Il ransomware PAYLOAD dirotta i criteri di gruppo di AD e salta la crittografia

Che cos'è il ransomware PAYLOAD e come dirotta i criteri di gruppo

Un'operazione ransomware tracciata come PAYLOAD ha mostrato ai ricercatori di sicurezza qualcosa di inquietante: non è necessario crittografare un solo file per mettere in ginocchio un'organizzazione. Secondo quanto riportato sull'operazione, gli operatori di PAYLOAD hanno dimostrato come gli attaccanti possano trasformare in arma gli oggetti Criteri di gruppo (GPO) di Microsoft Active Directory per paralizzare un intero dominio Windows senza distribuire ransomware sugli endpoint né crittografare alcun dato.

I Criteri di gruppo sono una funzionalità amministrativa fondamentale integrata negli ambienti Windows Server. I reparti IT li utilizzano per distribuire impostazioni, regole di sicurezza e configurazioni software su ogni computer e account utente connessi a un dominio. Poiché i GPO si collocano a un livello così fondamentale, chi li controlla controlla di fatto il comportamento di ogni macchina sulla rete. L'approccio di PAYLOAD, secondo quanto riportato, prevede la manipolazione diretta di questi oggetti criteri, usando funzioni amministrative legittime di Windows per causare interruzioni diffuse, bloccare gli utenti o degradare le funzionalità del sistema in tutta l'organizzazione. Il risultato appare e si percepisce come un attacco ransomware: i sistemi smettono di funzionare, le operazioni si bloccano, ma non c'è alcun file crittografato, nessuna nota di riscatto sul disco e nessun binario malware tradizionale da indicare come colpevole.

Questo è ciò che i ricercatori di sicurezza chiamano attacco ransomware senza crittografia ad Active Directory: la leva di estorsione deriva dall'interruzione operativa e dalla minaccia di esposizione dei dati, non dal bloccare i file dietro una chiave di decrittazione.

Perché le difese ransomware tradizionali non rilevano questo attacco

La maggior parte degli strumenti di sicurezza aziendali, comprese le piattaforme di rilevamento e risposta sugli endpoint (EDR) e i software antivirus, è tarata per intercettare comportamenti specifici: routine di crittografia dei file, esecuzione sospetta di binari, alberi di processi insoliti o firme ransomware note. Quando un attaccante salta tutto questo e invece abusa di una funzionalità amministrativa integrata come i Criteri di gruppo, spesso non c'è nulla che questi strumenti possano segnalare. L'attività può somigliare a una normale amministrazione IT anziché a un attacco in corso.

È proprio per questo che l'operazione PAYLOAD è significativa. Sottolinea una tendenza più ampia nelle tattiche di estorsione: gli attori delle minacce trovano sempre più modi per ottenere la stessa interruzione operativa e la stessa leva del ransomware classico, evitando al contempo i fattori di rilevamento costruiti appositamente per intercettare gli attacchi basati sulla crittografia. Le organizzazioni che misurano la propria preparazione al ransomware solo in base alla capacità del loro antivirus di rilevare strumenti di crittografia noti possono avere un pericoloso punto cieco riguardo all'infrastruttura di identità e all'abuso degli strumenti amministrativi.

Il rischio per i dati dei dipendenti e dei clienti quando i domini vengono paralizzati

Un ambiente Active Directory paralizzato non è solo un inconveniente. Quando i Criteri di gruppo vengono dirottati alla radice del dominio, possono influire sull'autenticazione, sui controlli di accesso e sulla disponibilità dei sistemi che archiviano o elaborano dati personali, dai fascicoli delle risorse umane ai database dei clienti. Se gli attaccanti usano questo tipo di accesso anche per esfiltrare dati prima o durante l'interruzione, le conseguenze possono includere lo stesso tipo di esposizione di informazioni sensibili vista nelle violazioni di dati convenzionali, senza che un solo file venga mai crittografato.

Questo conta anche per i consumatori. L'estorsione non richiede più che gli attaccanti distribuiscano malware che i team IT possano nominare e mettere in quarantena. Come visto in altri incidenti recenti, come il dirottamento Facebook di AnMed, in cui la presenza sui social media di un sistema sanitario è stata presa in controllo e usata per richieste di riscatto senza alcun malware coinvolto, gli attaccanti trovano modi creativi e a bassa firma per mettere sotto pressione le organizzazioni. Entrambi i casi condividono un filo comune: la compromissione di infrastrutture fidate, che si tratti di un domain controller o di un account social, anziché la distribuzione di codice malevolo evidente.

Misure di mitigazione pratiche per i team IT e cosa devono osservare gli utenti

Le organizzazioni dovrebbero trattare la gestione di Active Directory e dei Criteri di gruppo come obiettivi di alto valore che meritano lo stesso scrutinio della sicurezza degli endpoint. Ciò significa verificare chi ha il permesso di creare o modificare i GPO, abilitare una registrazione dettagliata delle modifiche ai Criteri di gruppo e monitorare modifiche impreviste ai criteri, soprattutto a livello della radice del dominio dove PAYLOAD avrebbe operato. L'autenticazione a più fattori per gli account amministrativi e revisioni regolari degli accessi privilegiati possono anche ridurre le probabilità che un attaccante ottenga il punto d'appoggio necessario per raggiungere i Criteri di gruppo.

Per gli utenti e i dipendenti comuni, il messaggio è più semplice: interruzioni di sistema improvvise e inspiegabili, errori di accesso o account bloccati in un'organizzazione non dovrebbero essere liquidati come normali problemi IT, soprattutto se si verificano insieme a comunicazioni insolite o messaggi in stile riscatto.

Cosa significa per te

Che tu sia un amministratore IT o semplicemente una persona i cui dati personali si trovano nei sistemi di un'azienda, il caso PAYLOAD è un promemoria del fatto che il ransomware non sembra più sempre ransomware. Un attacco ransomware senza crittografia ad Active Directory può causare lo stesso caos operativo e lo stesso rischio per i dati di una violazione tradizionale basata sulla crittografia, passando al contempo oltre le difese costruite per le minacce di ieri.

Punti chiave

• Verifica e limita chi può modificare gli oggetti Criteri di gruppo, in particolare alla radice del dominio.
• Non affidarti esclusivamente ad antivirus o strumenti EDR per intercettare l'abuso dell'infrastruttura di identità; aggiungi un monitoraggio dedicato di Active Directory.
• Tratta interruzioni di sistema improvvise e diffuse come potenziali incidenti di sicurezza, non solo come glitch IT.
• Riconosci che le tattiche di estorsione si stanno evolvendo oltre la crittografia, come visto sia in questo caso sia in incidenti senza malware come la presa di controllo del Facebook di AnMed.

Restare informati su queste tattiche in evoluzione è una delle migliori difese disponibili. Mentre gli attaccanti continuano a trovare nuovi modi per interrompere senza distribuire malware classico, la consapevolezza di come questi attacchi si sviluppano realmente è ciò che aiuterà organizzazioni e individui a rispondere più rapidamente e in modo più intelligente.