Casa
Esplora le pagine
Tipi di Ransomware

Preparati a questi tipi comuni di ransomware

6 forme di attacchi ransomware, 9 attacchi ransomware di grande risonanza e 12 varianti attuali di ransomware che dovreste conoscere.

Panoramica

Comprendere i tipi più comuni di ransomware nel 2024

Tra tutti i pericoli presenti nell’attuale panorama delle minacce, il ransomware è forse quello più temuto. I diversi tipi diattacchi ransomwarepossono variare per motivazione e meccanismo, ma hanno tutti una cosa in comune: rendono inaccessibili i dati della vittima. Per un’azienda moderna, ciò può rappresentare una minaccia esistenziale.

Scopriamo di più sulle forme più comuni di ransomware, tra cui:

Armadietti
Crypto-ransomware
Scareware
Ransomware as a Service (RaaS)
Extortionware (compresi Doxware e Leakware)
Malware wiper

Imparerai inoltre a conoscere gli attacchi di alto profilo avvenuti in passato, nonché le minacce ransomware più gravi di oggi.

Ransomware Tipi

I 6 tipi più comuni di attacchi ransomware

Quando si sente parlare di “ransomware”, solitamente si pensa alla crittografia forzata. Sebbene questo sia un elemento presente in molti degli attacchi ransomware di maggiore risonanza, non è sempre così. Ciò che definisce realmente un attacco ransomware è – come suggerisce il nome stesso – la richiesta di un pagamento per ripristinare la possibilità per la vittima di utilizzare i propri dati. Possiamo osservare questa tattica nei seguenti sei tipi comuni di attacchi ransomware.

1. Ransomware basato su criptovalute
: una delle forme più note e dannose di ransomware, il crypto-ransomware (o encryptor ransomware) crittografa forzatamente i file e i dati all’interno di un sistema, rendendo il contenuto inaccessibile a meno che la vittima non paghi il riscatto. Per aumentare la pressione, gli sviluppatori di crypto-ransomware spesso aggiungono un conto alla rovescia alla loro richiesta di riscatto, al termine del quale i file verranno cancellati. Naturalmente, anche se il riscatto viene pagato, in genere in criptovaluta, non vi è alcuna garanzia che gli autori della minaccia mantengano la promessa di fornire una chiave di decrittazione. Tra le forme più comuni di crypto-ransomware figurano Hive, REvil e Ryuk.

2. Armadietti
: anziché crittografare i file, il ransomware di tipo “locker” blocca l’accesso ai dati disabilitando le funzioni di base del computer per rendere inutilizzabili file e applicazioni. In genere non è possibile accedere al desktop, sebbene si mantengano funzionalità di mouse e tastiera sufficienti per effettuare il pagamento. Una schermata di blocco mostra la richiesta di riscatto, spesso accompagnata dal temuto conto alla rovescia. Sebbene la distruzione completa dei dati sia improbabile, il malware può diffondersi rapidamente attraverso la rete per infettare altri dispositivi all’interno dell’organizzazione. Tra le forme più comuni di ransomware di tipo “locker” figurano CryptoLocker e Locky.

3. Ransomware as a Service
( RaaS) Attualmente in forte ascesa, il RaaS porta la comodità del SaaS nel mondo della criminalità informatica. In questa forma di minaccia, l’attacco viene sferrato da un gruppo RaaS professionale che ospita e distribuisce il proprio malware, raccoglie i pagamenti dalle vittime e ripristina l’accesso (idealmente) in cambio di una percentuale del riscatto. Il RaaS offre ai criminali informatici meno esperti dal punto di vista tecnico o ai dilettanti la possibilità di sferrare un attacco ransomware altamente efficace. Per i creatori del malware utilizzato, sferrare l’attacco per conto dei propri clienti rappresenta un modo per guadagnare facilmente con meno rischi. Le bande RaaS possono utilizzare qualsiasi tipo di malware a loro scelta, ma tra le forme più comuni figurano LockBit, Black Basta e BlackMatter, il successore di DarkSide.

4. Software ricattatorio
: elevando la minaccia del ransomware tradizionale, l’extortionware va oltre la crittografia minacciando di divulgare dati proprietari o informazioni di identificazione personale (PII) sui propri bersagli a meno che non venga effettuato un pagamento. Quando tali attacchi prendono di mira una singola vittima – una versione nota anche come doxware – questa divulgazione può esporre l’individuo al rischio di umiliazione pubblica, alla rovina della carriera o delle relazioni personali, o persino a danni fisici. Quando l’obiettivo dell’autore dell’attacco si concentra più in generale su un’organizzazione nel suo complesso, ovvero nel caso del “leakware”, l’impatto potenziale è simile a quello di qualsiasi altro tipo di violazione dei dati, tra cui imbarazzo pubblico, danni alle relazioni con i clienti e commerciali, e sanzioni normative. Tra i software comunemente utilizzati in diversi tipi di attacchi di estortionware figurano DoppelPaymer, Revil ed EvilQuest.

5. Malware “Wiper”
wiper Sebbene non rientri nella definizione classica di ransomware, gli attacchi con malware wiper spesso si mascherano da ransomware, pertanto è importante comprendere le differenze tra i due. Come il ransomware, il malware wiper limita l’accesso dell’utente ai dati. Come in un attacco ransomware, gli autori delle minacce spesso esigono un pagamento, magari utilizzando un conto alla rovescia per ottenere un effetto drammatico. Ma c’è una differenza fondamentale: nella maggior parte dei casi, gli autori di un attacco con malware wiper non hanno alcuna intenzione di ripristinare l’accesso ai dati della vittima. Il loro obiettivo principale è seminare il caos distruggendo i dati in modo permanente, e qualsiasi somma di denaro ricavata nel frattempo è semplicemente un bonus per un lavoro ben fatto. Tra i software utilizzati negli attacchi con malware wiper figurano NotPetya e KillDisk.

6. Scareware
Spesso efficace contro vittime meno esperte, lo scareware è un software fasullo che sostiene di aver rilevato un virus o un altro problema sul computer e induce l’utente a pagare per risolvere il problema. Un avviso pop-up – o una valanga di essi – esorta l’utente a scaricare uno strumento o un servizio per risolvere il problema. Naturalmente, è proprio questo software scaricato che consente all’autore dell’attacco di accedere al sistema. A quel punto, alcuni tipi di scareware bloccano il computer e chiedono un riscatto, sebbene di solito non danneggino il sistema né compromettano i file. Tra le forme più comuni di scareware figurano Mac Defender e WinFixer.

attacchi ransomware

9 attacchi ransomware ben noti

Un elenco completo degli attacchi ransomware resi pubblici sarebbe troppo lungo per essere letto, e molte vittime, comprensibilmente, mantengono il silenzio (anche se le società quotate in borsa sono tenute dalla SEC a rendere noti gli attacchi informatici). Alcuni esempi di grande risonanza rendono fin troppo evidente il potenziale danno, compresi i pagamenti del riscatto e il loro impatto più ampio.

1) CryptoLocker (2013-2014) â Uno dei primi attacchi ransomware di grande portata, diffuso tramite allegati e-mail infetti e la botnet Gameover ZeuS, CryptoLocker ha estorto circa 3 milioni di dollari in pagamenti a varie piccole e medie imprese.

2) WannaCry (2017) â Questo attacco su scala globale ha colpito oltre 230.000 computer in 150 aziende. Il Servizio Sanitario Nazionale del Regno Unito ha subito perdite stimate in 92 milioni di dollari, oltre a un disagio incalcolabile per pazienti, operatori sanitari e strutture. Le perdite totali a livello mondiale hanno raggiunto i 4 miliardi di dollari.

3) Petya/NotPetya (2017) â Questa campagna di grande successo ha causato perdite per 10 miliardi di dollari a livello globale, di cui 300 milioni di dollari per la compagnia di navigazione Maersk.

4) GandCrab (2018-2019) â Prendendo di mira numerose piccole e medie imprese anziché poche vittime facoltose, GandCrab ha causato danni complessivi stimati in 2 miliardi di dollari in tutto il mondo.

5) REvil/Sodinokibi (2021) â Utilizzato in oltre un quinto degli interventi di risposta agli incidenti di IBM nel 2022, si stima che REvil abbia infettato circa 175.000 computer in tutto il mondo, con almeno 200 milioni di dollari pagati in riscatto. Secondo quanto riportato, la sola JBS Foods avrebbe pagato 11 milioni di dollari.

6) Maze (2019-2020) â La società di consulenza informatica Cognizant ha subito un duro colpo a causa della variante di ransomware Maze. L’azienda ha riportato perdite dirette legate alla Recovery comprese tra i 50 e i 70 milioni di dollari; se si aggiungono i mancati ricavi, l’impatto finanziario totale è stato stimato fino a 140 milioni di dollari.

7) Ryuk (2020) â Un attacco ai danni di Universal Health Services ha colpito 250 strutture sanitarie negli Stati Uniti. È difficile valutare l’impatto a lungo termine, ma le perdite a breve termine sono ammontate a 67 milioni di dollari.

8) DarkSide (2021) â Noto soprattutto per l’impatto che ha avuto sulla Colonial Pipeline, questo attacco RaaS ha fruttato un riscatto di 4,4 milioni di dollari â ma questa è solo una parte del quadro. Gli autori dell’attacco hanno inoltre sottratto circa 100 GB di dati dai server dell’azienda. Nel frattempo, la diffusa carenza di carburante e l’aumento dei prezzi hanno provocato ripercussioni sui mercati dei consumatori, delle imprese e finanziari.

9) ALPHV/BlackCat e Scattered Spider (2023) â Le bande di ransomware hanno collaborato in un attacco ai danni di MGM Resorts, ottenendo l’accesso iniziale tramite tecniche di ingegneria sociale su LinkedIn. Nonostante le significative interruzioni delle operazioni e dell’esperienza degli ospiti protrattesi per quasi due settimane, l’azienda si è rifiutata di pagare il riscatto â ma ha subito una perdita stimata di 100 milioni di dollari in mancati ricavi e altri danni.

Minacce ransomware

Le 12 minacce ransomware più gravi del momento

L’attuale panorama del ransomware sta diventando sempre più frammentato. Mentre molte varianti più datate e ben note potrebbero essersi evolute, aver cambiato nome o aver cessato le operazioni, continuano a emergere nuovi gruppi. Molti, se non la maggior parte, assumono la forma di RaaS e utilizzano tattiche di doppia estorsione, in cui è necessario pagare due riscatti distinti: uno per la decrittografia e l’altro per la cancellazione dei dati rubati.

Ecco una dozzina di minacce ransomware di cui dovreste essere a conoscenza in questo momento.

1) LockBit â Gestito da una banda RaaS altamente sofisticata, LockBit è una delle forme di ransomware più prolifiche e distruttive al mondo. Utilizza strumenti nativi di Windows per eludere il rilevamento, maschera il proprio file eseguibile come file .PNG ed è in grado di propagarsi autonomamente all’interno di una rete con un intervento manuale minimo. Una strategia di marketing aggressiva, un’interfaccia intuitiva e un modello di ripartizione dei profitti allettante ne hanno alimentato la crescente popolarità.

2) PLAY â Conosciuta anche come PlayCrypt, questa sofisticata minaccia informatica è emersa nel giugno 2022, concentrandosi in particolare sull’America Latina. Attualmente disponibile come RaaS, PLAY sfrutta le vulnerabilità di risorse accessibili al pubblico, quali Fortinet SSL VPN e Microsoft Exchange ProxyNotShell, e utilizza account validi compromessi per ottenere l’accesso iniziale.

3) Black Basta â Dall’inizio del 2022, Black Basta è una delle organizzazioni RaaS più attive al mondo. Il gruppo adotta una tattica di doppia estorsione: crittografa i dati delle vittime e poi minaccia di rendere pubbliche informazioni sensibili. In continua evoluzione nelle sue tattiche, Black Basta ha recentemente integrato nei propri attacchi attacchi DDoS via e-mail e il phishing vocale (vishing).

4) RansomHub â Relativamente nuovo ma in rapida crescita, RansomHub RaaS prende di mira settori infrastrutturali critici quali la sanità, la gestione delle risorse idriche, i servizi finanziari e i servizi pubblici. Tattiche comuni quali il phishing, lo sfruttamento delle vulnerabilità e il “password spraying”, utilizzate in combinazione con strumenti “EDR-killer”, hanno consentito al gruppo di violare oltre 200 vittime, tra cui la casa d’aste Christie’s e Change Healthcare.

5) Hunters International â Probabilmente una versione rinominata di Hive, Hunters International opera come un RaaS incentrato principalmente sull’esfiltrazione di dati e sull’estorsione piuttosto che sulla crittografia dei file. Scritto in Rust, linguaggio che ne potenzia la capacità di eludere il rilevamento e accelerare la crittografia, il malware è noto per la sua capacità di terminare i processi, cancellare i backup e disabilitare i meccanismi di Recovery.

6) Akira – Ennesimo servizio RaaS noto per le tattiche di doppia estorsione, Akira è rapidamente diventato una delle principali minacce globali nel campo dei ransomware. Le richieste di riscatto variano in genere da 200.000 dollari a oltre 4 milioni di dollari, con la maggior parte delle vittime nei settori dell’istruzione, della finanza, dell’industria manifatturiera e della sanità.

7) Medusa â Diffondendosi rapidamente attraverso le sue affiliate globali, il RaaS Medusa ottiene in genere l’accesso iniziale sfruttando servizi vulnerabili o tramite campagne di phishing. Una volta all’interno, termina oltre 280 servizi e processi di Windows per facilitare la crittografia. Il blog che denuncia pubblicamente le vittime, presente sia sul dark web che sul surface web, ne ha consolidato la notorietà nella comunità della sicurezza informatica.

8) BianLian â Attualmente una delle principali minacce globali nel campo del ransomware, BianLian ha recentemente spostato la propria attenzione dalla crittografia agli attacchi di tipo “extortionware”. Spesso ottenendo l’accesso tramite credenziali RDP compromesse, il gruppo utilizza strumenti open source e script da riga di comando per la raccolta di credenziali e l’individuazione dei dati, per poi esfiltrare i dati tramite FTP, Rclone o servizi di condivisione file come Mega.

9) 8Base â Apparsa inizialmente nel 2022 sotto le spoglie di penetration tester, la banda 8Base mette ora in atto schemi di doppia estorsione ai danni di piccole e medie imprese negli Stati Uniti, in Brasile e nel Regno Unito. Il suo malware disabilita i componenti di Windows Defender, elimina le copie shadow, cancella i registri degli eventi e modifica le voci del Registro di sistema per aggirare il Controllo dell’accesso utente e garantire la persistenza.

10) INC Ransomware â A partire da luglio 2023, questa operazione ottiene l’accesso tramite e-mail di spear-phishing o sfruttando servizi vulnerabili, per poi utilizzare una combinazione di strumenti commerciali e binari “living-off-the-land” (LOLBIN) per la ricognizione e il movimento laterale. Il gruppo offre cinicamente il “servizio” di rivelare i propri metodi per rendere l’ambiente della vittima più sicuro dopo il pagamento.

11) Qilin â Originariamente attivo con il nome di Agenda, Qilin adotta una strategia di doppia estorsione con richieste di riscatto che vanno da 50.000 a 800.000 dollari. Un malware avanzato, scritto sia in Golang che in Rust, ottiene l’accesso iniziale tramite e-mail di phishing e reti VPN prive di autenticazione a più fattori. Features personalizzabili, come la modifica delle estensioni dei file e la chiusura di processi specifici, rendono il servizio altamente adattabile.

12) Vanir Group â Dal suo esordio nel luglio 2024, la banda Vanir Group RaaS ha stretto legami con ex membri di altri noti gruppi di ransomware, il che le ha permesso di aumentare rapidamente il proprio livello di sofisticazione. Il gruppo è noto sia per la sua apparente professionalità che per le tattiche altamente aggressive, come l’invio di messaggi intimidatori agli amministratori delegati per conferire un senso di urgenza alle richieste di doppia estorsione.

Sia i tipi di software ransomware che le tattiche delle bande che li utilizzano sono in continua evoluzione. Non è possibile ottenere una protezione completa da una violazione, ma mantenendo un’attenzione costante alla protezione dei dati, al Backup and Recovery, nonché alle capacità di resilienza informatica, è possibile mitigare il rischio rappresentato da queste minacce. Siate vigili, siate preparati e potrete contribuire agarantire la continuità operativa a prescindere da ciò che accada.