I Ransomware più pericolosi Giacomo Lanzi

I Ransomware piu’ pericolosi nel 2020

Tempo di lettura: 5 min

La minaccia ransomware (o cyber estorsione) e’ in aumento. Nel 2020 si e’ registrato un picco nel numero di incidenti segnalati e nella quantita’ di hacker che tentano di estorcere denaro alle organizzazioni. E’ importante che ogni organizzazione faccia tutto il possibile per combattere questi criminali ed essere informati e’ un elemento chiave. In questo articolo vediamo i ransomware piu’ pericolosi del 2020.

Il 2020 sta volgendo al termine e forse non stupisce, vista la situazione mondiale, che si e’ registrato un picco di attacchi ransomware notevole, soprattutto nel primo trimestre. In quel periodo, secondo alcune fonti, ha raggiunto un picco del 25% rispetto al trimestre precedente.

I ransomware piu’ pericolosi

Maze

Secondo un consulente dell’FBI per il settore privato, “Attori informatici sconosciuti hanno preso di mira diverse imprese statunitensi e internazionali con il ransomware Maze dall’inizio del 2019. Maze cripta i dati sul file system di un computer infetto e le relative condivisioni di file di rete. Una volta che la vittima e’ stata compromessa, ma prima dell’evento di cifratura, gli attori estraggono i dati”.

“Dopo l’evento di cifratura, I cyber criminali chiedono un riscatto specifico per la vittima pagato in Bitcoin (BTC) per ottenere la chiave di decifratura. Una campagna internazionale Maze si e’ rivolta al settore sanitario, mentre il suo dispiegamento negli Stati Uniti e’ stato piu’ vario”.

L’FBI ha osservato per la prima volta l’attivita’ di Maze ransomware contro le vittime statunitensi nel novembre 2019. Dalla sua osservazione iniziale, Maze ha utilizzato diversi metodi per l’intrusione, tra cui la creazione di siti di criptovalute dall’aspetto malevolo e campagne di malspam che impersonano agenzie governative e noti fornitori di sicurezza. E’ sicuramente tra i ransomware piu’ pericolosi e insidiosi e ha fatto parecchi danni nell’ultimo anno.

REvil ransomware

Potreste aver sentito parlare di REvil Ransomware a causa di una recente violazione dei media e degli avvocati dello spettacolo Grubman Shire Meiselas & Sacks. Hanno confermato la notizia che il loro studio e’ stato vittima di un attacco di Ransomware. L’attacco e’ avvenuto a inizio 2020.

Diverse celebrita’ di primo piano, clienti dello studio legale, hanno subito potenzialmente una fuga di dati. Il contratto del tour di Madonna e’ stato presumibilmente divulgato.

Gli aggressori hanno raddoppiato la richiesta di riscatto a 42 milioni di dollari e hanno minacciato di rilasciare informazioni dannose sul presidente Trump.

SNAKE (EKANS) Ransomware

Ekans Ransomware e’ una variante del malware che infetta i sistemi di controllo industriali per interrompere le operazioni fino al pagamento di un riscatto. Gli analisti della sicurezza dicono che Ekans e’ uno spin-off di Snake Ransomware e che finora ha infettato le fabbriche legate al settore automobilistico ed elettronico, in particolare Honda.

Secondo quanto riferito, gli hacker hanno preso di mira i server Honda con una variante di malware per la crittografia dei file denominata Ekans, costringendo le autorita’ dell’azienda a mandare a casa gli operai dell’unita’ di produzione quando i dispositivi automatizzati installati sono diventati non operativi.

Anche se Honda non ha mai ammesso che i suoi server sono stati interrotti a causa di un attacco informatico, ha ammesso che la sua infrastruttura IT e’ stata interrotta per motivi imprecisati.

Questo ransomware risulta particolarmente pericoloso per aziende che potrebbero dover bloccare la produzione a causa dell’attacco.

Trickbot Ransomware – il pericolo in una petizione

Una campagna di email di phishing che chiede di votare in forma anonima sulla campagna Black Lives Matter sta diffondendo il malware TrickBot che ruba informazioni. Nato come Trojan bancario, il TrickBot si e’ evoluto per eseguire una varieta’ di comportamenti dannosi.

Questo comportamento include la diffusione laterale attraverso una rete, il furto di credenziali salvate nei browser, il furto di database di Active Directory Services, il furto di cookie e chiavi OpenSSH, il furto di RDP, VNC e PuTTY Credentials e altro ancora. TrickBot collabora anche con operatori ransomware, come Ryuk, per dare accesso a una rete compromessa per distribuire il ransomware.

Mailto (conosciuto come Netwalker Ransomware)

NetWalker e’ apparso sulla scena a meta’ del 2009. Simili ad altre famiglie di ransomware ben supportate, gli operatori si rivolgono ad entita’ di alto valore globali. Gli obiettivi del gruppo si estendono a diverse industrie e abbracciano anche i settori dell’istruzione, della medicina e quello governativo.

NetWalker raccoglie i dati dai suoi obiettivi e viene utilizzato dagli operatori come leva attraverso le minacce per pubblicare o rilasciare i dati nel caso in cui la vittima non soddisfi le loro richieste. Ad oggi, i dati rubati appartenenti a dodici diverse vittime di NetWalker sono stati divulgati pubblicamente. Gli aggressori dietro le campagne NetWalker sono noti per utilizzare utilita’ comuni, kit di strumenti post-sfruttamento e tattiche di Living-off-the-Land (LOTL) per esplorare un ambiente compromesso e sottrarre il maggior numero possibile di dati. Questi strumenti possono includere mimikatz (e relative varianti), varie PSTools, AnyDesk, TeamViewer, NLBrute e altri ancora.

Negli ultimi mesi, si e’ assistito al passaggio di NetWalker ad un modello di consegna RaaS (Ransomware as a Service), che potenzialmente aprira’ la piattaforma ad un numero crescente di criminali intraprendenti. Piu’ recentemente, abbiamo osservato le campagne spam di NetWalker che utilizzano esche legate al COVID-19 per attirare le vittime ad avviare l’infezione.

Conclusioni

I ransomware sono attacchi particolarmente subdoli e pericolosi, che non solo mirano a raccogliere dati, ma fanno leva sulle dinamiche tipiche di un riscatto.

SOD, attraverso il servizio Acronis Cyber Protect Cloud, puo’ difendere i dati da questo tipo di attacco. La protezione avviene analizzando i comportamenti degli utenti e individuando operazioni sospette. L’intervento in caso di attacco e’ immediato e permette di recuperare, nella maggior parte dei casi, i dati attaccati.

Grazie a un sistema di backup, al blocco dell’azione di cifrazione dei dati e all’analisi del comportamento, Acronis Cyber Protect e’ un ottimo servizio contro i piu’ pericolosi attacchi ransomware, capace di individuare i comportamenti sospetti prima che diventino realmente pericolosi per i dati.

Link utili:

Condividi


RSS

Piu’ articoli…

Categorie …

Tags

RSS CSIRT

RSS darkreading

RSS Full Disclosure

  • Business Logic Flaw and Username Enumeration in spa-cartcmsv1.9.0.6 Giugno 16, 2024
    Posted by Andrey Stoykov on Jun 15# Exploit Title: Business Logic Flaw and Username Enumeration in spa-cartcmsv1.9.0.6 # Date: 6/2024 # Exploit Author: Andrey Stoykov # Version: 1.9.0.6 # Tested on: Ubuntu 22.04 # Blog: https://msecureltd.blogspot.com/2024/04/friday-fun-pentest-series-5-spa.html Description - It was found that the application suffers from business logic flaw - Additionally the application is vulnerable […]
  • APPLE-SA-06-10-2024-1 visionOS 1.2 Giugno 12, 2024
    Posted by Apple Product Security via Fulldisclosure on Jun 11APPLE-SA-06-10-2024-1 visionOS 1.2 visionOS 1.2 addresses the following issues. Information about the security content is also available at https://support.apple.com/HT214108. Apple maintains a Security Releases page at https://support.apple.com/HT201222 which lists recent software updates with security advisories. CoreMedia Available for: Apple Vision Pro Impact: An app may be […]
  • CyberDanube Security Research 20240604-0 | Multiple Vulnerabilities in utnserver Pro/ProMAX/INU-100 Giugno 9, 2024
    Posted by Thomas Weber via Fulldisclosure on Jun 09CyberDanube Security Research 20240604-0 ------------------------------------------------------------------------------- title| Multiple Vulnerabilities product| SEH utnserver Pro/ProMAX / INU-100 vulnerable version| 20.1.22 fixed version| 20.1.28 CVE number| CVE-2024-5420, CVE-2024-5421, CVE-2024-5422 impact| High homepage| https://www.seh-technology.com/...
  • SEC Consult SA-20240606-0 :: Multiple critical vulnerabilities in Kiuwan SAST on-premise (KOP) & cloud/SaaS & Kiuwan Local Analyzer (KLA) Giugno 9, 2024
    Posted by SEC Consult Vulnerability Lab via Fulldisclosure on Jun 09SEC Consult Vulnerability Lab Security Advisory < 20240606-0 > ======================================================================= title: Multiple critical vulnerabilities product: Kiuwan SAST on-premise (KOP) & cloud/SaaS Kiuwan Local Analyzer (KLA) vulnerable version: Kiuwan SAST
  • Blind SQL Injection - fengofficev3.11.1.2 Giugno 9, 2024
    Posted by Andrey Stoykov on Jun 09# Exploit Title: FengOffice - Blind SQL Injection # Date: 06/2024 # Exploit Author: Andrey Stoykov # Version: 3.11.1.2 # Tested on: Ubuntu 22.04 # Blog: https://msecureltd.blogspot.com/2024/05/friday-fun-pentest-series-6.html Steps to Reproduce: 1. Login to application 2. Click on "Workspaces" 3. Copy full URL 4. Paste the HTTP GET request into […]
  • Trojan.Win32.DarkGateLoader (multi variants) / Arbitrary Code Execution Giugno 9, 2024
    Posted by malvuln on Jun 09Discovery / credits: Malvuln (John Page aka hyp3rlinx) (c) 2024 Original source: https://malvuln.com/advisory/afe012ed0d96abfe869b9e26ea375824.txt Contact: malvuln13 () gmail com Media: x.com/malvuln Threat: Trojan.Win32.DarkGateLoader (multi variants) Vulnerability: Arbitrary Code Execution Description: Multiple variants of this malware look for and execute x32-bit "urlmon.dll" PE file in its current directory. Therefore, we can...
  • SQL Injection Vulnerability in Boelter Blue System Management (version 1.3) Giugno 9, 2024
    Posted by InfoSec-DB via Fulldisclosure on Jun 09Exploit Title: SQL Injection Vulnerability in Boelter Blue System Management (version 1.3) Google Dork: inurl:"Powered by Boelter Blue" Date: 2024-06-04 Exploit Author: CBKB (DeadlyData, R4d1x) Vendor Homepage: https://www.boelterblue.com Software Link: https://play.google.com/store/apps/details?id=com.anchor5digital.anchor5adminapp&hl=en_US Version: 1.3 Tested on: Linux Debian 9 (stretch), Apache 2.4.25, MySQL >= 5.0.12 CVE:...
  • CyberDanube Security Research 20240528-0 | Multiple Vulnerabilities in ORing IAP-420 Maggio 30, 2024
    Posted by Thomas Weber via Fulldisclosure on May 29CyberDanube Security Research 20240528-0 ------------------------------------------------------------------------------- title| Multiple Vulnerabilities product| ORing IAP-420 vulnerable version| 2.01e fixed version| - CVE number| CVE-2024-5410, CVE-2024-5411 impact| High homepage| https://oringnet.com/ found| 2024-01-19 by| T. Weber...
  • HNS-2024-06 - HN Security Advisory - Multiple vulnerabilities in Eclipse ThreadX Maggio 30, 2024
    Posted by Marco Ivaldi on May 29Hi, Please find attached a security advisory that describes multiple vulnerabilities we discovered in Eclipse ThreadX (aka Azure RTOS). * Title: Multiple vulnerabilities in Eclipse ThreadX * OS: Eclipse ThreadX < 6.4.0 * Author: Marco Ivaldi * Date: 2024-05-28 * CVE IDs and severity: * CVE-2024-2214 - High - […]
  • SEC Consult SA-20240527-0 :: Multiple vulnerabilities in HAWKI didactic interface Maggio 28, 2024
    Posted by SEC Consult Vulnerability Lab via Fulldisclosure on May 27 SEC Consult Vulnerability Lab Security Advisory < 20240527-0 > ======================================================================= title: Multiple vulnerabilities product: HAWKI (Interaction Design Team at the University of Applied Sciences and Arts in Hildesheim/Germany) vulnerable version: 1.0.0-beta.1, versions before commit 146967f     fixed version: Github commit 146967f...

Customers

Newsletter

{subscription_form_2}