Questa settimana, il team CTI di Tanium esamina un nuovo tipo di attacco che combina il phishing delle credenziali con la diffusione di malware. Successivamente, fornisce un aggiornamento su Hunters International, un’operazione di ransomware-as-a-service (RaaS) ormai defunta (si apre in una nuova scheda) che ha cambiato denominazione per concentrarsi esclusivamente sull’estorsione di dati. Infine, il team riassume i dati più recenti relativi al ransomware relativi al primo trimestre del 2025.
Un nuovo attacco combina il phishing delle credenziali e il malware
Cofense ha recentemente individuato (si apre in una nuova scheda) un attacco che combina il phishing delle credenziali e la diffusione di malware.
L'e-mail utilizzata in questo attacco ricorre alla cancellazione di file come esca. Il messaggio proviene dal sito di condivisione file “files[.]fm” e da un indirizzo e-mail valido. Se la vittima clicca sul link contenuto nell’e-mail, verrà reindirizzata a un sito URL legittimo di “files[.]fm”. Da qui, la vittima ha la possibilità di scaricare un file PDF.
Se la vittima decide di aprire il file, provocherà un attacco di phishing e malware. Il file sembrerà contenere contenuti innocui e chiederà alla vittima di visualizzarne l'anteprima o di scaricare un altro file. L'attacco verrà eseguito indipendentemente dal fatto che l'utente scelga di visualizzare l'anteprima o di scaricare l'elemento.
Come funziona il phishing finalizzato al furto di credenziali e al diffusione di malware?
- Se la vittima fa clic sull’opzione “anteprima”, verrà reindirizzata alla tradizionale pagina di accesso contraffatta di Microsoft 365 . Questa pagina ha lo scopo di sottrarre le credenziali.
- Se la vittima seleziona “scarica”, sul dispositivo verrà caricato un file eseguibile. Cofense ha rilevato che il nome del file scaricato è stato scelto per indurre la vittima a credere che si tratti di un programma di installazione di OneDrive. Tale attacco comporta l'installazione del RAT ConnectWise.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Questa campagna cerca di sfruttare elementi che molti dipendenti sono stati addestrati a individuare, poiché anche l’opzione di anteprima del file è dannosa.
Il rapporto di Cofense mette in evidenza una combinazione di tecniche e i pericoli legati ai servizi di condivisione di file online, ribadendo l’importanza di attenersi alle linee guida della propria organizzazione in materia di condivisione dei file.
Hunters International si orienta verso l’estorsione di dati
Il gruppo di ransomware-as-a-service ormai sciolto, noto come Hunters International, sta riorganizzando la propria attività per concentrarsi esclusivamente sull’estorsione di dati.
I ricercatori di Group-IB hanno rivelato (si apre in una nuova scheda) che il gruppo è rimasto attivo da quando ha annunciato la propria chiusura alla fine dello scorso anno, concentrandosi sulla sua nuova operazione dedicata esclusivamente all’estorsione denominata “World Leaks”.
Chi è Hunters International?
L’operazione RaaS denominata “Hunters International” è stata individuata per la prima volta nel ottobre 2023 e, storicamente, ha messo in atto attacchi di doppia estorsione.
Il gruppo presenta elementi in comune con il gruppo di ransomware Hive, il che ha indotto alcuni ricercatori a ritenere che Hunters International sia una nuova denominazione di Hive, sebbene l’operatore affermi di aver semplicemente acquistato il codice sorgente da Hive.
Hunters International opera in diversi paesi, ma è in Nord America che si registra la maggiore concentrazione di vittime. Tra i settori di riferimento principali figurano quello immobiliare, quello sanitario e quello dei servizi professionali.
L'importante ruolo del panel di affiliati
Group-IB rileva che l’amministratore è fortemente orientato al business, come si evince dal pannello di controllo degli affiliati dell’operazione. Gli affiliati di Hunters International possono personalizzare il ransomware tramite un'interfaccia web e modificarne alcune parti utilizzando parametri da riga di comando.
Il pannello di affiliazione presenta inoltre sezioni presenti anche in altre piattaforme, quali le notizie, i pagamenti, le aziende e le informative. Quando un affiliato accede al pannello di controllo, può registrare l’obiettivo di sua scelta e impostare l’importo del riscatto.
La sezione dedicata alle notizie del panel ha fornito a Group-IB numerose informazioni dettagliate sull’operazione. Questa sezione includeva informazioni dettagliate sui servizi offerti, aggiornamenti relativi al funzionamento, correzioni di bug e così via.
Dopo aver registrato la vittima, l’autore dell’attacco può scaricare il ransomware vero e proprio, con cui le versioni condivise da Group-IB sono compatibili. L'ultima variante del ransomware non inserisce note di riscatto né aggiunge estensioni ai file.
L’affiliato ha inoltre accesso a “Storage Software”, uno strumento sviluppato da Hunters International per diversi sistemi operativi e architetture. È stato creato per automatizzare l’esfiltrazione dei dati e consentire all’autore dell’attacco di condividere informazioni e divulgare dati senza doverli caricare da nessuna parte, conservandoli sul server di Hunter International.
La cessazione dell’attività e il rebranding di Hunter International
Su novembre 2024, il gruppo ha pubblicato una nota nella sezione "Notizie" del pannello in cui annunciava l'intenzione di chiudere il progetto, poiché era diventato rischioso e non redditizio. Group-IB ha riscontrato che il gruppo è ancora attivo nonostante questa nota, avendo scoperto che all’inizio del 2025 ha lanciato un nuovo progetto denominato World Leaks.
World Leaks non mette in atto attacchi di doppia estorsione, ma si concentra esclusivamente su attacchi di sola estorsione. Secondo Group-IB, l’operazione sostiene di fornire agli affiliati uno strumento di esfiltrazione del tutto impercettibile e simile allo strumento “Storage Software”.
Poco dopo l’annuncio di World Leaks, gli operatori ne hanno sospeso il lancio in seguito all’individuazione di alcuni problemi a livello di infrastruttura. Sulla base delle informazioni fornite dal panel di affiliati, Group-IB ritiene che World Leaks tornerà ad essere attivo, sebbene sul sito dedicato alla fuga di dati non siano ancora presenti rivelazioni.
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Hunters International non è il primo gruppo ad aver abbandonato la crittografia per concentrarsi esclusivamente sull’estorsione di dati. Tuttavia, l'elenco è breve. Non sembra che ciò sia sufficiente per considerare un allontanamento generale dalla crittografia, soprattutto in quanto la crittografia esercita un’ulteriore pressione sulle vittime e può aumentare la probabilità che si giunga al pagamento del riscatto.
Sarà interessante vedere quanti gruppi seguiranno l’esempio, passando dal ransomware alla pura estorsione, e quanti continueranno a investire e a sviluppare i propri metodi di crittografia.
Group-IB ha inoltre pubblicato su alcuni dettagli tecnici (si apre in una nuova scheda) relativi al ransomware Hunters International, in merito alle modalità con cui esso prende di mira diversi sistemi operativi.
Il ransomware rimane una delle principali minacce
L'ultimo rapporto Rapid7’s (si apre in una nuova scheda) analizza i dati relativi al ransomware relativi al primo trimestre del 2025, sottolineando la necessità per le aziende di continuare a proteggersi in modo proattivo contro il ransomware.
Il rapporto illustra diverse tendenze degne di nota, tra cui il reinvestimento dei riscatti, le offerte riproposte, la riorganizzazione dei gruppi e altro ancora.
Principali risultati del rapporto sul ransomware Key Rapid7
Secondo i dati relativi al Rapid7, nel primo trimestre del 2025 erano attivi 80 gruppi di ransomware, 16 dei quali erano di nuova formazione all’inizio dell’anno.
Il gruppo di testa, con un netto distacco, era il Cl0p. Tra i settori maggiormente presi di mira nel trimestre figurano l'industria manifatturiera, i servizi alle imprese e il settore sanitario, mentre i paesi più colpiti sono stati gli Stati Uniti, il Canada e il Regno Unito.
Reinvestimento dei pagamenti del riscatto
Rapid7 ha raccolto informazioni approfondite sull’ e dal caso “Black Basta” (si apre in una nuova scheda) , relative a conversazioni trapelate lo scorso febbraio, giungendo alla conclusione che i gruppi di ransomware stanno reinvestendo i pagamenti dei riscatti per acquistare vulnerabilità zero-day.
Esaminando i log delle chat, i ricercatori hanno scoperto che al gruppo era stata offerta una vulnerabilità zero-day relativa a Ivanti Connect Secure nel 2023 al prezzo di 200.000 dollari. Sebbene non vi sia alcuna conferma che il gruppo abbia effettivamente effettuato l’acquisto e che questo non corrisponda ai CVE relativi a Ivanti Connect Secure pubblicati poco dopo, ciò evidenzia il fatto che gli autori potrebbero acquistare exploit zero-day (si apre in una nuova scheda) con il denaro ricavato dai riscatti.
Ciò è stato ulteriormente dimostrato quando Rapid7 ha scoperto prove del fatto che Black Basta avesse acquistato un exploit per il firewall Juniper.
Riorganizzazione del ransomware
Anche i gruppi che utilizzano il ransomware stanno riutilizzando varianti precedenti. Un esempio degno di nota emerso finora nel corso 2025 è il presunto ritorno di Babuk (si apre in una nuova scheda) , denominato “”, che si è poi rivelato essere semplicemente del codice tratto da RansomHub, FunkSec e LockBit.
Riorganizzazione dei gruppi di ransomware
Come si osserva ogni trimestre, i gruppi di ransomware continuano a riorganizzarsi: alcuni gruppi cessano gradualmente la loro attività, ne nascono di nuovi e gli affiliati passano da un gruppo all’altro.
In questo contesto, molti gruppi di ransomware intraprendono inoltre un processo di rebranding.
Gruppi di ransomware da tenere d’occhio nel 2025
Rapid7 raccomanda di tenere d'occhio i seguenti gruppi sulla base dei propri dati relativi al primo trimestre del 2025:
- RansomHub
- Cl0p
- Anubi
- Lince
- Qilin
Commenti degli analisti del team Cyber Threat Intelligence di Tanium
Il documento Rapid7 riassume efficacemente l’attuale panorama delle minacce legate al ransomware, affermando: «Tutto procede come al solito, e gli affari vanno a gonfie vele». Il fenomeno del ransomware mantiene un ritmo costante, mentre nuovi attori continuano a fare il loro ingresso nel panorama. Tutti gli indizi indicano che la minaccia è destinata a persistere.
È interessante notare che Rapid7 sottolinea come molti gruppi stiano adottando la mentalità del “se non è rotto, non aggiustarlo”, anziché adeguarsi continuamente e introdurre nuove minacce. Il rapporto, inoltre, , evidenzia le azioni chiave (si apre in una nuova scheda) che le organizzazioni possono intraprendere per garantire la propria sicurezza.
Ha qualche informazione in merito a queste storie che desidera condividere? Visiti il sito , il forum di discussione di Tanium (si apre in una nuova scheda),e per avviare una conversazione.
Per approfondire l’argomento, vi invitiamo a consultare le nostre recenti sintesi informative sulle minacce informatiche pubblicate su : (si apre in una nuova scheda),e .
