How does this new ransomware attack work?

Attackers who have already gained administrative access turn on Windows’ built-in BitLocker encryption to lock the victim’s drives, then hold the recovery key hostage.

Why are the attackers using BitLocker instead of custom encryption malware?

BitLocker is a legitimate, digitally signed Microsoft tool that most security software trusts, so it avoids detection while achieving the same file-locking effect.

How do the attackers deliver the ransom note?

They send the ransom demand directly to a networked office printer, producing a physical note that employees find on their desks or in common areas.

What makes printing ransom notes an effective extortion tactic?

A printed note is harder to ignore than a digital pop-up and broadcasts the breach publicly throughout the organization, increasing psychological pressure to pay quickly.

What does this attack reveal about the limitations of traditional security tools?

It shows that defenses focused on catching malicious executables can be bypassed by attackers who weaponize trusted, built-in system features like BitLocker.

Nuovo attacco ransomware con BitLocker stampa le richieste di riscatto

Un attacco ransomware con BitLocker che salta il malware

I ricercatori di sicurezza hanno identificato un nuovo gruppo di estorsione che ha trovato una scorciatoia inquietante allo sviluppo tradizionale di ransomware: invece di scrivere malware di crittografia personalizzato, gli aggressori utilizzano BitLocker, la funzionalità di crittografia del disco già integrata in Windows, per impedire alle vittime l'accesso ai propri file. Una volta sigillate le unità, il gruppo annuncia l'attacco nel modo più analogico possibile, inviando una richiesta di riscatto direttamente alla stampante dell'ufficio.

Questa combinazione di una funzionalità Windows affidabile e un metodo di notifica fisico e invasivo segna un cambiamento significativo nel modus operandi delle bande di estorsione. Solleva anche domande difficili per i team IT che hanno passato anni a rafforzare gli endpoint contro gli eseguibili dannosi, per trovarsi ora di fronte ad aggressori che usano strumenti mai considerati pericolosi in primo luogo.

Come gli aggressori trasformano BitLocker in un'arma per bloccare le vittime

BitLocker è uno strumento di crittografia legittimo fornito da Microsoft, progettato per proteggere i dati in caso di smarrimento o furto di un portatile o di un'unità. È incluso nella maggior parte delle installazioni moderne di Windows ed è considerato affidabile dai reparti IT di tutto il mondo. Proprio questa fiducia lo rende un'arma utile per gli aggressori che hanno già ottenuto accesso amministrativo a una rete.

Invece di distribuire un payload di crittografia personalizzato che l'antivirus potrebbe rilevare, questa banda di estorsione si limita ad attivare BitLocker contro le unità della vittima e a tenere in ostaggio la chiave di ripristino. Il risultato è funzionalmente identico a un'infezione ransomware: i file diventano inaccessibili, i sistemi si bloccano e l'organizzazione si ritrova a negoziare per una chiave che avrebbe dovuto sempre controllare. Poiché BitLocker è un componente Microsoft nativo e firmato digitalmente, gli strumenti di sicurezza che si basano sul rilevamento di firme dannose conosciute hanno pochi motivi per intervenire.

Perché stampare le richieste di riscatto segnala una nuova tattica di estorsione

I gruppi ransomware tradizionali in genere rilasciano un file di testo sul desktop o mostrano una schermata di blocco che richiede il pagamento. Questo gruppo invia invece la richiesta di riscatto direttamente a una stampante di rete, producendo un documento fisico che i dipendenti trovano nella sala pausa o sulle loro scrivanie.

La tattica è meno legata alla sofisticazione tecnica e più alla psicologia. Una nota stampata è più difficile da ignorare di una finestra pop-up e segnala a ogni dipendente dell'edificio, non solo al personale IT, che l'organizzazione è stata compromessa. È un'escalation pubblica e tangibile progettata per spingere le vittime a pagare più velocemente, e riecheggia una tendenza più ampia dei gruppi di estorsione che sperimentano tattiche di pressione non convenzionali che vanno oltre la tastiera. L'FBI aveva già messo in guardia su approcci simili e creativi, inclusi casi in cui il Silent Ransom Group si è fisicamente spacciato per personale IT presso studi legali per ottenere l'accesso necessario prima ancora di iniziare l'estorsione.

Il rischio degli attacchi "living-off-the-land" che eludono gli strumenti antivirus

I professionisti della sicurezza chiamano questo approccio "living off the land": utilizzare software e utilità già presenti su un sistema bersaglio invece di introdurre nuovo malware rilevabile. L'abuso di BitLocker ne è un esempio da manuale. Poiché lo strumento è firmato da Microsoft e ci si aspetta che venga eseguito su macchine aziendali, la sua attività spesso non fa scattare gli stessi allarmi di un eseguibile sconosciuto.

Questo è esattamente ciò che rende la tattica pericolosa per le organizzazioni che si affidano principalmente ad antivirus basati su firme o al rilevamento degli endpoint configurato per individuare file palesemente dannosi. Se gli aggressori dispongono già dei privilegi amministrativi necessari per abilitare la crittografia e trattenere le chiavi di ripristino, l'attacco può svolgersi utilizzando solo le funzionalità standard di Windows, rendendolo molto più difficile da distinguere dall'attività IT legittima fino a quando non è troppo tardi.

Come rafforzare i sistemi Windows contro l'abuso degli strumenti integrati

Difendersi da questo tipo di attacco richiede di spostare l'attenzione da "quale software è in esecuzione" a "chi ha i permessi per eseguirlo". Alcuni passi pratici sono importanti in questo caso. Le organizzazioni dovrebbero limitare rigorosamente quali account possono abilitare o modificare le impostazioni di BitLocker e assicurarsi che le chiavi di ripristino vengano automaticamente depositate in Active Directory o Azure AD, anziché essere accessibili solo a chi possiede diritti di amministratore locale. Il monitoraggio di eventi di attivazione imprevisti di BitLocker, specialmente al di fuori delle normali finestre di manutenzione, può anche rilevare un attacco in corso prima che la crittografia venga completata su un'intera flotta di macchine.

Al di là di BitLocker nello specifico, la lezione di fondo riguarda la gestione dei privilegi. Limitare l'accesso amministrativo permanente, segmentare le reti e mantenere backup offline e testati riducono il raggio d'azione quando gli aggressori ottengono un punto d'appoggio, indipendentemente dallo strumento che alla fine abuseranno per bloccare i file.

Cosa significa questo per te

Per gli utenti comuni, questo specifico attacco ransomware con BitLocker è principalmente un problema aziendale, poiché dipende dal fatto che gli aggressori abbiano già accesso amministrativo a una rete. Ma è un utile promemoria che gli strumenti di crittografia creati per la tua protezione possono essere usati contro di te se la sicurezza degli account è debole. Per gli amministratori IT e i proprietari di piccole imprese, il messaggio è più diretto: verifica chi può gestire le impostazioni di crittografia sui tuoi sistemi, conferma che le chiavi di ripristino siano salvate in un posto che gli aggressori non possono raggiungere e tratta gli eventi di crittografia imprevisti con la stessa urgenza di un avviso malware.

Punti chiave

Questo incidente rientra in un modello di gruppi di estorsione che si allontanano dal malware personalizzato per abusare di strumenti legittimi e tattiche di pressione non convenzionali, una tendenza visibile anche in casi in cui il Silent Ransom Group si è spacciato per personale IT per ottenere un accesso fidato prima di colpire. Che il punto d'ingresso sia una telefonata falsa o un account amministratore compromesso, la difesa è la stessa: controlli di accesso robusti, attività amministrativa monitorata e backup che non dipendono dalla buona volontà dell'aggressore. Rivedere ora la gestione delle chiavi di BitLocker e il monitoraggio degli endpoint della tua organizzazione è un momento di gran lunga migliore che dopo che una richiesta di riscatto esce dalla stampante.