Un nuovo ceppo ransomware prende di mira un'azienda IT asiatica

Un ceppo di ransomware precedentemente non documentato, chiamato Spirals, è stato identificato in un attacco contro un'azienda IT in Asia, secondo gli investigatori che hanno rintracciato gli attori della minaccia fino a un sito onion dedicato. Su quel sito, gli aggressori chiamano il loro malware Spirals, fornendo ai ricercatori un nome da associare a una minaccia che altrimenti aveva operato sotto traccia.

La nota di riscatto lasciata sui sistemi infetti è diretta: paga entro sei giorni, oppure gli aggressori pubblicheranno i dati rubati pubblicamente. Le vittime vengono indirizzate a un portale basato su Tor per negoziare i termini privatamente. Si tratta di un classico schema di doppia estorsione, in cui gli aggressori non solo bloccano i file, ma rubano anche copie di dati sensibili prima che inizi la cifratura, assicurandosi due forme distinte di pressione sulla vittima.

Sebbene la segnalazione iniziale si concentri su una singola azienda IT, le tattiche mostrate — un sito di leak su onion con un nome, una scadenza perentoria e un canale di negoziazione anonimo — sono coerenti con il modo in cui molte moderne operazioni ransomware conducono il loro business estorsivo. Questo rende Spirals un caso da comprendere anche per le organizzazioni lontane dal settore finora preso di mira.

All'interno della catena d'attacco: dalla compromissione all'estorsione via Tor

Gli attacchi a doppia estorsione seguono generalmente una sequenza prevedibile. Gli aggressori ottengono prima accesso a una rete, spesso tramite phishing, servizi di accesso remoto esposti o credenziali rubate. Una volta all'interno, si spostano lateralmente per identificare dati e sistemi di valore, esfiltrano copie di file sensibili e solo dopo attivano il payload di cifratura che blocca le vittime fuori dai propri sistemi.

Ciò che rende Spirals degno di nota è la velocità di questa fase finale. Un'analisi tecnica separata ha mostrato che il ransomware Spirals può cifrare un'intera rete in meno di 24 ore, un ritmo che supera molte famiglie ransomware affermate. Questa rapidità riduce la finestra a disposizione dei difensori per rilevare e contenere un'intrusione prima che la cifratura blocchi i sistemi critici, ed è proprio per questo che il tempo di risposta durante un'infezione attiva è così importante.

Una volta completata la cifratura, alla vittima rimane la nota di riscatto che la indirizza al portale Tor. La scadenza di sei giorni per la pubblicazione dei dati rubati è una tattica di pressione pensata per forzare una decisione rapida anziché concedere tempo per una risposta ponderata e coordinata che coinvolga consulenti legali, responder di incidenti e forze dell'ordine.

Perché gli aggressori usano Tor per la negoziazione, e cosa non protegge

Tor è una scelta naturale per gli operatori ransomware che gestiscono portali di negoziazione e siti di leak. La rete instrada il traffico attraverso più relay, rendendo difficile tracciare la posizione fisica o l'identità dei gestori del sito. Per i gruppi criminali che gestiscono l'estorsione come un business, questo anonimato consente loro di ospitare un sito di leak pubblico e una chat di negoziazione privata senza esporre immediatamente la propria infrastruttura a tentativi di smantellamento.

Ma vale la pena chiarire cosa l'anonimato di Tor ottiene e cosa non ottiene in questi scenari. Protegge l'identità e la posizione degli aggressori, non i dati della vittima. Una volta che i file sono stati esfiltrati, la presenza di un canale di negoziazione via Tor non cambia il fatto sostanziale che le informazioni sensibili sono già fuori dal controllo della vittima. Pagare un riscatto attraverso un canale anonimo non offre alcuna garanzia che i dati rubati vengano effettivamente cancellati anziché venduti o diffusi in seguito. Gli strumenti di anonimato servono la sicurezza operativa degli aggressori; non fanno nulla per ripristinare i dati della vittima o annullare una violazione.

Misure difensive: backup, segmentazione e risposta agli incidenti

La lezione pratica del caso Spirals non riguarda affatto Tor, bensì la resilienza prima che un attacco abbia inizio. Alcune misure fanno costantemente la differenza più grande contro il ransomware a doppia estorsione:

  • Backup cifrati e offline: I backup isolati dalla rete di produzione e che non possono essere raggiunti o alterati da un'intrusione attiva rimangono uno dei modi più affidabili per recuperare senza pagare un riscatto.
  • Segmentazione della rete: Limitare quanto lontano un aggressore può spostarsi lateralmente dopo una compromissione iniziale può impedire che un singolo punto d'appoggio diventi un evento di cifratura dell'intera rete, particolarmente importante data la rapidità con cui ceppi come Spirals possono diffondersi.
  • Rilevamento e risposta rapidi: Visti i tempi di cifratura documentati inferiori alle 24 ore, lo spazio tra la compromissione iniziale e il blocco totale è ristretto. Monitorare trasferimenti dati insoliti ed escalation di privilegi offre ai difensori maggiori possibilità di intervenire prima che la cifratura abbia inizio.
  • Pianificazione della risposta agli incidenti: Disporre di un piano predefinito, che includa ruoli legali, comunicativi e tecnici, impedisce alle organizzazioni di prendere decisioni affrettate sotto la pressione di un conto alla rovescia di sei giorni.

Cosa significa per te

La maggior parte dei lettori non interagirà mai direttamente con un portale di negoziazione ransomware su Tor, ma il caso Spirals serve a ricordare come sono strutturati questi attacchi e perché la velocità conta per entrambe le parti. Se la tua organizzazione tratta dati sensibili, sia come fornitore IT che come qualsiasi azienda che dipenda da un'infrastruttura digitale, l'esposizione alle tattiche di ransomware a doppia estorsione via Tor è reale a prescindere dal settore. La difesa fondamentale non è contrastare l'uso di strumenti di anonimato da parte degli aggressori, ma assicurarsi che i propri dati e sistemi siano sufficientemente resilienti da far sì che né la cifratura né la minaccia di leak diano loro un vantaggio significativo.

Punti chiave da mettere in pratica

  • Mantenere backup offline e cifrati, testandoli regolarmente per la velocità di ripristino, non solo per la loro esistenza.
  • Segmentare le reti in modo che un singolo endpoint compromesso non possa causare la cifratura completa.
  • Investire in strumenti di rilevamento in grado di segnalare esfiltrazioni di dati insolite, non solo l'attività di cifratura.
  • Sviluppare ora un piano di risposta agli incidenti, in modo che le decisioni durante una scadenza per il riscatto non vengano prese in preda al panico.
  • Esaminare quanto rapidamente Spirals può cifrare una rete leggendo l'analisi tecnica della sua tempistica di cifratura in meno di 24 ore per capire esattamente quanto sia ristretta la finestra di risposta.