Un gruppo ransomware che si fa chiamare WhiteArmor ha rivendicato di aver esfiltrato dati dall'azienda logistica Ryder. La rivendicazione non è stata verificata e il report di origine offre pochi dettagli. Ciononostante, l'incidente è un utile caso di studio su come funziona il furto di credenziali da parte dei ransomware con infostealer, e su cosa possono fare gli utenti comuni per evitare di diventare il primo anello di una catena simile.

Cosa sta rivendicando WhiteArmor su Ryder

Secondo un report di threat intelligence di Quasar Cybertech, WhiteArmor afferma di aver sottratto dati a Ryder. Il testo disponibile del report è limitato e non conferma quali dati siano stati eventualmente prelevati, in che quantità, né come il gruppo sia entrato. Nel materiale di origine non risulta che Ryder abbia confermato la rivendicazione.

Questa distinzione è importante. I gruppi ransomware ed estorsivi a volte pubblicano rivendicazioni che si rivelano esagerate, altre volte accurate. Finché l'azienda o una parte indipendente non verifica i dettagli, l'atteggiamento giusto è la cautela, non l'allarme.

Ciò che il report sottolinea è il messaggio difensivo. Descrive l'incidente come un promemoria dei rischi posti dalle campagne ransomware guidate da infostealer e consiglia ai team di sicurezza di monitorare i tentativi di accesso non autorizzato provenienti da credenziali compromesse. Raccomanda inoltre di rivedere i piani di risposta agli incidenti affinché le organizzazioni siano pronte a potenziali estorsioni.

Come gli infostealer alimentano l'estorsione ransomware

Un infostealer è un tipo di malware progettato per prelevare silenziosamente informazioni sensibili da un dispositivo infetto. Può includere password salvate, dati del browser e altro materiale di accesso. Di solito non si annuncia come fa il malware distruttivo, ed è in parte per questo che può passare inosservato a lungo.

Il legame con l'estorsione è diretto. Le credenziali rubate possono essere raccolte, scambiate o riutilizzate. Un attaccante che possiede un login valido per un sistema aziendale potrebbe non aver bisogno di forzare l'ingresso; può semplicemente accedere. Da lì, i dati possono essere copiati e il gruppo può poi minacciare di pubblicarli se non viene pagato. È il pattern a cui il report fa riferimento quando parla di campagne ransomware guidate da infostealer.

Due punti meritano attenzione per i non specialisti:

  • Il primo compromesso è spesso un singolo dispositivo ordinario, come il laptop di un dipendente o un computer personale usato per il lavoro.
  • Le credenziali che sembrano legittime sono difficili da distinguere dai login reali, quindi il monitoraggio deve concentrarsi su pattern insoliti, come accessi da località inattese o in orari anomali.

Cosa significa per te

Se sei un cliente, un dipendente o un partner di Ryder, nel materiale di origine non ci sono informazioni confermate su cosa sia stato prelevato, quindi non c'è ancora nulla da concludere. Le misure ragionevoli sono tenere d'occhio le comunicazioni ufficiali dell'azienda e diffidare di email, chiamate o messaggi non richiesti che menzionano Ryder, spedizioni o problemi di account. Le campagne estorsive e il phishing successivo talvolta si appoggiano alla pubblicità intorno a una presunta violazione.

Se hai un account presso qualsiasi azienda nominata in una rivendicazione non verificata, non devi farti prendere dal panico, ma è sensato:

  • Cambiare la password di quell'account se l'hai riutilizzata altrove.
  • Attivare l'autenticazione a più fattori se disponibile.
  • Rivedere l'attività di accesso recente per individuare qualcosa di insolito.

Per dipendenti e amministratori, il consiglio del report si applica direttamente: monitorare i tentativi di accesso non autorizzato che utilizzano credenziali compromesse note e assicurarsi che il piano di risposta agli incidenti copra cosa fare se arriva una richiesta estorsiva.

Come proteggere gli account personali dal furto di credenziali

Non puoi controllare come una grande azienda protegge i propri sistemi, ma puoi ridurre il valore di qualsiasi cosa un infostealer possa sottrarre dai tuoi dispositivi.

Usa una password unica per ogni account. Il riutilizzo è ciò che trasforma un singolo login rubato in molti. Un gestore di password rende tutto ciò praticabile.

Attiva l'autenticazione a più fattori. Anche quando una password viene rubata, un secondo fattore può bloccare un accesso. Dove possibile, preferisci metodi basati su app o su hardware rispetto agli SMS.

Mantieni aggiornati dispositivi e software. Gli aggiornamenti del sistema operativo, del browser e del software di sicurezza chiudono le falle su cui il malware fa affidamento.

Fai attenzione a cosa installi e su cosa clicchi. Gli infostealer arrivano comunemente tramite download malevoli, software falsi e link di phishing. Attieniti alle fonti ufficiali.

Evita di salvare login sensibili in luoghi dove non è necessario. Le password memorizzate nel browser sono un bersaglio comune, quindi considera un gestore di password dedicato con una master password robusta.

Se sospetti un'infezione, disconnettiti dalla rete, esegui una scansione di sicurezza affidabile e cambia le password da un dispositivo pulito.

In conclusione

La rivendicazione di WhiteArmor su Ryder resta non verificata e i dettagli sono scarsi. Ciò che è chiaro è la lezione più ampia: il furto di credenziali da parte dei ransomware con infostealer inizia con login ordinari, e quei login provengono spesso da dispositivi ordinari. Usa password uniche, attiva l'autenticazione a più fattori e mantieni aggiornati i tuoi dispositivi. Queste abitudini non fermeranno ogni attacco, ma rendono i tuoi account un bersaglio molto più difficile e meno redditizio.