Un'operazione guidata da Europol che ha coinvolto nove nazioni ha colpito duramente il gruppo ransomware KillSec. Le autorità riferiscono di tre arresti e 110TB di dati sequestrati, e il Dipartimento di Giustizia degli Stati Uniti ha incriminato un sospetto olandese noto come "Archduke." Questa guida che spiega lo smantellamento del ransomware KillSec copre cosa è stato sequestrato, cosa si sa sull'incriminazione, e cosa cambia e cosa non cambia per le vittime e i difensori di tutti i giorni.

Cosa ha effettivamente sequestrato l'Operazione KillSwitch

Secondo quanto riportato, l'Operazione KillSwitch ha portato a tre arresti e al sequestro di 110TB dal gruppo KillSec. Nove nazioni hanno preso parte all'azione. Post pubblici separati delle forze dell'ordine la descrivono come un'operazione congiunta e sequenziata guidata dall'FBI di San Juan, mirata al gruppo che l'FBI chiama Kill Security Ransomware Group.

L'annuncio di Europol, come appare nei risultati di ricerca, aggiunge qualche dettaglio sulla portata. Descrive tre arresti e otto perquisizioni in quattro paesi europei, in un'operazione mirata a un gruppo collegato a circa 1.000 attacchi in tutto il mondo. Un avviso del governo svizzero data al 30 settembre lo smantellamento dell'infrastruttura IT utilizzata da KillSec. Il titolo di Europol fa anche riferimento a server e a un sito di leak sequestrati.

La cifra di 110TB è importante per una ragione pratica. I gruppi ransomware che rubano dati prima di cifrarli li conservano su infrastrutture che controllano, e sequestrarli può fornire agli investigatori prove, liste di vittime e in alcuni casi un modo per avvisare le organizzazioni colpite. Il riepilogo che abbiamo esaminato non dice quanto dei 110TB sia costituito da dati rubati alle vittime rispetto ad altro materiale, quindi trattate con cautela qualsiasi affermazione sul suo contenuto finché i funzionari non diranno di più.

Chi è "Archduke" e cosa sostiene il DOJ

Il DOJ ha incriminato un sospetto olandese che usa l'alias "Archduke." Il riepilogo della fonte non specifica le accuse specifiche, il ruolo del sospetto nel gruppo, o a che punto sia il caso dal punto di vista procedurale. Non faremo supposizioni su questi dettagli.

Un punto di cautela: il titolo dell'annuncio di Europol fa riferimento a un adolescente sospettato di guidare KillSec, e alcuni fornitori di sicurezza hanno pubblicato articoli sull'arresto di un giovane presunto leader. Il materiale a nostra disposizione non conferma che questa persona e l'"Archduke" incriminato siano lo stesso individuo, quindi non li colleghiamo. Un'incriminazione è anche un'accusa, non una condanna. I documenti giudiziari e le dichiarazioni ufficiali del DOJ saranno il luogo affidabile dove verificare le accuse man mano che si sviluppano.

Cosa significa lo smantellamento per le vittime di KillSec

Per le organizzazioni già colpite da KillSec, la notizia è incoraggiante ma incompleta. I ricercatori di sicurezza hanno affermato che il gruppo sfruttava vulnerabilità software e configurazioni errate di cloud storage per violare circa 1.000 organizzazioni. I server sequestrati e un sito di leak sequestrato possono limitare la capacità del gruppo di fare pressione sulle vittime pubblicando file rubati.

Ma uno smantellamento non è una bonifica. Vale la pena tenere a mente diverse cose:

  • I dati già rubati potrebbero essere stati copiati altrove. Sequestrare i server non garantisce che ogni copia sia scomparsa.
  • I sistemi cifrati restano cifrati. A meno che gli investigatori non rilascino un aiuto alla decifratura, il ripristino dipende ancora dai vostri backup.
  • I gruppi ransomware spesso si frammentano o cambiano nome. L'arresto di alcuni membri non necessariamente pone fine alle tattiche utilizzate dal gruppo.
  • Le vittime potrebbero essere contattate. Se pensate di essere stati colpiti, fate attenzione a contatti da parte delle forze dell'ordine e segnalate l'incidente attraverso i canali appropriati nel vostro paese.

Se la vostra organizzazione è stata un obiettivo di KillSec, presupponete che i dati rubati possano ancora riemergere, e proseguite con la reimpostazione delle credenziali, gli obblighi di notifica delle violazioni e il monitoraggio come fareste altrimenti.

Difese contro il ransomware che contano ancora: backup, segmentazione e limiti VPN

I metodi attribuiti a KillSec, lo sfruttamento di falle software e configurazioni errate di cloud storage, sono comuni tra le bande ransomware. Ecco perché le basi continuano a pesare di più, chiunque sia in custodia questo mese.

Backup. Mantenete più copie, inclusa almeno una copia offline o immutabile che gli attaccanti non possano raggiungere con credenziali rubate. Testate regolarmente i ripristini, perché un backup che non avete mai ripristinato è un'assunzione, non un piano.

Segmentazione della rete. Separare i sistemi limita quanto lontano può muoversi un intruso. Se una macchina o un account cloud viene compromesso, la segmentazione può impedire che diventi un evento di cifratura a livello aziendale.

Patch e configurazione. Poiché le vulnerabilità e le configurazioni errate di storage facevano parte del playbook riportato, controllate il software esposto pubblicamente per gli aggiornamenti e verificate che il cloud storage non sia esposto più ampiamente del previsto.

Dove si inserisce una VPN. Una VPN cifra il traffico tra il vostro dispositivo e il server VPN e può nascondere il vostro indirizzo IP dai siti che visitate. Non mette in sicurezza software vulnerabili, non risolve un bucket di storage mal configurato, e non protegge i backup. Consideratela come un livello di privacy limitato, non come una difesa contro il ransomware.

La Guida StopRansomware della CISA è una risorsa ampiamente citata per costruire un piano di risposta più completo.

Cosa significa per voi

Se siete un privato, questa operazione non è una ragione per cambiare le vostre abitudini dall'oggi al domani, ma è un buon promemoria per verificare che i vostri file importanti siano salvati da qualche parte dove il ransomware non può arrivare. Se gestite una piccola impresa o un team, lo smantellamento non elimina il rischio da gruppi simili che usano metodi simili.

Il segnale più ampio è che la cooperazione internazionale può raggiungere l'infrastruttura ransomware e le persone che vi sono dietro. Questo è utile, ma opera insieme alla vostra preparazione piuttosto che sostituirla.

Punti chiave

  • L'Operazione KillSwitch ha coinvolto nove nazioni, tre arresti e 110TB sequestrati, con un'incriminazione del DOJ del sospetto olandese "Archduke."
  • Un'incriminazione è un'accusa; i dettagli delle accuse non erano nel riepilogo che abbiamo esaminato.
  • Lo smantellamento non decifra i file né garantisce che i dati rubati siano scomparsi.
  • Rivedete questa settimana la vostra configurazione di backup e segmentazione di rete, incluso se avete una copia offline e avete testato un ripristino.
  • Usate una VPN per la privacy se lo desiderate, ma non contatela come protezione contro il ransomware.