A quanto pare, per riuscire a violare i sistemi informatici di diversi importanti casinò di Las Vegas lo scorso settembre, agli hacker è bastata una telefonata di 10 minuti particolarmente persuasiva. Ma questo è solo uno dei modi in cui hanno sfruttato i punti deboli umani nelle catene di sicurezza informatica delle aziende per sferrare devastanti attacchi ransomware.
I truffatori sono inizialmente riusciti a infiltrarsi nelle reti di MGM Resorts, Caesars Entertainment e di altri casinò ricorrendo a uno dei trucchi più classici del mestiere: convincere il personale dell’help desk informatico di essere dipendenti che avevano smarrito le proprie credenziali di accesso e ne necessitavano di nuove.
La vicenda ha occupato le prime pagine dei giornali per settimane poiché coinvolgeva obiettivi di enorme portata sulla Strip di Las Vegas, oltre a ingenti somme di denaro. Ad esempio, Il Wall Street Journal ha riportato che Caesars ha pagato un riscatto stimato in 15 milioni di dollari per riprendere il controllo dei propri sistemi. La MGM, nel frattempo, ha rifiutato un risarcimento e ha invece assorbito oltre 100 milioni di dollari di perdite operative nel periodo in cui alcune slot machine, i terminali per le scommesse sportive, le chiavi digitali delle camere d’albergo, le prenotazioni online e i sistemi di pagamento con carta di credito erano inattivi.
È roba sexy, questo è certo. Tuttavia, quasi nascosta tra le notizie relative all’attacco, emerge una rivelazione ancora più inquietante: un importante gruppo di ransomware-as-a-service (RaaS) avrebbe probabilmente fornito ai propri proxy tutti gli strumenti necessari per sferrare questi attacchi.
Infatti, secondo quanto riferito, una banda RaaS denominata ALPHV, nota anche come BlackCat, avrebbe aiutato un’organizzazione di hacker denominata Scattered Spider, o UNC3944, nei suoi tentativi di estorcere denaro ai casinò in cambio di una quota del bottino. È così che funziona in genere il RaaS (pronunciato “rass”): i criminali utilizzano un modello di “ ” (XaaS) e offrono strumenti e servizi di hacking di facile utilizzo sul dark web a fronte di un canone mensile fisso o di una percentuale sui profitti.
Secondo David Bradbury, CISO di Okta, un’azienda specializzata nella gestione delle identità e degli accessi, tali modalità operative sono tipiche di questi criminali informatici. «Considerateli piuttosto come soci in affari o affiliati», ha dichiarato Bradbury a Reuters.
In uso almeno dal 2016, questo modello di business relativo al ransomware è stato adottato da bande di cybercriminali che conducono la propria attività con un livello di precisione e servizi su misura (alcuni pacchetti RaaS includono assistenza clienti, recensioni, aggiornamenti delle funzionalità e sconti) tali da rendere orgoglioso persino un professore della Wharton. Il risultato: il RaaS è diventato straordinariamente redditizio.
Aggravare il problema: che cos’è il ransomware-as-a-service e perché è così efficace?
È emerso che questo tipo di accordi illeciti non solo ha registrato un’impennata, ma ha anche svolto un ruolo fondamentale nell’aumento di quasi il 40% degli attacchi ransomware a livello globale registrato nell’ultimo anno, secondo un rapporto intitolato “ ” ( ) redatto da Zscaler, una piattaforma zero-trust .
«Gli aspiranti criminali informatici utilizzano il RaaS per sferrare attacchi che altrimenti non sarebbero in grado di lanciare autonomamente.»Deepen Desai, CISO globale e responsabile della ricerca sulla sicurezza presso Zscaler
«Gli aspiranti criminali informatici utilizzano il RaaS per sferrare attacchi che altrimenti non sarebbero in grado di lanciare autonomamente», ha affermato Deepen Desai, CISO globale e responsabile della ricerca sulla sicurezza presso Zscaler. «La stragrande maggioranza dei gruppi di ransomware ricorre al modello RaaS, che si è dimostrato efficace, determinando un aumento del numero di attacchi ogni anno.»
BlackCat è considerata una delle bande RaaS più grandi e malvagie, sebbene si ritenga che i suoi membri siano per lo più adolescenti della Generazione Z di età compresa tra i anni e i primi 20s. Tuttavia, anche altri giocatori di grande fama hanno causato danni alle organizzazioni negli ultimi anni, tra cui:
- BlackBasta, che si ritiene sia stato all’origine di un costoso attacco ransomware ai danni di BankCard USA lo scorso giugno
- Clop, la banda di autori di ransomware che recentemente ha sfruttato le vulnerabilità del software di trasferimento file MOVEit di per sferrare attacchi che hanno colpito oltre 40 milioni di persone e almeno 600 organizzazioni pubbliche e private
- Karakurt, una costola della famigerata banda Conti che nell’ultimo anno ha preso di mira le organizzazioni sanitarie , minacciando di rendere pubblici i dati riservati dei pazienti
- LockBit, che secondo il governo degli Stati Uniti avrebbe estorto circa 91 milioni di dollari ad aziende statunitensi dal 2020. Attualmente sta chiedendo un riscatto a CDW, uno dei maggiori rivenditori al mondo.
Le bande RaaS sono in attività da così tanto tempo che molti dei nomi più noti sono già stati eliminati. A gennaio, ad esempio, il gruppo Hive RaaS, che avrebbe sottratto oltre 100 milioni di dollari a 1.500 vittime in 80 paesi tra il 2021 e il 2023, è stato infiltrato e smantellato dagli agenti dell’FBI. E lo scorso anno, alcuni membri di REvil, la prolifica banda che, secondo quanto affermato dai funzionari statunitensi, avrebbe perpetrato l’attacco alla Colonial Pipeline che ha provocato una corsa all’acquisto di benzina sulla costa orientale, sono stati arrestati in Russia.
[Leggi anche: Riepilogo CTI – L’FBI e la CISA pubblicano un avviso congiunto su Snatch RaaS]
Tuttavia, nonostante tali interventi di smantellamento, le attività criminali legate al RaaS continuano ad espandersi e minacciano di compromettere i sistemi informatici delle organizzazioni nei settori dell’ istruzione, edilizia, pubblica amministrazione, sanità, media, vendita al dettaglio, energia, trasporti e servizi finanziari, tra gli altri. Pertanto, gli esperti del settore sostengono che sia importante mantenere alta la vigilanza, adottare misure precauzionali e adattarsi, poiché la situazione non è destinata a risolversi in tempi brevi.
«Credo che, per quanto mi riguarda, si tratti di un altro dei “grandi successi” messi a segno da malintenzionati», ha affermato Kathryn Goldman, CEO di Cybermaniacs, una società di consulenza specializzata nella formazione sulla sicurezza informatica. «Che duri nel tempo o che subisca delle trasformazioni, non lo so. «Ma la situazione sembra effettivamente peggiorare, e dobbiamo reagire di conseguenza.»
Prepararsi all’inevitabile: per contrastare il ransomware-as-a-service, formate (e aggiornate) i vostri dipendenti
Goldman suggerisce di iniziare con cambiamenti culturali volti a sensibilizzare i dipendenti sul problema, al fine di evitare di subire la stessa sorte degli hotel-casinò di Las Vegas. Proprio ieri, Microsoft ha pubblicato un rapporto di intelligence sulle minacce intitolato “ ” ( ) riguardante un gruppo di criminali informatici di madrelingua inglese che prende di mira il personale dell’help desk e gli amministratori tecnici, imitando i nuovi assunti con notevole accuratezza in termini di dialetto e tic vocali, convincendo gli addetti alla sicurezza a reimpostare le password e i metodi di autenticazione a più fattori (MFA) .
I dipendenti non devono memorizzare né tantomeno conoscere tutte le bande RaaS del pianeta, soprattutto perché i protagonisti cambiano continuamente. Secondo Goldman, una strategia più efficace consiste nell’istruirli su come, al giorno d’oggi, gli hacker sfruttino la loro psicologia o le loro emozioni per indurli con l’inganno a compiere determinate azioni, come cliccare su un link o fornire informazioni al telefono. Tecniche di ingegneria sociale come queste consentono agli autori di attacchi RaaS di penetrare in una rete, appropriarsi delle sue risorse o bloccarne l’accesso in cambio di un riscatto.
«Ciò che state cercando di fare è valorizzare tutti i vostri collaboratori affinché diventino agenti di difesa reattivi per la vostra organizzazione.»Kathryn Goldman, CEO, Cybermaniacs
«Ciò che state cercando di fare è far crescere tutti i vostri collaboratori affinché diventino agenti di difesa reattivi per la vostra organizzazione», afferma Goldman. «Per quanto riguarda il RaaS, è meno importante concentrarsi sugli aspetti tecnici del rischio quanto piuttosto cambiare la propria mentalità in merito alla necessità di essere pronti a reagire, poiché gli attacchi ransomware si verificano con estrema rapidità.»
Ciò significa dedicare del tempo a formare i dipendenti su come individuare e segnalare le e-mail di phishing o le chiamate di vishing, nonché sviluppare e condurre valutazioni periodiche delle competenze in materia di sicurezza.
La parola chiave in questo contesto è “regolare”: la formazione e le verifiche non sono attività da svolgere una tantum, bensì operazioni a livello aziendale (ovvero, dall’ufficio postale alla sala del consiglio) che vengono ripetute con cadenza annuale o semestrale.
Proteggersi nel mondo digitale: consigli per ridurre il rischio legato al ransomware-as-a-service
Oltre al cambiamento culturale e alla formazione, Desai afferma che le organizzazioni che intendono prevenire gli attacchi informatici basati sul modello RaaS dovrebbero gestire con attenzione i controlli di accesso basati sui ruoli (RBAC), ovvero quelle misure di protezione digitali che determinano a cosa gli utenti possono o non possono accedere all’interno di una rete in base alle loro mansioni lavorative. Allo stesso tempo, egli afferma che le imprese dovrebbero verificare costantemente la sicurezza del livello di trasporto (TLS), che crittografa i dati che inviamo per proteggerli da occhi indiscreti.
Aggiunge inoltre che è importante dare priorità anche all’implementazione della segmentazione “user-to-application” , che prevede la regolamentazione dell’accesso tra i singoli utenti e specifiche applicazioni al fine di migliorare la sicurezza e limitare le superfici di attacco.
“Ciò rappresenta un modo efficace per impedire che una minaccia laterale di tipo ‘ ’ raggiunga le vostre applicazioni più preziose e per circoscrivere il raggio d’azione dell’attacco.”
Desai afferma che un altro consiglio è quello di assicurarsi che i propri team di sicurezza informatica siano in grado di ispezionare tutto il traffico crittografato. Secondo lui, oltre il 85% degli attacchi utilizza canali crittografati, che spesso non vengono sottoposti a ispezione. Ciò consente anche agli autori di attacchi di livello moderatamente avanzato di aggirare facilmente i controlli di sicurezza e sottrarre dati.
Inoltre, è fondamentale mantenere e Enforce una politica di sicurezza coerente che accompagni gli utenti ovunque si trovino, afferma Desai. Ciò comprende elementi quali l’ispezione delle minacce in linea (analisi in tempo reale del traffico di rete alla ricerca di contenuti dannosi o rischi per la sicurezza mentre questo transita attraverso un dispositivo di sicurezza o un gateway), il sandboxing (che consiste nell’isolare i programmi non affidabili o potenzialmente pericolosi all’interno di “bolle” digitali) e un’autenticazione a più fattori (MFA) basata sullo standard FIDO , oltre a regolari aggiornamenti di sicurezza.
Con la diffusione del lavoro da remoto, tali misure di sicurezza sono fondamentali per supportare una forza lavoro distribuita, che spesso accede a file e applicazioni critici nel cloud.
Infine, afferma Goldman, è utile anche disporre di un sistema di audit che consenta di individuare le aree di un’organizzazione più vulnerabili a un attacco informatico e di valutare in che modo eventuali violazioni a livello di reparto potrebbero influire sull’organizzazione nel suo complesso.
«Un modo in cui i CISO possono comprendere appieno i vari scenari consiste nel valutarne il potenziale impatto, in modo da conoscere in anticipo l’entità del rischio e poterlo mettere nella giusta prospettiva», afferma. «Per rispondere agli attacchi è necessario adottare un approccio mirato e personalizzato, e ciò è possibile solo grazie ai dati.»
