Il report di Sophos sottolinea che il punto di accesso primario di Matrix sono i firewall con Remote Desktop Protocol attivato
Sophos ha presentato un’accurata analisi di Matrix, una nuova tipologia di ransomware. Questo malware è stato rilevato per la prima volta nel 2016 e da allora Sophos ne ha identificati ben 96 esemplari.
Come nel caso di precedenti ransomware personalizzati, tra cui BitPaymer, Dharma e SamSam, gli hacker che attaccano i computer con Matrix si sono introdotti nelle reti aziendali sfruttando il Remote Desktop Protocol (RDP), uno strumento di accesso remoto integrato per computer Windows. Tuttavia, a differenza delle altre famiglie di ransomware, Matrix colpisce un singolo endpoint in rete, anziché diffondersi nella rete aziendale.
I SophosLabs hanno ricostruito il codice in costante evoluzione e le tecniche utilizzate dagli aggressori, così come i metodi ritorsivi utilizzati per tentare di ottenere denaro dalle vittime. I cybercriminali hanno reso i loro attacchi sempre più evoluti aggiungendo nuovi file e script al fine di diffondere operazioni e payload diversificati sulla rete.
Le richieste di ricatto sono incorporate nel codice di attacco, ma le vittime non sanno quanto dovranno pagare fino a quando non si mettono in contatto con gli aggressori. Nella maggior parte dei casi, gli hacker utilizzano un servizio di messaggistica istantanea anonimo e crittografato, chiamato bitmsg.me, ma adesso tale servizio è stato disattivato e i cyber criminali sono tornati a utilizzare normali account di posta elettronica per le loro comunicazioni.
Gli hacker inviano la loro richiesta di riscatto in cripto valuta con controvalore in dollari. Questo è insolito, dato che questo tipo di richiesta viene fatta normalmente in cripto moneta: non è ancora chiaro se la richiesta di riscatto sia un tentativo per mischiare ulteriormente le carte o semplicemente un modo per speculare sulle fluttuazioni del cambio dollaro/moneta virtuale.
Sulla base delle comunicazioni intercorse tra i SophosLabs e gli aggressori, le richieste di riscatto inizialmente erano di 2.500 dollari ma con il col passare del tempo, e forse a causa del mancato pagamento, gli hacker hanno progressivamente ridotto la cifra.
Matrix si può considerare come il “coltellino svizzero” del mondo dei ransomware, con varianti più recenti in grado di scansionare e trovare nuovi potenziali bersagli una volta inserite nella rete. Nonostante i campioni rilevati siano ancora limitati non bisogna sottovalutare questa minaccia: Matrix si sta evolvendo velocemente e gli hacker mettono a frutto quanto imparato nel corso di ogni attacco per sviluppare nuove versioni sempre più aggressive.
Il Threat Report 2019 di Sophos aveva già rilevato una crescente diffusione dei ransomware personalizzati ed è fondamentale che le aziende rimangano sempre vigili e che si impegnino nell’implementare tutte le soluzioni di sicurezza volte ad evitare questo tipo di minaccia.
In particolare, Sophos raccomanda quattro mosse fondamentali per non diventare un bersaglio di Matrix e di ransomware simili:
- Limitare l’accesso alle applicazioni di controllo remoto come Remote Desktop (RDP) e VNC;
- Effettuare scansioni complete e regolari in cerca di eventuali vulnerabilità, svolgendo periodici penetration test su tutta la rete;
- Implementare l’autenticazione multifattoriale per sistemi interni sensibili, anche per i dipendenti su LAN o VPN;
- Creare backup offline e offsite e mettere a punto un piano di disaster recovery che comprenda il ripristino di dati e sistemi per tutta l’azienda in un unico momento;
