La ex squadra Conti di Royal Ransomware segnala un nuovo modello di minaccia

La maggior parte dei titoli sui ransomware si concentra sugli stessi pochi nomi noti, ma una categoria più silenziosa di attori della minaccia si sta rivelando altrettanto dannosa. I gruppi ransomware meno conosciuti stanno sempre più abbandonando le vaste reti di affiliati che hanno reso famosi gruppi come LockBit e Cl0p, optando invece per team piccoli e disciplinati, più difficili da infiltrate e da prevedere. Royal, un gruppo emerso intorno a settembre, è uno degli esempi più chiari di questo cambiamento, e offre un utile caso di studio sul perché "più piccolo" non significhi "più sicuro" per le aziende che questi gruppi prendono di mira.

Un modello di business diverso: crew chiuse invece di affiliati

La maggior parte delle grandi operazioni ransomware si basa su un modello ad affiliati, o ransomware-as-a-service. Gli sviluppatori principali creano e mantengono il malware, per poi concederlo in licenza a una schiera rotante di affiliati che eseguono le intrusioni vere e proprie in cambio di una percentuale del riscatto. È una struttura efficiente che consente a un singolo pezzo di malware di scalare su dozzine o centinaia di attacchi simultanei, ma crea anche punti deboli. Gli affiliati diventano sciatti, fanno trapelare dettagli o vengono arrestati, e le forze dell'ordine hanno avuto un reale successo nel disarticolare queste reti seguendo l'anello più debole.

Royal salta completamente quel modello. Invece di reclutare una vasta base di affiliati, il gruppo opera con un team centrale più piccolo e coeso, che si ritiene includa ex membri di Conti, una delle operazioni ransomware più prolifiche e tecnicamente sofisticate prima che si frammentasse. Quel pedigree conta. Un gruppo costruito attorno a operatori esperti che sanno già come muoversi attraverso le reti aziendali, eludere il rilevamento e negoziare riscatti non ha bisogno di scala per essere efficace. Ha bisogno di disciplina, e una struttura chiusa è più facile da mantenere disciplinata.

Per i difensori, questo è un cambiamento significativo nel panorama delle minacce. I gruppi guidati da affiliati spesso lasciano una scia di tattiche incoerenti perché così tante persone diverse usano lo stesso toolkit. Una crew chiusa come Royal, al contrario, tende a operare con maggiore coerenza e maggiore sicurezza operativa, il che può rendere la sua attività più difficile da identificare e attribuire nelle fasi iniziali di un'intrusione.

La doppia estorsione resta il filo conduttore

Nonostante le differenze strutturali, Royal condivide una tattica con quasi ogni altro gruppo ransomware attivo oggi: la doppia estorsione. Invece di limitarsi a cifrare i file di una vittima e chiedere un pagamento per una chiave di decifratura, il gruppo prima esfiltra dati sensibili dalla rete. Se il riscatto non viene pagato, la minaccia non è solo costituita da file bloccati, ma dalla pubblicazione pubblica dei dati rubati, che possono includere registrazioni dei clienti, informazioni finanziarie o comunicazioni interne.

Questa campagna di pressione su due fronti è diventata lo standard del settore perché funziona. Anche le organizzazioni con solidi sistemi di backup che potrebbero ripristinare i dati cifrati senza pagare devono comunque affrontare le ricadute reputazionali e normative di una fuga di dati. È una tattica che compare in tutto l'ecosistema ransomware indipendentemente dalle dimensioni o dalla notorietà di un gruppo. I nuovi entranti più piccoli la usano altrettanto prontamente quanto i nomi affermati. Il recente caso di M3RX ransomware che rivendica un'azienda software spagnola e ruba centinaia di gigabyte di dati segue lo stesso copione: infiltrarsi, esfiltrare, cifrare e minacciare la divulgazione fino al pagamento.

Ciò che questo schema dice alle aziende è che le dimensioni o la fama di un gruppo ransomware sono un cattivo indicatore del rischio. Una crew relativamente sconosciuta con una manciata di operatori qualificati può eseguire lo stesso attacco di doppia estorsione, con le stesse conseguenze, di un gruppo che domina i titoli.

Cosa significa per te

Per i team di sicurezza e i titolari di aziende, la lezione di Royal e gruppi simili è che un monitoraggio delle minacce costruito attorno all'osservazione di una breve lista di nomi famosi di ransomware è incompleto. I gruppi ransomware meno conosciuti sono spesso composti da operatori esperti provenienti da organizzazioni sciolte o ribrandizzate, il che significa che le loro capacità possono rivaleggiare con quelle dei nomi più grandi anche senza una grande presenza pubblica.

Questo ha anche implicazioni dirette su come le organizzazioni concepiscono l'accesso alla rete. Poiché la doppia estorsione dipende dalla capacità degli attaccanti di muoversi attraverso una rete ed estrarre dati prima di attivare la cifratura, limitare il movimento laterale è una delle difese più efficaci disponibili. Una solida segmentazione della rete, controlli di accesso rigorosi e il monitoraggio di trasferimenti anomali di dati in uscita possono intercettare un'intrusione prima che l'esfiltrazione sia completata, anche se la violazione iniziale non viene fermata. Gli strumenti di accesso remoto sicuro, incluse VPN configurate correttamente con autenticazione a più fattori, restano uno dei modi più semplici per ridurre la superficie d'attacco esposta su cui gruppi come Royal fanno affidamento per ottenere un primo punto d'appoggio.

Punti chiave operativi

Le aziende non hanno bisogno di tracciare per nome ogni oscuro gruppo ransomware per proteggersi, ma devono presumere che qualsiasi sistema non aggiornato o punto di accesso remoto esposto sia un potenziale ingresso per gruppi di cui non hanno mai sentito parlare. Alcuni passi pratici fanno una vera differenza: mantenere gli strumenti di accesso remoto aggiornati e protetti da autenticazione a più fattori, segmentare le reti in modo che un singolo account compromesso non possa raggiungere dati sensibili, monitorare trasferimenti di dati in uscita grandi o insoliti che potrebbero indicare un'esfiltrazione in corso, e mantenere backup offline testati regolarmente, non solo archiviati.

I gruppi ransomware meno conosciuti non sono una nota a piè di pagina rispetto ai nomi più grandi che dominano le notizie. Come dimostrano Royal e altre operazioni più piccole a crew chiusa, una visibilità ridotta spesso comporta una maggiore competenza operativa, non un rischio minore. Trattare ogni gruppo, familiare o meno, con lo stesso livello di rigore difensivo è il modo più affidabile per restare un passo avanti a loro.