I ricercatori di sicurezza lanciano l'allarme su una tattica che rende il sindacato ransomware Akira particolarmente difficile da individuare: l'abuso di software legittimi di monitoraggio e gestione remota (RMM). Piuttosto che affidarsi esclusivamente a malware personalizzati, gli affiliati di Akira si rivolgono sempre più spesso a strumenti ampiamente fidati come TeamViewer e AnyDesk per mantenere un punto d'appoggio all'interno delle reti compromesse, eludendo al contempo i sistemi di rilevamento e risposta degli endpoint (EDR).

Non è un concetto nuovo nel mondo della criminalità informatica, ma l'uso continuo e raffinato che Akira ne fa sottolinea un problema più ampio: il software su cui le organizzazioni fanno affidamento per il supporto IT legittimo può altrettanto facilmente trasformarsi in una backdoor per gli aggressori, e gli strumenti di sicurezza tradizionali spesso non sono progettati per distinguere la differenza.

Perché gli Strumenti di Accesso Remoto Legittimi Sono Vettori di Attacco Ideali

Gli strumenti RMM esistono per una buona ragione. I reparti IT e i fornitori di servizi gestiti li usano ogni giorno per risolvere problemi sui computer, distribuire aggiornamenti e supportare i dipendenti remoti. Questa legittimità è esattamente ciò che li rende così preziosi per gli operatori di ransomware.

Quando gli affiliati di Akira installano o dirottano strumenti come TeamViewer e AnyDesk sulla rete di una vittima, le connessioni risultanti spesso appaiono come normale attività amministrativa piuttosto che come traffico malevolo di comando e controllo. Il software di sicurezza che segnala eseguibili sconosciuti o beacon di rete insoliti può semplicemente lasciar passare queste connessioni, poiché gli strumenti stessi sono firmati digitalmente, ampiamente diffusi e raramente bloccati del tutto dalle policy aziendali.

Questo approccio è talvolta chiamato tecnica "living off the land", sebbene in questo caso gli aggressori non si limitino a usare strumenti già presenti sul sistema. Stanno attivamente distribuendo software di terze parti fidato per mimetizzarsi con le normali operazioni aziendali, ottenendo un canale persistente e a bassa visibilità per tornare nella rete anche dopo che un'intrusione iniziale è stata scoperta e parzialmente risolta.

Persistenza, Non Solo Accesso Iniziale

Ciò che rende questa tendenza particolarmente preoccupante è l'aspetto della persistenza. I gruppi ransomware non passano sempre immediatamente dalla compromissione iniziale alla crittografia. Gli affiliati di Akira hanno mostrato un modello di creazione di molteplici punti d'appoggio, e gli strumenti RMM offrono loro un modo affidabile per mantenere l'accesso nel tempo, anche se un punto di ingresso viene chiuso.

Questo è importante perché cambia il calcolo della risposta agli incidenti per le organizzazioni. Rimuovere semplicemente un malware noto non è sufficiente se gli aggressori hanno ancora uno strumento di accesso remoto dall'aspetto legittimo che resta silenziosamente su un server o una workstation, pronto per essere riattivato. I team di sicurezza devono trattare installazioni inaspettate o non autorizzate di software di accesso remoto come un serio campanello d'allarme, non come una semplice violazione delle policy.

La sofisticazione tecnica del gruppo nell'eludere il rilevamento è stata documentata in precedenza. In un caso trattato nel nostro articolo su il tentativo di elusione EDR di un affiliato Akira che ha fatto crollare il proprio attacco, i ricercatori di Huntress hanno scoperto che i tentativi di un aggressore di disabilitare la protezione degli endpoint si sono rivelati controproducenti, interrompendo inavvertitamente l'attacco stesso che stava cercando di condurre. Quell'incidente ricorda che, sebbene i metodi di Akira siano avanzati, non sono infallibili, e i difensori che monitorano attentamente possono cogliere gli errori che gli aggressori commettono lungo il percorso.

La Posta in Gioco per la Privacy di Individui e Aziende

Sebbene il ransomware Akira prenda di mira principalmente le organizzazioni piuttosto che i singoli consumatori, le implicazioni a valle per la privacy sono significative. Quando Akira crittografa ed esfiltra con successo i dati di un'azienda, quei dati spesso includono registri dei clienti, informazioni sui dipendenti, dettagli finanziari e altri dati personali appartenenti a persone che non hanno avuto alcun ruolo diretto nella violazione.

Gruppi ransomware come Akira abbinano sempre più spesso la crittografia al furto di dati, minacciando di divulgare i file rubati se il riscatto non viene pagato. Ciò significa che chiunque abbia le proprie informazioni personali nei sistemi di un'organizzazione compromessa, sia come cliente, paziente o dipendente, può finire con i propri dati privati esposti indipendentemente da quanto siano forti le proprie abitudini di sicurezza personale.

Cosa Significa Questo Per Te

Se lavori nell'IT o nelle operazioni di sicurezza, questo sviluppo è un invito diretto a verificare quali strumenti di accesso remoto sono autorizzati sulla tua rete e a monitorare installazioni non autorizzate di software come TeamViewer o AnyDesk. Strumenti di accesso remoto inspiegabili che compaiono sugli endpoint dovrebbero attivare lo stesso livello di scrutinio di un malware sconosciuto.

Per gli utenti comuni e i consumatori, il messaggio è più indiretto ma comunque importante. Poiché gli attacchi ransomware Akira possono esporre dati personali detenuti dalle aziende con cui interagisci, vale la pena prestare attenzione alle notifiche di violazione provenienti dalle aziende con cui fai affari e agire rapidamente se le tue informazioni sono coinvolte.

Indicazioni Pratiche

Le organizzazioni dovrebbero limitare quali strumenti di accesso remoto sono consentiti sulla rete e segnalare qualsiasi altro. Il monitoraggio del software RMM installato al di fuori dei flussi di lavoro IT approvati è fondamentale, poiché gli aggressori si affidano a questi strumenti per mimetizzarsi con il traffico normale. L'autenticazione multi-fattore sugli account di accesso remoto, audit regolari del software installato e una revisione attenta delle connessioni in uscita insolite aiutano tutti a ridurre il rischio che il ransomware Akira o gruppi simili possano mantenere silenziosamente l'accesso. Per gli individui, rimanere vigili sulle notifiche di violazione e usare password uniche per ogni account rimane uno dei modi più semplici per limitare i danni quando un'azienda di cui ti fidi diventa un bersaglio.