Una gang di ransomware che stampa le proprie richieste
La maggior parte dei gruppi ransomware lascia le proprie note di estorsione come file di testo sparsi nelle cartelle cifrate della vittima. INC ransomware adotta un approccio più inquietante: secondo un'analisi tecnica di Picus Security, il malware tenta anche di inviare la richiesta di riscatto direttamente a qualsiasi stampante e fax connesso sulla rete compromessa, stampando fisicamente la richiesta affinché chiunque nell'edificio possa vederla.
È un piccolo dettaglio, ma dice molto sul modo di operare di INC. Si tratta di un gruppo che vuole esercitare la massima pressione psicologica sulle vittime e ha scoperto che le reti sanitarie e scolastiche, spesso piene di stampanti legacy, linee fax condivise e dispositivi connessi che i team IT raramente controllano, sono un terreno fertile per questo tipo di disagi.
Perché sanità e istruzione continuano a essere colpite
INC ransomware, tracciato come operazione di ransomware-as-a-service sin dalla sua comparsa, ha preso di mira ripetutamente ospedali, cliniche e scuole, insieme ad altri settori come vendita al dettaglio e finanza. I motivi non sono misteriosi. Le reti sanitarie funzionano su dispositivi medici interconnessi, infrastrutture obsolete e sistemi che non sempre possono essere aggiornati o messi offline senza mettere a rischio la cura dei pazienti. Le reti scolastiche, nel frattempo, servono spesso migliaia di studenti e personale su infrastrutture condivise, con budget di sicurezza limitati e controlli degli accessi non omogenei.
Entrambi i settori custodiscono inoltre esattamente il tipo di dati che rende redditizia l'estorsione a doppio binario: cartelle cliniche, storie sanitarie, dati finanziari e informazioni personali di minori. INC, come molte moderne operazioni ransomware, non si limita a cifrare i file. Prima ruba i dati e minaccia di pubblicarli se il riscatto non viene pagato, dando alle vittime due motivi distinti per cedere.
Questo schema ha reso gli ospedali un bersaglio particolarmente a rischio. Quando un ransomware blocca le cartelle cliniche elettroniche o i sistemi di pianificazione, le conseguenze non si limitano a un disagio. Possono ritardare le cure, causare dirottamenti delle ambulanze e mettere direttamente a rischio la sicurezza dei pazienti, ed è anche per questo che la cybersicurezza sanitaria è diventata una priorità politica ben oltre i reparti IT.
Il problema dei punti di accesso
I gruppi ransomware hanno bisogno di un varco nella rete prima di poter distribuire qualsiasi cosa, e INC ha dimostrato di essere disposto a sfruttare qualsiasi vulnerabilità gli fornisca quell'appiglio. Un caso recente lo illustra bene: SonicWall ha confermato che due vulnerabilità zero-day critiche nei suoi appliance della serie SMA 1000 sono state attivamente sfruttate dal gruppo INC ransomware per 22 giorni prima che fosse disponibile una patch. Questo tipo di finestra, quasi tre settimane di sfruttamento attivo prima dell'arrivo di una correzione, è esattamente l'opportunità che gli operatori ransomware cercano, in particolare contro organizzazioni che potrebbero essere più lente ad applicare patch agli appliance di accesso remoto a causa di carenza di personale o esigenze operative.
Questo schema sottolinea una verità più ampia sul ransomware in generale e su INC in particolare: la violazione iniziale raramente deriva da qualcosa di esotico. Proviene da software non patchato, strumenti di accesso remoto esposti o credenziali mai ruotate. Una volta all'interno, il gruppo si sposta lateralmente, identifica i dati preziosi da esfiltrare, distribuisce il payload di cifratura e, nel caso di INC, cerca di far stampare il proprio messaggio per la massima visibilità.
Cosa significa per te
Se lavori o interagisci con sistemi sanitari o scolastici, sia come dipendente, paziente, studente o genitore, INC ransomware è un promemoria che i dati che queste istituzioni detengono su di te sono un obiettivo reale, non ipotetico. Le cartelle cliniche e i dati degli studenti sono appetibili proprio perché sono difficili da sostituire e spesso legati a opportunità di frode finanziaria o medica.
Per i team IT e di sicurezza, la lezione pratica riguarda la cadenza delle patch e la segmentazione della rete. Gli appliance di accesso remoto, le stampanti connesse e i gateway fax sono spesso trattati come dispositivi a bassa priorità, ma il comportamento di INC mostra che gli aggressori useranno ogni dispositivo sulla rete, per quanto banale, per raggiungere i loro obiettivi. Segmentare stampanti e dispositivi IoT dai sistemi core, e applicare rapidamente le patch agli appliance esposti su internet quando i fornitori comunicano le vulnerabilità, riduce in modo significativo la superficie d'attacco.
Per i singoli, le azioni concrete sono più familiari ma vale la pena ripeterle: monitorare le notifiche di violazione dal proprio fornitore di servizi sanitari o distretto scolastico, usare password uniche per i portali che memorizzano informazioni personali o mediche e diffidare dei tentativi di phishing successivi che spesso si accodano agli incidenti ransomware non appena i dati rubati iniziano a circolare.
Stare al passo con le campagne ransomware mirate
INC ransomware non è l'unico a prendere di mira sanità e istruzione, ma la sua volontà di stampare fisicamente le richieste di riscatto evidenzia fino a che punto questi gruppi siano disposti a spingersi per forzare il pagamento. Le organizzazioni di questi settori dovrebbero trattare ogni dispositivo esposto a internet, per quanto insignificante, come un potenziale punto di ingresso, e le persone dovrebbero restare vigili riguardo agli avvisi di violazione legati alle istituzioni che detengono i loro dati sensibili. Consapevolezza e applicazione tempestiva delle patch restano le difese più efficaci contro una minaccia che non dà segni di rallentamento.
