Questa settimana, CTI esamina i principali attori e le tattiche emergenti degli autori di attacchi ransomware (si apre in una nuova scheda) a partire dal numero 2024. Successivamente, CTI esamina un nuovo rapporto che fornisce approfondimenti sulle password rubate. Infine, CTI esamina le segnalazioni relative a due recenti episodi in cui alcuni autori di attacchi hanno sfruttato alcune funzionalità di Office 365 per accedere alle organizzazioni delle vittime con l’intento di distribuire ransomware.
Trustwave mette in evidenza i principali attori e le tattiche utilizzate nel campo del ransomware
Trustwave’s latest report (opens in a new tab) looks at some of the key players and emerging tactics of ransomware actors from 2024.
Secondo Trustwave, lo scorso anno i motivi finanziari hanno continuato a occupare un posto di primo piano nel panorama generale del ransomware. Trustwave illustra inoltre le tattiche, le tecniche e le procedure (TTP) comuni ai gruppi di ransomware nel documento 2024 e fornisce approfondimenti sull’ecosistema del ransomware nel documento 2025 .
I 5 principali programmi di ransomware affiliati su 2024
Trustwave identified what they refer to as the “big five” affiliate programs of 2024 by looking at data leak site activities:
- RansomHub (si apre in una nuova scheda) si è affermato come uno dei principali affiliati di ransomware nel 2024. Ciò è dovuto principalmente al modello del gruppo, particolarmente vantaggioso per gli affiliati, che prevede una ripartizione dei pagamenti 90-10 a favore degli affiliati. Il gruppo non ha subito interruzioni degne di nota e si è distinto per il proprio malware personalizzato, denominato “ EDR killer”. RansomHub è destinato a rimanere una delle principali minacce anche quest’anno.
- El Dorado (si apre in una nuova scheda) ha fatto la sua prima apparizione su marzo 2024 e, nel corso dello stesso anno, ha cambiato nome in BlackLock. Il gruppo ha guadagnato rapidamente terreno grazie alle sue funzionalità multipiattaforma e continua a rappresentare una minaccia fino al 2025.
- Lynx è emerso nel luglio 2024 ed è stato un altro gruppo di ransomware di successo. I dettagli specifici e le tecniche, tattiche e procedure (TTP) che hanno portato alla diffusione del ransomware non sono ancora chiari, ma è noto che gli autori cancellino sistematicamente le copie shadow dei backup.
- FOG è apparso per la prima volta a maggio, ma ha reso noto il proprio sito dedicato alla divulgazione dei dati solo a metà giugno. Gli affiliati di FOG hanno utilizzato script personalizzati, tecniche di “credential stuffing” e altri metodi di persistenza.
- BASHE è apparso per la prima volta con il nome di APT73 , prima di cambiare denominazione nel mese di ottobre. Il gruppo ha rapidamente guadagnato popolarità grazie al proprio modello di “sito-come-servizio” dedicato alla divulgazione di dati riservati, che lo ha distinto dai modelli tradizionali di “ransomware-as-a-service” (RaaS) di (si apre in una nuova scheda).
TTP sovrapposti
Trustwave ha analizzato le tecniche osservate presso 2024 autori di attacchi ransomware per comprendere meglio le loro operazioni. Hanno creato una mappa termica che evidenzia alcune delle tecniche più ricorrenti.
Il grafico, disponibile all’indirizzo nel loro rapporto “ ” (si apre in una nuova scheda), evidenzia alcune delle principali tecniche ricorrenti, quali lo sfruttamento di applicazioni accessibili al pubblico, le attività pianificate, lo spear phishing, il malware e altre ancora.
[Legga anche: Che cos’è il phishing? Tipologie, rischi e prevenzione] (si apre in una nuova scheda)
Prospettive relative al ransomware 2025
Il ransomware continuerà a rivestire un ruolo di primo piano nel 2025, vista l’efficacia che ha dimostrato nel 2024.
L'ecosistema del ransomware è «sempre più caratterizzato dal decentramento delle operazioni, una tendenza alimentata dalle difficoltà incontrate dai gruppi più grandi». Secondo Trustwave, ciò ha contribuito a plasmare l’attuale panorama, in cui gruppi di dimensioni più ridotte possono emergere e affermarsi con notevole rapidità.
Il modello di RansomHub, favorevole agli affiliati, gli consentirà di mantenere una posizione di rilievo nel 2025, a condizione che non si verifichino interruzioni significative.
Trustwave prevede il persistere del ransomware sviluppato in Go, insieme alla presenza di gruppi decentralizzati, a tattiche di estorsione combinate e alla comparsa di nuovi programmi di affiliazione.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Le operazioni di ransomware stanno riuscendo ad adattarsi più facilmente alle misure adottate dalle forze dell’ordine, il che le rende più resistenti – e pericolose.
È probabile che nel 2025 continuino a emergere nuovi gruppi di ransomware e che quelli esistenti si frammentino in diversi marchi di ransomware. Tuttavia, come ci ricorda Trustwave, questi gruppi possono scomparire con la stessa rapidità con cui emergono, rendendo «incerto quali di essi si trasformeranno in minacce a lungo termine».
Specops pubblica un rapporto sulle password compromesse
Specops recently released (opens in a new tab) its breached password report, sharing insights from stolen passwords throughout 2024.
Secondo il rapporto, nel corso di un periodo di 12 mesi sono state sottratte da malware oltre 1 miliardo di credenziali, di cui 230 milioni soddisfacevano i requisiti standard di complessità.
Specops illustra in dettaglio alcune delle tendenze osservate, tra cui le password più rubate, i termini di base più comuni, le lunghezze più frequenti delle password e i malware più utilizzati per il furto di credenziali.
Tendenze e schemi relativi alle password deboli
Specops ha integrato dati statistici provenienti da altre fonti per mettere in risalto alcune delle conclusioni. Ad esempio, un sondaggio condotto da LastPass ha rilevato in precedenza che il 91% degli utenti è consapevole dei rischi legati al riutilizzo delle password su più account, eppure il 59% continua a farlo nonostante ciò. Ciò rende alcuni dei loro risultati ancora più allarmanti.
Specops ha analizzato le 1.089.342.532 password rubate che ha intercettato. La prima cosa che hanno analizzato sono state le password deboli e i termini di base più comuni. Hanno scoperto che le prime cinque password più rubate erano:
- 123456
- Admin
- 12345678
- password
- Password
La password “ “123456” ” ha restituito 3,7 milioni di corrispondenze esatte. I termini di base più comuni erano “admin”, “guest”, “qwerty”, “welcome” e “password”.
Secondo Specops, la lunghezza più comune è di otto caratteri, che rappresenta 189 milioni delle password rubate analizzate. Hanno inoltre esaminato le password che soddisfacevano i requisiti di complessità, il che significa che dovevano includere almeno otto caratteri, una lettera maiuscola, un numero e un carattere speciale. In totale, 230 milioni delle password rubate soddisfacevano tali requisiti.
In che modo gli hacker utilizzano il malware per rubare le password
È evidente che le credenziali rubate siano molto richieste, se si considera quante ne siano state sottratte solo nel 2024 . Questa forte domanda è direttamente correlata all’aumento dei malware di tipo “infostealer”, progettati per raccogliere dati, comprese le credenziali.
Specops ha riscontrato che il malware di furto di dati RedLine di (si apre in una nuova scheda) è piuttosto diffuso, rappresentando quasi la metà delle password rubate da loro analizzate. Anche i programmi di furto di dati “ ”, “Raccoon Stealer”, “ ” (si apre in una nuova scheda), “”, “ ” e “Vidar Stealer” hanno rappresentato, rispettivamente, il 11,7% e il 17% delle password rubate.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
La tesi generale del rapporto di Specops non è affatto una novità: gli autori delle minacce prendono di mira costantemente sia le password deboli che quelle complesse.
Il rapporto offre una panoramica dettagliata del fenomeno del furto delle credenziali, fornendo al contempo le tendenze e le raccomandazioni che possono aiutare i professionisti della sicurezza a comprendere come garantire la propria protezione.
È importante tenere presente che il semplice rispetto dei requisiti di complessità delle password non è sufficiente, poiché quasi un quarto delle password rubate soddisfaceva tali requisiti.
I malintenzionati ricorrono all’email bombing e al vishing su Teams
Sophos ha segnalato due incidenti (si apre in una nuova scheda) in cui gli autori delle minacce hanno sfruttato Office 365 per accedere alle organizzazioni delle vittime con l’intento di distribuire un ransomware.
Gli incidenti erano riconducibili a due diversi soggetti malintenzionati, ciascuno dei quali gestiva e manteneva i propri tenant del servizio Office 365 di Microsoft per portare avanti i propri attacchi.
Tra le tattiche utilizzate in questi episodi figurano il bombardamento di e-mail, l’invio di messaggi su Teams, l’effettuazione di chiamate vocali e videochiamate su Teams e l’utilizzo di strumenti di controllo remoto di tipo “ Microsoft ”.
[Legga anche: Per proteggersi dal vishing, agisca con accortezza] (si apre in una nuova scheda)
STAC5143 e STAC5777
Sophos sta monitorando i due autori delle minacce con i codici STAC5143 e STAC5777.
- STAC5143: Alcuni dei malware utilizzati da questo cluster di minacce sono simili a quelli impiegati da un gruppo identificato con il numero FIN7. Tuttavia, alcuni elementi della catena di attacco consentono di distinguere i vari gruppi. Sophos ha rilevato attività da parte di questo gruppo nel mese di novembre, quando un’organizzazione ha segnalato di aver ricevuto un ingente volume di messaggi di spam, con oltre 3.000 messaggi in un arco di tempo di 45 minuti. Poco dopo aver ricevuto i messaggi, le persone in questione hanno ricevuto una videochiamata su Teams da un account denominato “Help Desk Manager”. Una volta in linea, alla vittima è stato chiesto di autorizzare una sessione di controllo remoto dello schermo tramite Teams, consentendo all’autore dell’attacco di inserire file ed eseguire malware scritto in Python. È stato osservato che “
STAC5143 ” sfruttava la funzionalità di controllo remoto integrata in Teams, un archivio Java per automatizzare l’esploit e backdoor basate su Python scaricate da un link SharePoint remoto. - STAC5777: Analogamente al precedente gruppo di minacce, il STAC5777 ha preso di mira alcune organizzazioni con un attacco di spam via e-mail e un messaggio su Microsoft Teams contenente il link Microsoft . Il messaggio inviato tramite Teams da questo gruppo richiederà una chiamata con la vittima per aiutare a risolvere il problema.
È stato osservato che il gruppo STAC5777 utilizzava Microsoft Quick Assist, apportava modifiche dirette alla configurazione della tastiera, distribuiva malware, utilizzava un programma di aggiornamento legittimo Microsoft e impiegava altre tecniche e strumenti precedentemente associati a un gruppo noto come Storm-1811. (si apre in una nuova scheda)
In ciascun caso, l’autore dell’attacco ha indotto la vittima a installare “ Microsoft ” e “Quick Assist” dal sito web legittimo Microsoft durante la chiamata su Teams. Ciò è stato quindi utilizzato per stabilire una sessione remota, consentendo all’autore dell’attacco di assumere il controllo del dispositivo della vittima. Una volta ottenuto il controllo, l’autore dell’attacco ha scaricato un payload dannoso, ha garantito la persistenza e si è connesso al server C2 .
Utilizzando le credenziali ottenute, l’autore dell’attacco ha cercato host su per facilitare il movimento laterale (si apre in una nuova scheda). In un caso, l’autore ha persino tentato di eseguire il ransomware Black Basta di (si apre in una nuova scheda) , ma alla fine è stato bloccato.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il presente rapporto evidenzia la crescente popolarità di Microsoft Teams come strumento di ingegneria sociale (si apre in una nuova scheda) per gli autori delle minacce.
Negli ultimi mesi si sono verificati numerosi episodi in cui alcuni malintenzionati si sono spacciati per tecnici dell’assistenza informatica per ottenere l’accesso iniziale. Come sottolinea Sophos, gli utenti finali devono prestare attenzione alle modalità con cui interagiscono abitualmente con i team di assistenza IT ed essere vigili nei confronti di eventuali anomalie.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su : (si apre in una nuova scheda),e .
