CISA conferma che il ransomware BianLian ha abbandonato la cifratura nel 2024

La CISA conferma un importante cambiamento nelle tattiche di BianLian

La Cybersecurity and Infrastructure Security Agency ha confermato che BianLian, un gruppo ransomware un tempo noto per bloccare le reti ospedaliere, ha smesso completamente di cifrare i file a partire da gennaio 2024. Invece di rendere illeggibili i dati e richiedere un pagamento per la chiave di decrittazione, il gruppo ora si concentra esclusivamente sul furto di informazioni sensibili e minaccia di divulgarle se le vittime non pagano.

Questa conferma è importante perché segnala un cambiamento più ampio nel modo in cui operano gli autori di ransomware. Per anni, il modello standard prevedeva la cifratura dei file della vittima, il rilascio di una nota di riscatto e la costrizione delle organizzazioni a scegliere tra pagare per una chiave di decrittazione o ricostruire tutto dai backup. La svolta di BianLian rispetto a quel modello dimostra che il solo furto di dati, senza il passaggio aggiuntivo della cifratura, può essere altrettanto redditizio e notevolmente meno complesso da eseguire.

Dalla cifratura all'estorsione: perché il cambiamento è rilevante

Cifrare un'intera rete richiede tempo, risorse di calcolo e un livello di accesso che aumenta le probabilità di essere scoperti prima che l'attacco venga completato. Copiare semplicemente i file da una rete e uscire senza farsi notare è più veloce, più difficile da individuare in tempo reale e fornisce comunque agli aggressori una forte leva. Se un gruppo riesce a esfiltrare cartelle cliniche, documenti finanziari o comunicazioni interne, la minaccia di pubblicare quei dati è spesso sufficiente per spingere una vittima a pagare.

Questo approccio aggira anche alcune delle difese che le organizzazioni hanno costruito contro gli attacchi basati sulla cifratura. Molte aziende hanno investito pesantemente in sistemi di backup e ripristino proprio per attenuare l'impatto del ransomware che blocca i file. Quei backup non servono a nulla contro un gruppo che non ha mai compromesso l'integrità dei file, ma li ha semplicemente copiati ed è andato via. La conferma di questo cambiamento da parte della CISA si allinea con un modello che l'agenzia ha monitorato attentamente, inclusi casi in cui i gruppi ransomware sono passati a sfruttare su larga scala vulnerabilità di elevata gravità non appena diventano di dominio pubblico, come si è visto quando la CISA ha confermato che le gang di ransomware sfruttavano la falla BlueHammer su vasta scala invece di riservarla ad attacchi mirati e limitati.

Le organizzazioni sanitarie restano nel mirino

Vale la pena prestare attenzione alla storia di BianLian di prendere di mira le reti ospedaliere, anche con il cambiamento di tattica del gruppo. Le organizzazioni sanitarie detengono alcuni dei dati personali più sensibili in assoluto, tra cui anamnesi, dettagli assicurativi e documenti di cura. Questa sensibilità è proprio il motivo per cui l'estorsione tramite furto di dati funziona così bene contro questo settore. Un ospedale che si trova di fronte alla prospettiva che le cartelle cliniche dei pazienti vengano pubblicate o vendute ha un forte incentivo a pagare rapidamente, indipendentemente dal fatto che i suoi sistemi siano mai stati cifrati.

Ottenere l'accesso iniziale a queste reti spesso dipende ancora dallo sfruttamento di vulnerabilità note, uno schema che la CISA ha documentato ripetutamente nel suo catalogo delle Vulnerabilità Sfruttate Conosciute. La recente segnalazione da parte dell'agenzia di una falla di escalation dei privilegi su Linux già sfruttata attivamente illustra come gli aggressori continuino a fare affidamento su sistemi non aggiornati come punto di ingresso, indipendentemente da ciò che fanno una volta entrati.

Cosa significa per te

Se la tua organizzazione gestisce dati sensibili, che si tratti di un ospedale, una piccola impresa o qualsiasi entità che conservi informazioni sui clienti, questo cambiamento modifica l'aspetto che deve avere la "protezione contro il ransomware". Le strategie di backup rimangono importanti, ma da sole non sono più sufficienti. Gli attacchi basati sul furto di dati, come l'approccio più recente di BianLian, richiedono che le organizzazioni si concentrino altrettanto intensamente sulla prevenzione degli accessi non autorizzati e sul monitoraggio di trasferimenti anomali di dati in uscita, poiché il danno si verifica nel momento in cui i file lasciano la rete, non quando vengono cifrati.

Per i singoli individui, il concetto è più personale. Se un'organizzazione che detiene le tue cartelle cliniche, i tuoi dati finanziari o le tue informazioni personali è vittima di un attacco di furto di dati, potresti non vedere mai una nota di riscatto o sentire parlare di sistemi cifrati. Il primo segnale di problemi potrebbe essere semplicemente una lettera di notifica di violazione o, peggio, scoprire le tue informazioni in vendita o trapelate online.

Consigli pratici

Le organizzazioni dovrebbero dare priorità a strumenti di monitoraggio della rete in grado di segnalare trasferimenti di dati anomali o ingenti, non solo agli alert specifici per la cifratura ransomware. L'applicazione rapida delle patch per le vulnerabilità note rimane essenziale, poiché l'accesso iniziale dipende ancora tipicamente dallo sfruttamento di sistemi non aggiornati. I singoli individui dovrebbero rimanere vigili riguardo alle notifiche di violazione da parte di fornitori di servizi sanitari e istituti finanziari e considerare servizi di monitoraggio del credito o protezione dal furto d'identità se ne ricevono una. Poiché gruppi ransomware come BianLian continuano ad adattare i loro metodi, rimanere informati su questi cambiamenti, invece di dare per scontato che le difese di ieri coprano ancora le minacce di oggi, è la migliore protezione disponibile.