Nuove ricerche che esaminano l'infrastruttura tecnica dietro diverse importanti operazioni di ransomware, tra cui INC Ransom, Lynx, MedusaLocker e attività legate a LockBit, hanno scoperto che, nonostante operino con nomi diversi, questi gruppi si affidano a schemi di attacco sorprendentemente simili. Tale coerenza è importante per chiunque cerchi di comprendere il ransomware, perché significa che gli strumenti e le tattiche che i difensori usano per fermare una banda spesso funzionano contro diverse altre contemporaneamente.

Infrastruttura condivisa dietro diversi marchi di ransomware

Il ransomware viene spesso trattato come se ogni gruppo denominato fosse un'impresa criminale completamente separata con il proprio playbook unico. La realtà portata alla luce da questa ricerca è più confusa e, per certi versi, più utile per la difesa. Monitorando l'infrastruttura, ovvero i server, i canali di comando e controllo e i sistemi di staging, utilizzata negli attacchi riconducibili a INC Ransom, Lynx, MedusaLocker e LockBit, i ricercatori hanno trovato impronte tecniche ricorrenti in campagne presumibilmente non correlate.

Questa sovrapposizione riflette una tendenza più ampia già visibile altrove nell'ecosistema del ransomware. Come riportato nell'articolo su come i gruppi ransomware hanno raggiunto un record di 93 crew attive, il sottobosco criminale si è frammentato in un gran numero di operazioni denominate, anche se le tecniche principali, e in alcuni casi l'infrastruttura stessa, vengono riutilizzate o condivise. Gli affiliati del ransomware-as-a-service si spostano frequentemente tra i marchi, e i toolkit trapelati o rivenduti fanno sì che diversi "gruppi" possano finire per assomigliarsi molto sotto il cofano.

Prima rubare, poi cifrare: lo standard della doppia estorsione

Uno degli schemi più chiari emersi dalla ricerca è la tempistica. Prima ancora di bloccare i sistemi di una vittima, la maggior parte delle operazioni di ransomware studiate esfiltra silenziosamente i dati sensibili. La cifratura, la parte dell'attacco che viene notata perché i sistemi smettono improvvisamente di funzionare, è spesso l'ultimo passo anziché il primo.

Questa sequenza è la spina dorsale della doppia estorsione: gli attaccanti rubano i dati in silenzio, poi cifrano i file, quindi minacciano di divulgare pubblicamente i dati rubati se il riscatto non viene pagato. Offre alle vittime due motivi separati per pagare e dà agli attaccanti leva anche se un'azienda può ripristinare i propri sistemi dai backup senza pagare per una chiave di decifratura. Questa tattica è diventata così standard che la sua assenza sarebbe ormai l'eccezione anziché la regola, e si allinea con risultati separati su come le tattiche di estorsione stanno cambiando mentre i pagamenti dei riscatti raggiungono minimi record, spingendo i gruppi verso tattiche di pressione più dure quando le vittime rifiutano di pagare.

Perché ora il rilevamento precoce è la migliore difesa

Poiché il furto di dati avviene tipicamente molto prima della cifratura, spesso esiste una finestra, a volte di giorni o settimane, in cui una compromissione è in corso ma non si è ancora trasformata in una crisi conclamata. Gli schemi infrastrutturali identificati in questa ricerca offrono ai difensori un modo per individuare quella finestra: comportamenti ricorrenti di comando e controllo, tecniche di staging e firme di rete che compaiono in attività riconducibili a INC Ransom, Lynx, MedusaLocker e LockBit.

Questo è importante perché l'effrazione iniziale è sempre più spesso l'anello debole che gli attaccanti sfruttano. Una ricerca separata trattata su questo sito ha scoperto che il 79% degli incidenti ransomware inizia con credenziali rubate anziché con exploit sofisticati. Combinate questo con un'infrastruttura che si comporta in modo prevedibile una volta che gli attaccanti sono all'interno, e si delinea un quadro più chiaro: la maggior parte degli attacchi ransomware non sono colpi di genio zero-day inarrestabili. Si affidano ad accessi rubati e strumenti riutilizzati, entrambi i quali lasciano tracce rilevabili se le organizzazioni sanno cosa cercare.

Cosa significa questo per te

Per gli utenti comuni, questa ricerca è un promemoria del fatto che il ransomware raramente arriva dal nulla. Di solito segue una password rubata, un'email di phishing o un punto di accesso remoto esposto, e di solito ruba i dati molto prima che qualcosa venga bloccato o compaia una richiesta di riscatto. Per le aziende e i team IT, il messaggio è più diretto: monitorare gli schemi infrastrutturali condivisi tra le principali famiglie di ransomware può intercettare un'intrusione durante la fase di furto dei dati, prima che avvenga la cifratura.

Per gli individui, la difesa pratica è la stessa di sempre: password uniche, autenticazione a più fattori e cautela con richieste di accesso o credenziali inaspettate. I gruppi ransomware dipendono da accessi rubati per entrare dalla porta, quindi chiudere quel punto di accesso rimuove gran parte del loro vantaggio prima ancora che entrino in gioco le tattiche infrastrutturali più avanzate.

Punti chiave

  • I gruppi ransomware con nomi diversi spesso condividono infrastruttura e tattiche di base, il che significa che gli strumenti di rilevamento sviluppati per una banda si applicano frequentemente anche alle altre.
  • Il furto di dati avviene tipicamente prima della cifratura, creando una finestra di rilevamento su cui i difensori possono agire.
  • Le credenziali rubate restano un punto di ingresso principale, rendendo l'igiene delle password e l'autenticazione a più fattori alcune delle difese più efficaci disponibili.
  • Le organizzazioni dovrebbero dare priorità al monitoraggio dei primi segnali di intrusione, non solo alla fase finale e più visibile del ransomware.

Comprendere come funziona realmente l'infrastruttura del ransomware, invece di trattare ogni attacco come un evento isolato, offre sia agli individui che alle organizzazioni un percorso più chiaro per intercettare le minacce prima che si intensifichino. Restare informati su questi schemi condivisi è uno dei modi più semplici per restare un passo avanti.