GandCrab ransomware

Arrivano attacchi ransomware più sofisticati e dannosi

Le forze dell'ordine bielorusse hanno arrestato un uomo di 31 anni, ritenuto responsabile del ransomware GandCrab, che ha estorto denaro a oltre 1000 vittime tra il 2017 e il 2018. L'hacker richiedeva pagamenti in Bitcoin frazionari , da 400 a 1500 dollari. Le transazioni in Bitcoin sono per lo più irrintracciabili online, il che le rende adatte a essere utilizzate per estorcere denaro. L'hacker attaccava le vittime inviando milioni di email di phishing . Gli attacchi ransomware non si sono limitati alla Bielorussia: l'hacker ha infettato sistemi anche negli Stati Uniti, nel Regno Unito, in Ucraina, in Francia, in Italia e in Russia. Le autorità sospettano che si tratti di un cybercriminale di professione, che ha guadagnato tutto il suo reddito hackerando individui e aziende. Oltre a utilizzare il ransomware GandCrab, l'hacker creava e vendeva malware su forum clandestini.

Che cosa è GandCrab?

Internet ha reso possibile la creazione di molti prodotti "as-a-Service" diversi, come ad esempio: Software as a Service (SaaS) , Infrastructure as a Service (IaaS) e Platform as a Service (PaaS) . Esempi comuni di "as-a-Service" includono Salesforce, Slack e Microsoft O365. Anche la comunità degli hacker ha abbracciato il modello "as-a-Service". Esistono forum underground nel Dark Web dove si scambiano e vendono strumenti di hacking, credenziali e consigli in materia. GandCrab si inserisce perfettamente in questo modello. Viene definito Ransomware-as-a-Service (RaaS), eliminando l'ostacolo dello sviluppo, dell'implementazione e della gestione dei propri strumenti di hacking. Gli operatori di GandCrab svolgono la maggior parte del lavoro per conto dell'utente. Gli operatori applicano delle "commissioni", in genere del 30%, analogamente a quanto fanno Apple e Google nei rispettivi marketplace SaaS.

Gli autori di GandCrab hanno chiuso la loro offerta RaaS nel 2019, vantandosi che i loro "affiliati" avessero incassato oltre 2 miliardi di dollari, e centinaia di milioni per gli operatori stessi. Gli autori di GandCrab hanno rilasciato questa dichiarazione sui motivi della loro chiusura: 

"In un anno di lavoro con noi, le persone hanno guadagnato più di 2 miliardi di dollari. [...] Ma [...] tutte le cose belle finiscono. Ce ne andiamo per una meritata pensione. Abbiamo dimostrato che commettendo azioni malvagie, la punizione non arriva."

Ransomware REvil e MAZE

Sophos ritiene che gli hacker di GandCrab non si siano ritirati, ma abbiano continuato a sviluppare nuovi ransomware ancora più devastanti. Tradizionalmente, i ransomware crittografavano i file, compromettendo la disponibilità dei dati; tuttavia, backup affidabili permettevano alle aziende di ignorare le richieste di estorsione ripristinando i propri file. Gli esperti credono che gli autori di GandCrab abbiano abbandonato il ransomware per dedicarsi alla creazione di un nuovo attacco incentrato sulla riservatezza dei dati. CyberHoot ha scritto di un ransomware ancora più pericoloso, chiamato MAZE, lo scorso aprile. MAZE esporta i dati critici delle aziende e minaccia di pubblicarli su Internet. Allo stesso modo, Sophos sostiene che gli autori di GandCrab abbiano sviluppato e rilasciato REvil Ransomware con lo stesso scopo. Nel giugno del 2020, GSMLAW ha subito un attacco con questo nuovo ransomware, REvil, che minacciava di mettere all'asta informazioni personali di celebrità e organizzazioni famose, tra cui Mariah Carey, LeBron James, Nicki Minaj, MTV e Universal.

I ransomware REvil e MAZE rappresentano un'escalation significativa delle minacce poste alle aziende dal ransomware. I backup non rappresentano più un mezzo di mitigazione contro questi attacchi. Le aziende hanno bisogno di un nuovo approccio per proteggersi. CyberHoot sostiene che le aziende abbiano bisogno di un approccio che riduca il rischio di infezione, fin dall'inizio. 

Cosa fare?

Il modo migliore per difendersi dalla maggior parte delle minacce alla sicurezza informatica è educare il personale e i clienti per migliorarne la consapevolezza. Il CEO di Lucy Security, Colin Bastable, ha commentato il recente attacco ransomware a Garmin ,

"Tutta la tecnologia di sicurezza del mondo non è in grado di proteggere da aggressori determinati. Il 97% delle perdite deriva da attacchi di ingegneria sociale e oltre il 90% è avviato tramite e-mail".

Considerando queste statistiche, dovrebbe essere ovvio il primo passo per proteggere la tua attività: formare i tuoi utenti. 

Gli attacchi ransomware stanno aumentando in frequenza, sofisticatezza e impatto, costringendo sempre più organizzazioni a pagare il riscatto. Finché le aziende continueranno a pagare, gli hacker continueranno a sviluppare attacchi sempre più devastanti. CyberHoot aiuta le organizzazioni a formare il proprio personale e a ridurre la probabilità di queste infezioni ransomware.

Oltre alla formazione sulla consapevolezza di CyberHoot, esegui queste azioni aggiuntive per proteggere la tua azienda e ridurre le possibilità di cadere vittima di questo vettore di attacco fin troppo comune:

• Adottare autenticazione a due fattori su tutti i servizi critici rivolti a Internet
• Seguire le Metodo di backup 3-2-1 per proteggere tutti i tuoi dati critici e sensibili
• Dipendenti sottoposti a test di phishing per tenerli sulle spine e controllare ogni email
• Avere un documento e un test Piano di continuità aziendale e ripristino in caso di emergenza (BCDR)
• Governare i dipendenti con politiche di sicurezza informatica

Fonti:

Ransomware GrandCrab – Sophos

Aste di informazioni REvil – Sophos

Letture aggiuntive:

Attacco ransomware Garmin

Importanti account Twitter hackerati

Ransomware MAZE: minaccia 3 volte maggiore alla sicurezza dei dati

Per saperne di più sul Ransomware, guarda questo breve video di 3 minuti:

https://www.youtube.com/watch?v=0WrdL1TDy6Y