Group-IB, società globale di sicurezza informatica specializzata nell’indagine e nella prevenzione dei crimini informatici, ha pubblicato il suo rapporto annuale sulle principali minacce informatiche a livello globale e le sue previsioni per i diversi comparti economici su scala mondiale.
Il ransomware – sottolinea Group-IB – è la principale minaccia cyber contro aziende e organizzazioni in tutto il mondo.
Nell’arco di un anno, dal secondo semestre 2021 al primo semestre 2022, 852 aziende europee sono state vittima della divulgazione di dati confidenziali su piattaforme dedicate (DLS, dedicated leak sites) a posteriore di attacchi condotti con successo da gang del ransomware.
Con i dati di 124 aziende italiane pubblicati su DLS (ben il 36% in più rispetto alle 89 registrate nel periodo precedente), l’Italia è stato il terzo Paese più colpito in Europa e il quinto a livello globale.
Le 124 organizzazioni italiane, le cui informazioni riservate sono state divulgate sulle piattaforme DLS, fanno capo primariamente ai settori manifatturiero (26), alimenti e bevande (9), trasporti (9), seguiti a ruota dai comparti beni di consumo (8), enti governativi e militari (7), sanità (5), immobiliare (4), scienze e ingegneria (4) e IT (3).
Nel periodo osservato – prosegue l’analisi di Group-IB – i gruppi ransomware responsabili del maggior numero di attacchi contro l’Italia e successive divulgazioni sono stati Lockbit (responsabile della diffusione dei dati di 60 aziende), Conti (20), BlackCat (6), BlackByte (5) e Grief (5).
Ransomware, DLS e tecnica della doppia estorsione
Un DLS, spiega Group-IB, è una piattaforma online creata da specifici gruppi ransomware su cui vengono caricati dati e file confidenziali carpiti dalla rete delle vittime, qualora queste decidano o non siano in grado di pagare il riscatto richiesto.
I cybercriminali impiegano i DLS quale strumento per la cosiddetta tecnica della doppia estorsione, dove l’attore della minaccia non solo cifra l’intera rete ma si appropria previamente dei dati sensibili e minaccia di pubblicarli online. L’uso dei DLS è uno dei principali fattori dell’ascesa dei gruppi ransomware. Queste piattaforme sono di norma ospitate nel dark web. Alcuni gruppi di hacker invece le ospitano nell’Internet pubblico nella speranza di convincere la vittima – consapevole che i suoi documenti riservati sarebbero così di pubblico dominio – a pagare il riscatto.
L’analisi del programma di affiliazione ransomware promosso dal gruppo ransomware Hive condotta da Group-IB ha evidenziato, ad esempio, che la parte della piattaforma DLS di Hive esposta al pubblico conteneva le informazioni di solo circa il 10% delle vittime.
Il reale numero di vittime del ransomware è chiaramente molto più elevato del numero di aziende i cui dati sono stati pubblicati online. Come evidenziato nel rapporto di Group-IB, peraltro, molti attacchi passano sotto i radar perché la maggior parte delle aziende opta per il pagamento del riscatto.
Initial Access Brokers (IABs), il punto di vista di Group-IB
I broker di accessi a reti compromesse (IABs) sono una delle colonne portanti della crescita fenomenale del ransomware a livello globale, mette in evidenza Group-IB. Negli ultimi anni, gli operatori ransomware hanno acquistato accessi a reti compromesse sempre più di frequente sul dark web. Questo approccio consente loro di saltare le prime fasi di un attacco e di identificare più rapidamente nuove vittime idonee.
Tra il secondo semestre 2021 e il primo semestre 2022 il dipartimento di Threat Intelligence di Group-IB ha analizzato alcune pubblicità su forum sommersi rilevando un cospicuo aumento delle vendite di accessi a reti aziendali compromesse. Sono state registrate un totale di 2.348 istanze, ovvero due volte il numero di quelle rilevate nel periodo precedente (1.099 offerte di accesso).
In linea con il trend globale, il prezzo totale degli accessi a reti di aziende europee proposti su forum underground è aumentato “solo” del 92% a $1.130.498, a dispetto di incremento ben superiore del numero di accessi commercializzati. In Europa infatti tale numero è più che raddoppiato, passando da 260 nel periodo precedente a 620 tra il secondo semestre 2021 e il primo del 2022, cosa che spiega anche il crescente numero di incidenti ransomware nella regione.
Con offerte di accesso iniziale alle reti di 63 aziende locali rilevate su forum del dark web tra il secondo semestre 2021 e il primo del 2022 (+ 85% rispetto ai 34 del periodo precedente) l’Italia è al quinto posto in Europa.
Tra le vittime italiane degli operatori IAB figurano organizzazioni del comparto manifatturiero, e-commerce, trasporti, istruzione, energia, immobiliare, software, governo, IT e risorse naturali.
Gli attori della minaccia impiegano spesso le credenziali di account VPN e RDP per penetrare nella rete dell’azienda a cui mirano. I ricercatori di Group-IB ritengono che VPN, RDP, e Citrix continueranno ad essere le primarie tipologie di accesso commercializzate.
RDP, o Remote Desktop Protocol, è un protocollo impiegato per l’accesso remoto ad un computer, spiega Group-IB. La maggior parte dei cybercriminali acquistano un accesso RDP per nascondere le tracce della loro attività ai sistemi di sicurezza. Contemporaneamente, RDP può essere anche il primo passo di un vero e proprio attacco mirato ad una azienda qualora il computer a cui si accede sia connesso a una o più reti aziendali.
Ladri di informazioni: gli infostealer
Uno dei più singolari sviluppi del panorama globale delle minacce – prosegue l’analisi di Group-IB – è la crescente popolarità degli information stealer, ovvero malware che sottraggono dettagli personali dai metadati del browser degli utenti. Questi stealer possono carpire credenziali, dettagli sulle carte bancarie, cookies, impronte nel browser e molto altro. Un recente attacco contro Uber è stato condotto con credenziali fornite proprio da un infostealer.
Group-IB ha rilevato che tra il primo luglio 2021 e il 30 giugno 2022 sono stati messi in commercio oltre 96 milioni di log di infostealer, con dati compromessi provenienti per lo più da utenti statunitensi (80%), seguiti da utenti britannici (5.4%), indiani (4.6%), indonesiani (2.4%) e brasiliani (2%).
Analizzando i log degli infostealer offerti nell’underground, nel periodo tra il secondo semestre 2021 e il primo del 2022 il team di Threat Intelligence di Group-IB ha rilevato 580.301 account compromessi di utenti italiani, di cui numerosi carpiti persino da più stealer. Con 576.718 account carpiti, RedLine Stealer è stato l’infostealer di account italiani più popolare, seguito da AZORult (68.729) e iDex Stealer (5.853).
Il commento di Giulio Vada di Group-IB
Giulio Vada, Head of Business Development Italy di Group-IB, commenta: “Il nostro rapporto sulle tendenze dei crimini hi-tech conferma nuovamente che i broker di accesso iniziale (IAB) sono ormai una forza sotterranea seria e organizzata che svolge un ruolo primario nell’esacerbazione del cybercrimine.
Gli IAB stanno crescendo in maniera significativa in Europa e l’Italia non fa eccezione. Insieme agli infostealer, sono una minaccia critica da tenere sotto controllo nel 2023, anno in cui ci aspettiamo anche di vedere l’ascesa di piattaforme specializzate nella commercializzazione di log di infostealer contenenti anche i dati di grandi aziende.
In questo contesto, assicurare che le misure di protezione contro i cyberattacchi siano affidabili e sicure quest’anno richiederà una raccolta e un monitoraggio delle offerte di accesso alle reti compromesse o di credenziali compromesse degli impiegati ancora più mirati”.
