Ransomware a doppia estorsione: Cosa sono e come difendersi

Estimated reading time: 8 minuti

Cercando di alzare la posta in gioco e guadagnare più soldi con il ransomware, i criminali informatici utilizzano sempre più spesso una tattica nota come ransomware a doppia estorsione. Non solo criptano i dati e chiedono un riscatto alla vittima per riottenere l’accesso. Minacciano anche di caricarli online se le loro condizioni non vengono soddisfatte.

Facciamo un passo indietro, il ransomware è uno dei tipi più comuni di minaccia informatica. Prende di mira un’azienda ogni 14 secondi ed è costato $11,5 miliardi solo nel 2019. In genere, gli hacker che effettuano questi attacchi violano un sistema per rubare i dati e cancellarli se la vittima non paga un riscatto.

Perché gli hacker prediligono i ransomware a doppia estorsione?

L’ascesa del ransomware a doppia estorsione dimostra che i criminali informatici espandono costantemente il loro arsenale. Paolo Passeri, direttore di cyber intelligence della ditta di software Netskope, dice che questi attacchi sono diventati popolari perché sono il modo più semplice per gli hacker di guadagnare.

Dice Passeri: “Con gli attacchi ransomware a doppia estorsione, anche se è disponibile un backup, gli aggressori possono mettere più pressione sulla vittima per pagare il riscatto. La maggiore pressione deriva dalle potenziali gravi conseguenze di una fuga di dati, per esempio danni economici e di reputazione. Gruppi come REvil sono ancora più creativi: non fanno semplicemente trapelare i dati, li monetizzano mettendoli all’asta sul dark web e mettendo ancora più pressione sulle loro vittime.”

Quando conducono un attacco ransomware a doppia estorsione, gli hacker cominciano a dedicare più tempo alla strategia generale. Passeri avverte che i truffatori non stanno più adottando un approccio opportunistico. Stanno, invece, selezionando attentamente il loro obiettivo e il metodo di attacco per aumentare il denaro che guadagnano dai riscatti. Spiega: “gli attori della minaccia selezionano le loro vittime, scegliendo organizzazioni i cui affari possono essere colpiti da una fuga di dati“.

Lo spear phishing è il mezzo principale per distribuire ransomware a doppia estorsione, ma i criminali informatici stanno anche sfruttando le vulnerabilità nei dispositivi on-premises come i concentratori VPN. “Negli ultimi mesi, quasi tutte le principali tecnologie VPN hanno subito gravi vulnerabilità che sono state sfruttate per attacchi simili”, dice Passeri.

“Questo è spiacevole, data la situazione attuale con telelavoro forzato dove queste tecnologie di accesso remoto giocano un ruolo cruciale nel garantire la continuità aziendale durante il Covid-19. Questi sistemi sono direttamente esposti a Internet, quindi gli attori della minaccia possono scansionarli e successivamente sfruttare qualsiasi vulnerabilità scoperta”.

Rischi del Doxing: la diffusione dei dati privati

Il ransomware a doppia estorsione fornisce ai criminali informatici maggiori opportunità, permettendo loro di estorcere due volte alle vittime. Possono chiedere un primo pagamento per decriptare i file e un secondo per non renderli pubblici.

Questa tecnica, conosciuta anche come doxing, è stata usata da un numero crescente di gruppi ransomware nell’ultimo anno. Le conseguenze del doxing sono più gravi per la vittima, quindi spesso si abbassano alle richieste. Questo significa più soldi nelle tasche dei criminali informatici per finanziare nuovi ceppi di ransomware e sostenere altre attività criminali.

I miglioramenti nel malware e gli incentivi finanziari per gli hacker hanno portato alla crescita degli attacchi ransomware a doppia estorsione. In passato il ransomware criptava i file e gli hacker rubavano i dati, ma era raro fare entrambe le cose.

Ora abbiamo bot che possono scansionare il web alla ricerca di dati non protetti, rubarli, criptarli o cancellarli e lasciare una nota di riscatto per il proprietario, il tutto in un unico attacco automatizzato. L’hacker può poi riscuotere un riscatto per i dati e vendere i dati ad altri criminali, facendo il doppio gioco con il minimo sforzo.

Una tattica aggressiva

Nell’ultimo anno c’è stato un afflusso di attacchi ransomware a doppia estorsione. Gli hacker hanno guadagnato trazione alla fine del 2019 quando dei gruppi di alto profilo come Maze hanno iniziato a sfruttare aggressivamente questa tattica.

In questi casi particolarmente aggressivi, l’hacker estraeva una copia dei dati prima di criptarli. In questo modo l’aggressore non solo impedisce alla vittima di accedere ai suoi dati, ma tiene anche una copia dei dati per sé.

Per rivendicare la responsabilità e fare pressione sulla vittima durante il processo di negoziazione, l’attaccante spesso rilasciava piccole porzioni di dati online. Se le trattative si bloccano o falliscono, l’aggressore pubblica tutti i dati sottratti o li vende a terzi. Questo crea una significativa violazione nei confronti della vittima.

Cosa fare

Per difendersi da questi attacchi, ci sono diversi passi che le aziende dovrebbero fare. Per esempio, mantenere i sistemi aggiornati per garantire che le vulnerabilità conosciute siano risolte. È anche imperativo che le organizzazioni abbiano un approccio di sicurezza a più livelli che includa l’uso di strumenti di prevenzione della perdita di dati. Un esempio è il servizio offerto da SOD Acronis Cyber Protect Cloud. Il sistema può fermare l’estrazione o la cifratura dei dati che dà inizio a questi attacchi di doppia estorsione.

Ma cosa possono fare le organizzazioni se non riescono a mitigare con successo uno di questi attacchi?

Le organizzazioni dovrebbero cercare di includere un’ultima linea di difesa che isoli e fermi immediatamente la crittografia illegittima. Questo mitiga il rischio quando la sicurezza tradizionale basata sulla prevenzione è stata compromessa o bypassata. Anche i processi di backup robusti, comprese le copie off-line (air-gap backup), dovrebbero essere presi in considerazione per rendere più difficile ai criminali criptare o disabilitare gli archivi di dati critici.

Conseguenze

Se un’organizzazione diventa vittima di un attacco ransomware a doppia estorsione, ci sono spesso conseguenze disastrose. I gruppi di criminali sono sempre più sfacciati, anche i nomi distopici come Maze, Netwalker e REvil, sono un indice di questa inclinazione. Il loro orgoglio li porta a mostrare i dati esfiltrati come trofei online e sponsorizzare persino concorsi clandestini di hacking per mostrare il loro malware. In una sorta di cyber show-off.

Per le vittime le conseguenze possono essere devastanti. Travelex, un servizio di cambio valuta, è andato in amministrazione controllata con la perdita di 1.300 posti di lavoro nel Regno Unito a seguito di un attacco ransomware. Durante il colpo, la cyber gang REvil ha chiesto all’azienda di pagare 6 milioni di dollari in 48 ore. L’azienda ha dovuto fare i conti con la minaccia di pubblicazione dei dati della carta di credito, dei numeri di assicurazione nazionale e delle date di nascita dei suoi clienti.

Chiaramente è fondamentale che le aziende facciano tutto il possibile per identificare e fermare questi attacchi prima che causino danni maggiori. Prevenire questi attacchi in modo proattivo è molto meglio che mitigarne gli effetti, con tutti i costi finanziari e i danni alla reputazione che comportano.

La maggior parte degli aggressori ottiene l’accesso attraverso un errore umano. Per questo, insieme a misure tecniche come la gestione interna dell’accesso ai dati e il back-up, l’addestramento del personale e la vigilanza sono elementi chiave nelle difese di un’organizzazione.

Le vittime hanno essenzialmente due scelte, entrambe costose: se si rifiutano di pagare, affrontano una catastrofica violazione di dati con esposizione a dolorose multe normative e richieste civili; se pagano il riscatto, non hanno comunque alcuna garanzia di restituzione dei dati.

Gestire i ransomware a doppia estorsione

Anche se essere colpiti da un ransomware può infliggere un duro colpo a qualsiasi azienda, le compagnie dovrebbero essere prudenti quando viene chiesto loro di pagare un riscatto. Farlo potrebbe comportare rischi ancora maggiori. Non c’è certezza che questi hacker non chiederanno altri soldi senza rilasciare comunque i dati.

È importante per le aziende mettere in sicurezza le loro reti e condurre test di simulazione per mitigare la minaccia del ransomware. Tali attacchi simulati aiuteranno ad evidenziare le vulnerabilità all’interno dell’organizzazione senza il rischio di affrontare seri problemi finanziari e di dover rispondere a domande molto difficili da parte dei clienti.

Implementare forti misure di resilienza è il modo migliore per prevenire il ransomware a doppia estorsione. Il ransomware è spesso un’infezione secondaria. Gli attori delle minacce cercano di sfruttare le vulnerabilità conosciute, in particolare in relazione ai protocolli di accesso remoto e alle applicazioni che sono fondamentali per lavorare da casa.

Critico per mitigare tutto ciò, è assicurarsi che le vulnerabilità vengano patchate in modo tempestivo e che i log dei dati di rete vengano monitorati per rilevare qualsiasi attività insolita o esfiltrazione di dati. C’è quindi una potenziale finestra di opportunità per rimediare a qualsiasi infezione primaria (che precede il ransomware) e quindi impedire che si sviluppi il processo per la richiesta di riscatto.

Educazione

Le organizzazioni devono educare il personale sui rischi del ransomware a doppia estorsione e su come viene eseguito. Anche gli utenti individuali possono essere di grande aiuto essendo consapevoli del potenziale degli allegati non sicuri. Dovrebbero, inoltre, essere prudenti nel cliccare qualsiasi link e-mail ricevuto in qualsiasi comunicazione, in particolare con la recente ricomparsa di Emotet, un malware noto.

Ci sono due strategie di difesa per affrontare il ransomware a doppia estorsione. Innanzi tutto, backup robusti, per assicurarsi di non avere le mani legate se gli hacker ottengono il controllo dei dati. Poi, la crittografia, per assicurarsi che se un aggressore minaccia di esporre i dati, anche questo sia protetto.

Questi approcci dovrebbero poi essere incorporati in una strategia più ampia: un attento monitoraggio della rete che potrebbe permettere di tagliare fuori gli aggressori, e la promozione dell’educazione informatica dei dipendenti a non cadere vittima di attacchi di phishing che spesso sono la causa principale di un incidente ransomware.

La minaccia del ransomware a doppia estorsione è innegabile, con i criminali informatici che prendono attentamente di mira e creano questi attacchi nel tentativo di aumentare le dimensioni dei riscatti.

Spesso le organizzazioni pensano di non avere altra scelta che pagare il riscatto per evitare la fuga di dati sensibili. Ma in realtà si tratta di un gioco di roulette russa e le informazioni rubate possono ancora farsi strada online. Quindi l’attenzione deve concentrarsi sulla prevenzione e sulla mitigazione del rischio.