Uno strumento cloud familiare trasformato in un canale di esfiltrazione

Quando i responder agli incidenti di Sygnia hanno analizzato un attacco ransomware a doppia estorsione, hanno scoperto qualcosa che dovrebbe preoccupare chiunque faccia affidamento sull'archiviazione cloud per le operazioni aziendali: gli attaccanti dietro l'intrusione, identificati come il gruppo ransomware Vice Society, avevano usato Microsoft OneDrive come canale principale per rubare dati aziendali. Invece di distribuire malware di esfiltrazione personalizzato che potesse far scattare allarmi, gli attori della minaccia hanno fatto affidamento su uno strumento che quasi ogni organizzazione già considera affidabile e inserisce nella lista bianca.

La doppia estorsione è diventata il modus operandi predefinito per le principali operazioni ransomware. Gli attaccanti non si limitano a crittografare i file e a chiedere un riscatto per la chiave di decrittazione. Rubano anche dati sensibili in anticipo, quindi minacciano di divulgarli pubblicamente se la vittima non paga una seconda volta. Questa tattica è emersa ripetutamente in incidenti recenti, inclusa la campagna di doppia estorsione LockBit 5.0 che continua a colpire organizzazioni in tutto il mondo. Ciò che rende notevole il caso Vice Society non è il modello di estorsione in sé, ma il metodo usato per spostare silenziosamente i dati rubati fuori dalla porta.

Perché nascondersi nel traffico OneDrive funziona così bene

La maggior parte degli strumenti di sicurezza aziendali è progettata per segnalare connessioni in uscita anomale, indirizzi IP sconosciuti o applicazioni non riconosciute che contattano Internet. OneDrive non attiva questi avvisi perché è un servizio Microsoft legittimo e ampiamente distribuito che i team di sicurezza generalmente consentono per impostazione predefinita. Instradando i file rubati attraverso l'attività di sincronizzazione di OneDrive, gli operatori di Vice Society sono riusciti a mescolare il loro traffico di esfiltrazione con l'uso quotidiano e normale del cloud.

Questa è la lezione principale dell'indagine forense di Sygnia: gli attaccanti hanno sempre più successo non infrangendo nuove barriere tecniche, ma abusando della fiducia che le organizzazioni ripongono nelle piattaforme mainstream. È uno schema che emerge anche altrove nel panorama delle minacce. Una dinamica simile si è verificata quando codice dannoso nascosto in un'estensione VS Code compromessa ha portato al furto di migliaia di repository, ancora una volta perché il vettore era uno strumento di sviluppo affidabile piuttosto che uno apertamente sospetto. Quando il meccanismo di consegna sembra di routine, il rilevamento diventa molto più difficile e la finestra per gli attaccanti di operare senza essere scoperti si allunga.

Luna Moth: una minaccia diversa, stesso obiettivo sui dati aziendali

Il team di Sygnia ha anche segnalato un attore di minaccia separato che merita di essere compreso nei suoi termini: Luna Moth. A differenza dell'approccio ransomware-e-fuga di informazioni di Vice Society, le tattiche di Luna Moth assomigliano più da vicino a truffe di falsi abbonamenti, il tipo di ingegneria sociale che inganna le vittime facendo credere loro di essersi iscritte a un addebito ricorrente che devono cancellare. Ma l'obiettivo finale ritorna allo stesso bersaglio che rende i gruppi ransomware così pericolosi: i dati aziendali. Luna Moth usa quel punto di ingresso ingannevole per ottenere accesso a informazioni aziendali sensibili, anche senza necessariamente distribuire malware di crittografia.

La distinzione è importante per i difensori. Non ogni grave incidente di furto dati assomiglia a un attacco ransomware classico con una nota di riscatto e file bloccati. Alcuni gruppi saltano del tutto la crittografia e puntano direttamente all'estorsione basata solo sui dati rubati, il che significa che i team di sicurezza non possono fare affidamento esclusivamente sul rilevamento del comportamento di crittografia per individuare una violazione attiva.

Cosa significa per te

Per i team IT e di sicurezza, questo caso è un promemoria che inserire un servizio come OneDrive nella lista bianca non equivale a proteggerlo. Il monitoraggio dovrebbe estendersi a volumi insoliti di dati che si spostano attraverso applicazioni cloud approvate, non solo a destinazioni sconosciute. Gli strumenti di prevenzione della perdita di dati, il rilevamento delle anomalie calibrato sul comportamento di sincronizzazione cloud e i controlli di accesso rigorosi su chi può spostare grandi quantità di dati sono tutti più rilevanti che mai, specialmente mentre gli attaccanti affinano le loro tattiche, proprio come l'IA sta già rimodellando le operazioni ransomware, costringendo i fornitori di servizi gestiti a ripensare le strategie di recupero informatico.

Per i singoli individui e le organizzazioni più piccole, il messaggio è più ampio: crittografare i file sensibili prima che raggiungano l'archiviazione cloud, usare un'autenticazione forte sugli account cloud e mantenere uno scetticismo verso email o prompt legati ad abbonamenti può ridurre l'esposizione sia ai gruppi ransomware che a operazioni di ingegneria sociale come quelle di Luna Moth. Crittografare traffico e dati in transito, sia tramite una VPN affidabile che strumenti di crittografia integrati, aggiunge un livello di protezione, anche se non fermerà un attaccante che ha già ottenuto accesso legittimo all'account. Sono le difese a strati, non un singolo strumento, a limitare realmente i danni.

Punti chiave

  • Vice Society ha esfiltrato dati rubati attraverso OneDrive, sfruttando la fiducia che le organizzazioni ripongono nei servizi cloud mainstream invece di fare affidamento su malware personalizzato.
  • Luna Moth opera diversamente, usando tattiche che assomigliano a truffe di falsi abbonamenti per raggiungere lo stesso obiettivo: il furto di dati aziendali.
  • Monitorare il comportamento delle app cloud per volumi di dati insoliti, non solo destinazioni sconosciute, è essenziale per individuare questo tipo di esfiltrazione.
  • La doppia estorsione rimane il modello ransomware dominante, il che significa che i dati rubati rappresentano un rischio anche se i backup consentono di evitare di pagare per la decrittazione.
  • Crittografare i dati sensibili prima che raggiungano il cloud e imporre controlli di accesso rigorosi riduce l'esposizione indipendentemente dalla tecnica usata dagli attaccanti.

Mentre i gruppi ransomware continuano a trovare modi per nascondersi in piena vista, rimanere informati su come queste tecniche si evolvono è uno dei passi più semplici che organizzazioni e individui possono compiere verso una migliore protezione.