 146967f     fixed version: Github commit 146967f...

Customers

Newsletter

{subscription_form_2}