Nel 2023, i ricercatori di Group-IB hanno rilevato che il numero di attacchi ransomware in Europa è aumentato di circa il 52%, le industrie manifatturiere, il settore immobiliare e della logistica sono rimasti i principali obiettivi. Il Regno Unito, la Francia e la Germania hanno mantenuto il loro status di Paesi più frequentemente presi di mira dagli affiliati ai Ransomware-as-a-service (RaaS). Al quarto posto c’è l’Italia. Nel corso del 2023, l’Europa è stata flagellata da 108 attacchi informatici condotti da vari gruppi di hacker sponsorizzati da governi. Le istituzioni governative e militari figurano quale obiettivo principale, con 48 attacchi ai loro danni. Gli Information Stealer rappresentano un problema significativo, con 250.000 dispositivi infetti (il 23% in più rispetto al 2022) nella regione europea, i cui log sono stati resi disponibili sull’Underground Clouds of Logs (UCL), e altri 647.485 host, i cui log sono stati messi in vendita nel dark web, con un aumento del 28% rispetto all’anno precedente. Allo stesso tempo, il rapporto menziona una diminuzione del 7% nel numero di offerte di vendita di accesso iniziale a reti compromesse nella regione. Inoltre, nel 2023 sono apparse poco più di 1 milione di carte di credito compromesse emesse in Europa nei mercati sommersi dei cybercriminali – un volume identico a quello del 2022.

Europa sotto tiro

I ricercatori di Group-IB hanno scoperto che l’anno scorso la regione europea è stata il secondo teatro mondiale di minacce persistenti avanzate (APT). Complessivamente, nel 2023 Group-IB ha attribuito 523 attacchi ad attori sponsorizzati da Stati terzi in tutto il mondo. Gli attacchi alle organizzazioni europee hanno rappresentato il 21% del totale. L’Europa ha subito 108 attacchi informatici condotti da vari gruppi di hacker finanziati da governi. Tra i gruppi che hanno operato in Europa sono da annoverare Lazarus, Mustang Panda, APT41 e Sandman (tutti provenienti dall’Asia orientale), insieme a APT28, BlackEnergy, Gamaredon, Turla e Callisto (tutti provenienti dalla regione della Comunità degli Stati Indipendenti (CSI)). Gli attacchi sono stati complessi e mirati, il che sottolinea la tendenza crescente a utilizzare il cyberspazio per raggiungere obiettivi governativi.

Con 31 incidenti censiti, l’Ucraina si posiziona in cima alla lista delle vittime di attacchi che coinvolgono aggressori finanziati da Stati terzi, probabilmente un riflesso dei conflitti in corso nella regione. Gli altri quattro Paesi europei più bersagliati dai gruppi APT sono stati la Polonia (11 attacchi), la Germania, la Francia e l’Italia, con 6 attacchi ciascuno.

Gli enti governativi e militari europei sono stati al centro delle attenzioni dei gruppi APT, con 48 attacchi contro di essi. Ciò dimostra che i gruppi sponsorizzati da Stati terzi sono particolarmente interessati alle aree che influenzano la sicurezza nazionale e la politica estera.

Cronache del ransomware: crescita doppia nel 2023

Il ransomware, che ha mantenuto il suo formidabile vantaggio sia in termini di scala sia di impatto, ha continuato a rappresentare una minaccia significativa per il mercato europeo. Ancora una volta l’Europa è stata la seconda regione più colpita a livello globale dopo il Nord America, con 1.186 aziende che hanno visto le loro informazioni pubblicate su Data Leak Sites (DLS) del ransomware. Ciò si traduce in un aumento del 52% circa rispetto all’anno precedente, quando le informazioni appartenenti a “solo” 781 aziende europee colpite sono apparse sui DLS.

Nel 2023, il settore manifatturiero è risultato il più bersagliato nella regione, cubando per il 16% di tutte le aziende colpite cui dati sono stati pubblicati sui DLS. Il settore immobiliare si è classificato al secondo posto ed è stato coinvolto nell’8% di tutti gli attacchi nella regione europea. La logistica segue al terzo posto con il 5% degli attacchi.

Per quanto riguarda i gruppi di ransomware più attivi nella regione, LockBit è in testa con il 26% degli attacchi in Europa, seguito da Play con il 9% e da Black Basta con il 7%. È stato osservato un aumento significativo delle aziende con sede nel Regno Unito colpite da ransomware nel 2023., L’incremento di circa il 73% fino a 245 aziende colpite fa del Regno Unito il Paese più bersagliato in Europa per volume di dati pubblicati sui DLS. La Francia ha registrato un aumento del 45%, le aziende colpite sono 149, mentre in Germania l’aumento osservato è del 12%, con 145 aziende attaccate. L’Italia è al quarto posto con 128 aziende prese di mira dai ransomware (11%).

Mercato ribassista: rallenta l’attività dei broker

In leggera flessione le organizzazioni che favoriscono la diffusione dei ransomware vendendo accessi iniziali a reti aziendali sul dark web, noti come Initial Access Brokers (IAB). Si sono adattati alle esigenze di altri attori delle minacce nella regione europea.

Nel 2023 in Europa sono stati commercializzati 628 accessi a reti aziendali compromesse, con un calo del 7% rispetto al 2022 (674 offerte). I 5 Paesi europei più presi di mira dagli IAB sono stati Regno Unito (111), Francia (83), Spagna (70), Germania (63) e Italia (62).

Il settore dei servizi professionali è stato il più colpito nel 2023, con offerte di accesso raddoppiate rispetto al 2022, per un totale di 52 (8% di tutte le offerte riferite alla regione). Seguono il settore manifatturiero con 44 offerte (7%) quello del commercio e dello shopping con 37 offerte (6%) pubblicate dagli IAB.

Le offerte di accesso VPN sono diminuite del 50%, mentre quelle di account RDP sono aumentate del 34%. Le offerte di accesso con privilegi utente sono aumentate del 35% nel 2023. Ciò è indice di una maggiore differenziazione dell’accesso da parte delle aziende o di carenti competenze tra gli IAB.

L’IAB più attivo nella regione è stato il cybercriminale con nickname mazikeen, un nuovo attore, attivo da gennaio 2023. Il più delle volte, mazikeen ha venduto l’accesso alle reti aziendali tramite account RDP compromessi (98%). Un terzo delle vittime di mazikeen è costituito da aziende con sede in Europa. Quasi tutte le offerte contenevano informazioni su Paese, settore, privilegi di accesso, livello di accesso e sistemi antivirus utilizzati dall’azienda.

Sulla base dell’attività di mazikeen, gli esperti di Group-IB sono stati in grado di concludere che il cybercriminale parla russo e si auto-identifica come donna, cosa rara nel mondo della criminalità informatica. Sui forum, mazikeen ha dichiarato di non scansionare le reti aziendali messe in vendita e di non aver raggiunto persistenza in esse. I prezzi del broker sono considerati tra i più bassi, partono da 30 dollari e il prezzo medio è di 180,20 dollari.

Raccoon & Co. rubano cose

I log carpiti dagli infostealer sono divenuti uno degli strumenti principali per l’accesso alle reti aziendali perché sono semplici, ma molto efficaci. Gli infostealer sono un tipo di malware che raccoglie le credenziali salvate nei browser, i dettagli delle carte di credito, le informazioni dei portafogli di criptovalute, i cookie, la cronologia di navigazione e altre informazioni dai browser installati sui computer infetti.

Gli Underground Clouds of Logs (UCL) gratuiti sono una delle principali fonti di dati sugli host infetti. Gli UCL sono servizi speciali che forniscono accesso a informazioni riservate compromesse, per la maggior parte ottenute da infostealer. Su queste piattaforme vengono pubblicati quotidianamente gigabyte di log e questo volume è in continuo aumento. Nell’ultimo anno, il numero di host infetti in Europa i cui log sono stati pubblicati su UCL è aumentato del 23%, superando le 250.000 unità.

La Spagna è in testa con un’impennata del numero di host su UCL del 48% (31.665), mentre un anno fa era solo terza. Segue al secondo posto la Francia, leader nel 2022, con un numero di host su UCL in calo del 3% (25.873). La Polonia conclude la top tre dei Paesi più colpiti in Europa con un aumento del 6% (23.393). Altri due Paesi hanno registrato una crescita significativa nel 2023: la Germania (+32%, 22.966) e l’Italia (+18%, 22.309).

Rispetto al 2022, l’elenco degli Infostealer più popolari utilizzati per compromettere gli host e i cui log sono stati trovati su UCL è leggermente cambiato. Vidar, che l’anno scorso era al secondo posto, ha perso terreno rispetto allo stealer META ed è ora quarto. I tre principali infostealer che attaccano gli utenti in Europa sono quindi RedLine Stealer, META e Raccoon.

Anche i mercati sommersi sono in aumento. A differenza degli UCL, dove gran parte dei log viene distribuita gratuitamente, nell’underground si vendono da sempre log provenienti da host compromessi tramite infostealer. Nel 2023 si è registrato un aumento del 28% rispetto al 2022, e il numero totale di host legati all’Europa i cui dati sono stati messi in vendita è stato di 647.485. Per la prima volta, la Spagna risulta essere il principale obiettivo per numero di log rilevati nel dark web, 73.788 nel 2023, ovvero un aumento di oltre il 42% rispetto all’anno precedente. Seguono in questa classifica l’Italia con 72.138 log (+33%), e la Francia, con 69.026 log (+23%). Raccoon, LummaC2 e RedLine Stealer sono gli strumenti di furto di informazioni più diffusi tra i criminali informatici che prendono di mira l’intera regione.

Una marea di leaks

Nel 2023 sono stati rilevati in Europa 386 nuovi casi di data leak i cui contenuti risultano pubblicamente accessibili. Nell’ambito di questi incidenti, sono stati compromessi oltre 292.034.484 milioni di stringhe con dati di utenti. Francia, Spagna e Italia sono stati i Paesi più colpiti con rispettivamente 64, 62 e 52 casi di fuga di dati.

Gli indirizzi e-mail, i numeri di telefono e le password costituiscono il rischio più elevato perché possono essere impiegati dai cybercriminali per vari tipi di attacchi. Di tutti i dati trapelati, 140.642.816 voci contenevano indirizzi e-mail (di cui 96.590.836 univoci). Inoltre, sono state trafugate 9.784.230 di password (di cui 3.832.504 univoche) e 157.074.355 voci con numeri di telefono (di cui 95.728.584 univoci).

L’Hi-Tech Crime Trends 23/24 di Group-IB evidenzia i cambiamenti nei comportamenti dei cybercriminali, l’emergere di nuove TTP e le tendenze generali che definiscono l’evoluzione delle minacce alla sicurezza informatica. È possibile scaricare il rapporto al qui

L'articolo Group-IB fa luce sulle tendenze cyber: l’Italia è il quarto Paese più colpito dal ransomware in Europa proviene da Data Manager Online.

La penisola iberica, caratterizzata da un’economia fiorente è un mercato chiave per la crescita di Group-IB nell’Europa occidentale. L’attenzione posta dai Paesi della regione sulla digitalizzazione delle rispettive economie e sull’aumento degli investimenti nella sicurezza digitale sono in linea con l’esperienza e l’impegno di Group-IB nella lotta contro la criminalità informatica. Insieme, Spagna e Portogallo costituiscono la quarta economia dell’Unione Europea. Entrambi i Paesi sono focalizzati sull’innovazione e sulla costruzione di infrastrutture all’avanguardia in grado di favorire la crescita futura di un mercato in cui il terziario costituisce oltre il 76% delle attività commerciali. Secondo le stime di Statista.com, nel 2024 il volume d’affari del mercato spagnolo della cybersecurity dovrebbe raggiungere i 2,96 miliardi di dollari.

Allo stesso tempo, Spagna e Portogallo sono tra i Paesi più colpiti in Europa in termini di fughe di dati, e delle attività di gruppi ransomware e Initial Access Brokers (IAB). Group-IB intende portare nella regione soluzioni all’avanguardia, con Threat Intelligence, Digital Risk Protection, Attack Surface Management e Fraud Protection in primo piano. Questa linea di prodotti, consolidata all’interno dell’ecosistema Unified Risk Platform, si allinea perfettamente con l’evoluzione delle esigenze e delle preferenze del mercato locale, soprattutto in un settore attualmente in forte espansione come quello della cybersecurity.

“Il nostro obiettivo è quello di posizionare Group-IB come partner di fiducia per le istituzioni pubbliche e le imprese nell’investigazione, prevenzione e lotta al crimine informatico in tutta Europa”, dichiara Camill Cebulla, Direttore commerciale di Group-IB in Europa. “L’estensione del ruolo di Giulio Vada già Business Development Manager di Group-IB per l’Italia a Head of Sales per la regione iberica è una pietra miliare per Group-IB, che avvia un nuovo capitolo di crescita e innovazione in quest’area. La sfida principale sarà quella di adattare l’attuale modello di business di Group-IB sia al panorama economico sia alla tipologia di minacce informatiche della regione. Tuttavia, con l’avvio proattivo di sforzi volti all’integrazione e facendo leva sulla nostra presenza consolidata con esperti professionisti in loco, siamo fiduciosi in merito al successo delle nostre operazioni.”

Vada porta nel suo nuovo ruolo una grande esperienza e un approccio strategico lungimirante. Grazie alla sua profonda conoscenza delle dinamiche regionali e alla sua vasta esperienza, egli guiderà l’espansione dell’azienda in Spagna e Portogallo, concentrandosi su settori chiave in crescita come i servizi finanziari, le telecomunicazioni, l’industria manifatturiera e il settore pubblico. Pur concentrandosi sulla regione iberica, il mercato italiano rimarrà nella sua sfera di responsabilità.

La strategia commerciale dell’azienda nella regione guidata da Vada è incentrata sulla creazione di un solido ecosistema di partner, sull’affermazione di Group-IB sul mercato e sull’impegno nella creazione di relazioni strategiche con stakeholder, clienti e partner del settore pubblico e privato.

“Nonostante la frammentazione del canale IT e la concorrenza dovuta a fornitori di cybersecurity affermati e startup, credo fermamente nella strategia di investire in partnership solide e di far emergere la nostra azienda quale attore affidabile e di fiducia”, dichiara Vada. “L’azienda intende porre un’enfasi significativa sulla conformità agli standard e alle regolamentazioni vigenti in fatto di cybersecurity come parte dei suoi sforzi per destreggiarsi nel panorama normativo ed essere un partner interessante per le aziende della regione”.

Nel 2020 Group-IB ha aperto la sua centrale europea ad Amsterdam. La sede funge da hub sia per le attività commerciali europee della società sia per la ricerca sul panorama delle minacce nella regione. Come partner attivo in indagini globali e in operazioni congiunte con le forze dell’ordine, Group-IB è un partner privato di Europol dal 2015 e l’azienda è anche membro del Gruppo consultivo sulla sicurezza di Internet dell’Europol European Cybercrime Centre (EC3), creato per promuovere una più stretta collaborazione tra Europol e i suoi principali partner non appartenenti alle forze dell’ordine. Il contributo di Group-IB alla Digital Skimming Action è stato il suo più recente coinvolgimento in un’operazione anticrimine condotta da Europol, sulla base dei successi ottenuti in passato con la Carding Action 2021 e la Carding Action 2020, entrambe condotte dall’EC3 con il supporto delle forze dell’ordine nazionali negli Stati membri dell’UE e nel Regno Unito. Le due operazioni Carding Action hanno permesso di evitare danni di oltre 50 milioni di euro.

L'articolo Giulio Vada assume il ruolo di Head of Sales per la Penisola Iberica per promuovere l’espansione di Group-IB in Europa proviene da Data Manager Online.

Il gruppo, soprannominato ResumeLooters (saccheggiatori di CV) dall’unità di Threat Intelligence di Group-IB, ha infettato con successo almeno 65 siti web tra novembre e dicembre 2023 attraverso SQL injection e Cross-Site Scripting (XSS). Sebbene la maggior parte delle vittime della gang si trovi in India, Taiwan, Thailandia, Vietnam, Cina e Australia, un caso è stato registrato anche in Italia.

Quanto rilevato dimostra che ResumeLooters ha trafugato diversi database contenenti 2.079.027 indirizzi email unici e altri dati, come nomi, numeri di telefono, date di nascita, nonché informazioni su esperienze e carriera lavorativa delle persone in cerca di lavoro. I dati rubati sono stati poi messi in vendita da ResumeLooters su canali Telegram. Group-IB ha provveduto ad avvisare le organizzazioni colpite affinché possano adottare le misure necessarie per mitigare il rischio di danni ulteriori.

Attivo dall’inizio del 2023, il gruppo ResumeLooters si è avvalso di diversi framework per la conduzione di penetration test e strumenti open-source, come sqlmap, Acunetix, Beef Framework, X-Ray, Metasploit, ARL e Dirsearch. Così la banda è riuscita ad iniettare query SQL dannose in 65 siti web per la ricerca di lavoro, vendita al dettaglio e altri e a carpire dai database un totale di 2.188.444 righe, di cui 510.259 contenenti i dati degli utenti di siti di recruiting.

Oltre il 70% delle vittime note di ResumeLooters si trova nella regione Asia-Pacifico. Tuttavia, sono stati identificati siti web compromessi anche al di fuori della regione, ad esempio Brasile, USA, Turchia, Russia, Messico e Italia.

I ricercatori di Group-IB hanno individuato due account Telegram associati all’attore della minaccia. Entrambi gli account sono stati utilizzati per commercializzare i dati rubati nei gruppi Telegram di lingua cinese dedicati all’hacking e ai penetration test.

“In meno di due mesi, abbiamo identificato l’ennesimo attore della minaccia che conduce attacchi di tipo SQL injection contro aziende della regione Asia-Pacifico”, afferma Giulio Vada, Regional Sales Director Italy & Iberia presso Group-IB. “È sorprendente notare che alcuni degli attacchi SQL più datati, ma straordinariamente efficaci, siano ancora diffusi nella regione. In questo contesto spicca la tenacia di ResumeLooters, che sperimenta diversi metodi di sfruttamento delle vulnerabilità, tra cui gli attacchi XSS. Inoltre, le campagne del gruppo coprono una vasta area geografica”.

L’interesse degli attori delle minacce per la regione Asia-Pacifico è in sensibile aumento. Nel dicembre 2023, Group-IB ha pubblicato un rapporto su GambleForce, un altro gruppo che ha condotto oltre 20 attacchi con SQL injection contro siti web di gioco d’azzardo e governativi nella regione. A differenza di GambleForce, il cui operato è incentrato sull’SQL injection, ResumeLooters agisce in maniera diversificata. Oltre agli attacchi di tipo SQL injection, ha eseguito con successo script XSS su almeno quattro siti di recruiting legittimi. Creando un profilo falso di datore di lavoro, gli aggressori hanno potuto impiantare uno script dannoso su uno di questi siti e sono riusciti a carpire il codice HTML delle pagine visitate dalle vittime, compresi gli utenti con accesso amministrativo. Gli script XSS dannosi avevano anche lo scopo di visualizzare moduli di phishing su risorse legittime. Si ritiene che l’obiettivo principale degli aggressori fosse quello di rubare le credenziali degli amministratori, ma non c’è evidenza della realizzazione di questo intento.

Per proteggersi da attacchi SQLi, si consiglia alle aziende di utilizzare istruzioni SQL preparate o query parametrizzate invece di concatenare direttamente l’input dell’utente nelle query SQL. È essenziale implementare una validazione degli input e la relativa sanitizzazione su entrambi i lati, client e server. L’esecuzione regolare di valutazioni del livello di sicurezza e di revisioni del codice aiuta a identificare e ridurre le vulnerabilità che favoriscono l’injection.

L’analisi completa dell’infrastruttura, degli strumenti e delle tattiche malevole di ResumeLooters, insieme all’elenco completo degli indicatori di compromissione, è disponibile sul blog di Group-IB.

L'articolo Carriere depredate: Group-IB svela il furto di dati di ResumeLooters proviene da Data Manager Online.

Il Computer Emergency Response Team (CERT-GIB) di Group-IB ha identificato nei soli primi 10 giorni di dicembre 587 siti fasulli, accertando un aumento del 34% rispetto agli ultimi 10 giorni di novembre. In totale, a partire da novembre, il CERT-GIB ha scoperto 1539 siti di phishing che impersonano servizi di spedizione e consegna. Si presume che queste risorse di phishing siano utilizzate all’interno di una singola campagna di scam. I truffatori approfittano della corsa ai regali dell’ultima ora e inviano messaggi SMS camuffati da avvisi di consegna “urgente” o “non riuscita”. Sotto le mentite spoglie di noti corrieri, i messaggi chiedono ai destinatari di visitare siti web fraudolenti ove inserire dati personali e di pagamento. Group-IB intende continuare la sua campagna informativa rivolta ai marchi della logistica oggetto di contraffazione.

Appurare l’autenticità di tali avvisi, evitare di cliccare su link sospetti e verificare le informazioni presso fonti affidabili sono passaggi essenziali per proteggersi dalle truffe legate alle consegne.

I tentativi di truffa a mezzo notifiche di consegna hanno raggiunto il picco a dicembre, durante il periodo più frenetico dell’anno per i servizi di spedizione a fronte dell’aumento degli ordini online. Gli scammer creano quotidianamente centinaia di siti web che mimano marchi legittimi della logistica. Secondo il CERT-GIB, l’8 dicembre 2023 è il giorno in cui è stato creato il più alto numero di risorse di phishing. Questa particolare campagna coinvolge noti marchi della logistica in 53 Paesi. La maggior parte delle pagine di phishing identificate mira agli utenti in Germania (17,5%), Polonia (13,7%), Spagna (12,5%), Regno Unito (4,2%), Turchia (3,4%) e Singapore (3,1%).

Tipicamente le pagine di phishing presentano nomi e logotipi ufficiali delle aziende di spedizione imitate e simulano i rispettivi URL tramite typosquatting (variazioni tipografiche dei nomi di dominio legittimi).

Oltre all’abuso del marchio dei fornitori di servizi di consegna, questo schema viene utilizzato anche per attaccare operatori di telecomunicazioni, banche e servizi di pedaggio. Gli esperti di Group-IB notano inoltre che i criminali si avvalgono di diverse tecniche per assicurarsi che le risorse create a scopo fraudolento non vengano rilevate né dalle autorità né dai ricercatori di sicurezza informatica. Limitano ad esempio l’accesso ai siti contraffatti solo ad aree geografiche specifiche consentendolo solo dai Paesi a cui è indirizzato lo scam. I siti web che simulano aziende della logistica sono inoltre funzionali solo su dispositivi e sistemi operativi specifici. Un’altra caratteristica rimarchevole dell’attuale campagna è che le risorse contraffatte restano disponibili solo per pochi giorni, rendendo più difficoltosa l’analisi dello schema da parte degli esperti di cybersecurity e ostacolandone la rilevazione tramite soluzioni antiscam convenzionali.

“Con gli acquisti last minute e spinti dal desiderio di ricevere i pacchi in tempo, si tende ad essere meno cauti”, afferma Giulio Vada, Head of Business Development Italy & Iberia presso Group-IB. “Con i loro avvisi di consegna contraffatti gli scammer sfruttano questo senso di urgenza. L’elevato numero di pacchi inviati durante le festività facilita il compito dei truffatori che si fingono corrieri legittimi. Consigliamo agli utenti di verificare i dettagli del mittente, di esaminare con cautela i canali ufficiali data l’alta probabilità di incappare in risorse contraffatte, di considerare gli avvisi di consegna come una potenziale minaccia, di accedere direttamente ai siti web ufficiali e di informarsi sulle attuali tattiche di truffa.”

I marchi oggetto di abuso sono i più danneggiati da queste campagne: i clienti insoddisfatti reagiscono prontamente. I titolari di tali marchi devono quindi agire tempestivamente e intraprendere azioni contro gli scammer. Una rilevazione precoce è la chiave sia per minimizzare i rischi digitali in cui incorrono i marchi interessati sia per proteggere le potenziali vittime. Per essere efficaci, il monitoraggio e il blocco delle risorse contraffatte dovrebbero includere un sistema di protezione contro i rischi digitali basato sull’apprendimento automatico, alimentato con dati di intelligence tramite aggiornamenti regolari della base di conoscenze sulle infrastrutture, le tattiche e gli strumenti dei criminali informatici. La soluzione Digital Risk Protection di Group-IB, parte integrante della sua Unified Risk Platform, può individuare infrastrutture fraudolente già in una fase precoce e avviare il processo di smantellamento. Tra le caratteristiche dell’Attack Surface Management di Group-IB figura ora anche la rilevazione del typosquatting di nomi di dominio legittimi, consentendo alle aziende di esaminare le copie contraffatte dei loro domini e tutti i dettagli rilevanti.

L'articolo Uno sfacciato stratagemma: truffatori sfruttano la corsa ai regali di Natale con avvisi di consegna contraffatti proviene da Data Manager Online.

Il team di Threat Intelligence di Group-IB ha cercato di infiltrare un programma privato di Ransomware-as-a-Service (RaaS) basato su Nokoyawa e gestito da farnetwork, un attore della minaccia noto su diversi forum sotterranei come farnetworkl, jingo, jsworm, razvrat, piparkuka e farnetworkit. Farnetwork ha iniziato a reclutare attivamente affiliati per il suo programma RaaS nel febbraio 2023.

Durante il “colloquio di lavoro”, farnetwork ha rivelato una serie di dettagli preziosi non solo su Nokoyawa, ma sulla sua intera carriera, consentendo ai ricercatori di Group-IB di tracciare l’intero sviluppo di questo prolifico master mind del ransomware, di cui in precedenza avevano studiato attentamente la presenza online su forum sotterranei e le attività condotte sotto vari pseudonimi tra il 2019 e il 2023.

farnetwork è risultato coinvolto in diversi progetti di ransomware tra loro collegati, tra cui JSWORM, Nefilim (un’operazione di ransomware condotta a livello mondiale con oltre 40 vittime), Karma e Nemty. Hanno contribuito allo sviluppo del ransomware e alla gestione di programmi RaaS di terzi prima di lanciare il proprio programma RaaS basato sul ransomware Nokoyawa (utilizzato anche da ShadowSyndicate).

Ulteriori dettagli sulla carriera criminale del threat actor e sui programmi ransomware a cui ha partecipato sono disponibili sul blog di Group-IB.

Scoperte chiave

farnetwork pubblicizzava attivamente la propria ricerca di nuovi affiliati in grado di lavorare con accessi a reti compromesse e promettendo di fornire – a scopo di test – campioni di ransomware perfettamente funzionali e supporto. I candidati che desideravano unirsi alle attività ransomware di farnetwork dovevano superare un test, per il quale farnetwork metteva a disposizione le credenziali di account aziendali compromessi.

farnetwork ha altresì condiviso dettagli sulla ripartizione dei ricavi nel suo programma RaaS. Nello specifico: un affiliato che effettua con successo un attacco ransomware riceve il 65% del riscatto, il proprietario della botnet il 20%, e lo sviluppatore del ransomware il 15%. Se in altri programmi gli affiliati di solito possono trattenere fino all’85% del riscatto, la particolarità di farnetwork è che gli stessi non dovevano procurarsi l’accesso a reti compromesse in autonomia. Al contrario potevano acquisire tale accesso da farnetwork, che apparentemente intratteneva una propria botnet con accesso a diverse reti aziendali.

A tal proposito, però, l’unità di Threat Intelligence di Group-IB ha scoperto che alcune delle credenziali fornite da farnetwork erano apparse per la prima volta nell’Underground Cloud of Logs, un servizio che fornisce accesso a informazioni riservate compromesse, carpite principalmente tramite malware per il furto di informazioni. Le credenziali fornite da farnetwork, in particolare, erano state compromesse utilizzando il famigerato info stealer RedLine, non erano quindi state ottenute da una fonte esclusiva come la botnet menzionata.

Inoltre, farnetwork ha specificato espressamente sia non aver sviluppato Nokoyawa sia che agli affiliati non era consentito attaccare organizzazioni mediche e sanitarie. Durante la chat, farnetwork ha anche condiviso che il suo programma di affiliazione RaaS disponeva di una piattaforma DLS. I ricercatori di Group-IB hanno identificato due DLS collegati al ransomware Nokoyawa. Uno, operativo nel gennaio 2023, conteneva informazioni su una sola vittima e oggi non è più accessibile. L’altro DLS Nokoyawa, apparso nel maggio 2023, ha cessato le operazioni nell’ottobre 2023. A quel punto conteneva i dati di 35 vittime.

Il 19 giugno 2023, farnetwork ha annunciato che avrebbe smesso di reclutare nuovi affiliati, dichiarando di volersi ritirare dal business. Ma è davvero la fine di farnetwork?

Conclusioni

Le indagini di Group-IB mostrano che farnetwork è un attore minaccia esperto e altamente qualificato. I loro progetti precedenti hanno mietuto un gran numero di vittime e cagionato considerevoli danni finanziari alle organizzazioni. Farnetwork è diventato uno dei player più attivi del mercato RaaS. Il threat actor è risultato infatti coinvolto in almeno cinque programmi Ransomware-as-a-Service in meno di cinque anni. I ricercatori di Group-IB hanno rinvenuto altresì prove che suggeriscono che l’attore minaccia non solo ha gestito programmi RaaS, ma ha anche sviluppato ransomware in proprio.

Nonostante l’annuncio del ritiro di farnetwork e la chiusura di Nokoyawa DLS, che è l’ultimo progetto noto dell’attore, il team di Threat Intelligence di Group-IB non crede che l’attore della minaccia si fermerà. Come è successo più volte in passato, è molto probabile che assisteremo a nuovi programmi di affiliazione ransomware e a operazioni criminali su larga scala orchestrate da farnetwork. Il team di Threat Intelligence di Group-IB continuerà a monitorare l’attività dell’attore minaccia e fornirà aggiornamenti quando saranno disponibili.

Raccomandazioni

Sebbene la preferenza dei gruppi ransomware per organizzazioni operanti in settori critici sia nota, essi sono una minaccia per le aziende di qualunque comparto. Oltre ad aggiungere nuovi membri alla sua rete, il programma di affiliazione di farnetwork fornisce ai membri gli strumenti e le tecniche più recenti e finanche il ransomware stesso. Alla luce di ciò risulta essenziale che le aziende prendano immediatamente misure specifiche tutelare le loro attività e i dati critici. Group-IB raccomanda quindi quanto segue:

• Aggiungere più livelli di sicurezza: L’autenticazione a più fattori (MFA) e le soluzioni di accesso basate sull’identificazione aiutano le aziende a proteggere i loro asset critici e gli utenti ad alto rischio, rendendo più difficile per gli attaccanti avere successo. Inoltre, il backup dei dati dovrebbe essere eseguito regolarmente poiché riduce i danni e aiuta le organizzazioni a evitare la perdita di dati a seguito di attacchi ransomware.
• Monitorare le vulnerabilità: Più a lungo una vulnerabilità rimane aperta, maggiore è il rischio che venga sfruttata da criminali informatici. Le patch di sicurezza vanno quindi trattate con priorità. Le organizzazioni dovrebbero anche stabilire un processo per rivedere e applicare regolarmente le patch man mano che diventano disponibili. Oltre a ciò, occorre non ignorare nuove vulnerabilità emergenti. Un’analisi annuale dell’infrastruttura tramite audit tecnico o una valutazione del livello di sicurezza non è solo una buona abitudine, ma apporta anche un livello di protezione aggiuntivo, molto necessario. L’integrità dell’infrastruttura e la conformità a processi di igiene digitale andrebbero monitorate continuamente.
• Fermare il ransomware con la rilevazione precoce: L’analisi comportamentale delle soluzioni di Endpoint Detection and Response (EDR) consente alle aziende di identificare i primi indicatori di ransomware sugli endpoint gestiti e di avvisare tempestivamente il team preposto alla cybersecurity su attività potenzialmente sospette per ulteriori verifiche. Questo approccio proattivo rende la rilevazione, l’analisi e la risoluzione di minacce note e non note più agile.
• Formare i dipendenti: I dipendenti vanno istruiti sui rischi legati alla rete, agli asset, ai dispositivi e all’infrastruttura dell’organizzazione. Il fattore umano rimane una delle maggiori vulnerabilità nella sicurezza informatica. Le organizzazioni dovrebbero condurre programmi di formazione ed esercitazioni di sicurezza per aiutare i dipendenti a riconoscere e riportare già al primo segnale episodi di criminalità informatica (ad esempio mail di phishing).
• Non pagare mai il riscatto: Nel 97% degli attacchi ransomware, è impossibile recuperare l’accesso ai dati senza il software di decrittazione. Gli esperti di Incident Response di Group-IB sconsigliano tuttavia di affrettarsi a pagare i riscatti. Gli attori delle minacce motivati finanziariamente cercano di riscuotere somme ancora maggiori dalle organizzazioni. Se anche un attaccante restituisce i dati, un altro verrà a conoscenza della volontà di pagare, portando a un aumento del numero di tentativi di attacco alla stessa azienda. La cosa migliore da fare è contattare gli esperti di risposta agli incidenti il più rapidamente possibile.

Le organizzazioni dovrebbero utilizzare soluzioni analitiche avanzate basate sull’AI per rilevare le intrusioni in tempo reale. Il Managed XDR di Group-IB, ad esempio, in combinazione con la Threat Intelligence, aiuta le organizzazioni a comprendere le TTP (“Tactics, Techniques, Procedures”) specifiche delle APT e di altre tipologie di minacce e ad adattare di conseguenza le proprie strategie di sicurezza. Ciò consente di dotarsi di una cybersicurezza a più livelli (endpoint, e-mail, web e rete) attraverso la rilevazione e la risposta automatizzata alle minacce.

L'articolo Manager di Ransomware seriale: ecco quanto scoperto nel tentativo di infiltrare un programma RaaS proviene da Data Manager Online.

Group-IB, un leader globale nella cybersecurity con centrale europea ad Amsterdam, rende noto che Classiscam, piattaforma di Scam-as-a-Service, sta conducendo le proprie campagne in tutto il mondo anche nel 2023. In un nuovo articolo gli analisti di Group-IB spiegano dettagliatamente come questo sistema automatizzato utilizzi bot Telegram per offrire supporto nella creazione di pagine di phishing pronte all’uso che impersonano aziende in una varietà di settori, tra cui shop online, siti di annunci e operatori logistici. Queste pagine di phishing sono progettate per derubare gli utenti, carpire i dati degli strumenti di pagamento e, recentemente in alcuni casi, le credenziali di accesso bancario di ignari utenti di Internet.

Secondo quanto scoperto da Group-IB, tra il primo semestre del 2021 e il primo semestre del 2023 ben 251 marchi sono stati impersonati su pagine di phishing Classiscam in 79 Paesi. Inoltre, i modelli di pagine di phishing creati per ciascun marchio possono essere localizzati per l’uso in diversi Paesi modificando semplicemente la lingua e la valuta presenti nelle pagine fasulle. In questo modo, ad esempio, un noto marchio della logistica è stato impersonato dai “Classiscammers” che hanno preso di mira utenti in ben 31 Paesi.

Da quando, nella seconda metà del 2019 il Team di Risposta alle Emergenze Informatiche di Group-IB (CERT-GIB) ha identificato per la prima volta insieme all’unità di Protezione contro i Rischi Digitali le attività di Classiscam, sono stati scoperti 1.366 gruppi che sfruttavano questo schema su Telegram. Esaminando i canali Telegram contenenti informazioni relative a 393 organizzazioni Classiscam con oltre 38.000 membri attivi dal primo semestre del 2020 al primo semestre del 2023, Group-IB ha notato come gli attori di minaccia dietro a Classiscam abbiano lavorato, sin dall’inizio, alla formalizzazione ed espansione delle attività di truffa. A partire dal 2022, i „Classiscammer“ hanno introdotto alcune innovazioni tra cui schemi di phishing progettati per raccogliere le credenziali di accesso ai conti bancari delle vittime oltre all’impiego di Info Stealer da parte di alcuni gruppi.

In linea con la sua missione di contrasto alla cybercriminalità globale, Group-IB continuerà a condividere con le forze dell’ordine i risultati delle analisi su Classiscam condotte con la propria soluzione proprietaria di Digital Risk Protection. L’obiettivo principale di questa ricerca è sensibilizzare l’opinione pubblica sulle ultime metodologie di truffa e ridurre il numero di vittime di queste frodi.

Diffusione globale

Classiscam è apparso inizialmente in Russia, dove lo schema è stato testato prima di essere attivato su scala globale. Il programma di affiliazione alla piattaforma di Scam-as-a-Service ha guadagnato popolarità nella primavera del 2020 con l’emergere del COVID-19 e il conseguente aumento del lavoro remoto e dello shopping online.

Gli esperti di Group-IB hanno notato che lo schema dello Scam-as-a-Service è stato dapprima esportato in Europa, per poi sbarcare in altre regioni come gli Stati Uniti, la regione Asia-Pacifico (APAC) e il Medio Oriente e l’Africa (MEA). All’inizio del primo semestre del 2021 i Classiscammer avevano preso di mira gli utenti Internet in 30 Paesi. Gli esperti di Group-IB hanno rilevato che all’inizio del primo semestre del 2023, questa cifra è salita a 79. Nel contempo il numero di marchi che hanno subito abusi sul mercato globale è aumentato da 38 a 251.

Oltre il 62% delle risorse Classiscam create tra il primo semestre del 2021 e il primo semestre del 2023 osservate dagli esperti di Group-IB, avevano come obiettivo gli utenti in Europa. Il Medio Oriente e l’Africa (con il 18,2% delle risorse) e la regione Asia-Pacifico (13%) risultano altrettanto fortemente colpite.

Nel continente Europeo il Paese con il maggior numero di marchi oggetto di abuso è stata la Repubblica Ceca (5,5% del totale europeo). Altri Paesi fortemente colpiti sono stati il Regno Unito (5,5%), la Slovacchia (5,0%), la Germania (4,2%), l’Austria (3,9%) e l’Italia (3,7% come la Svizzera).

Gli utenti Internet in Germania hanno compiuto il 26,5% di tutte le transazioni registrate nelle chat di Classiscam, il valore più alto tra tutti i Paesi. Seguono Polonia (21,9%), Spagna (19,8%), Italia (13,0%) e Romania (5,5%).

L’importo medio di cui le vittime di Classiscam sono state alleggerite a livello globale è di 353 USD per transazione, tuttavia gli utenti nel Regno Unito, dove la transazione fraudolenta media cuba 865 dollari, hanno subito danni più ingenti, seguiti dagli utenti di Lussemburgo (848 dollari per transazione), Italia (774 dollari) e Danimarca (730 dollari).

Gli utenti in APAC (Asia-Pacifico) e MEA (Medio Oriente e Africa) sono risultati meno inclini a cadere nella trappola degli schemi Classiscam, sebbene queste truffe siano costate agli utenti di Singapore in media 682 dollari. In Australia questa cifra scende a 515 dollari, e in Arabia Saudita (MEA) le truffe Classiscam di successo hanno cagionato in media danni per 525 dollari alle vittime.

Cosa c’è di nuovo?

Inizialmente Classiscam era un’operazione a scopo di truffa relativamente diretta. I cybercriminali creavano annunci fasulli su siti di annunci classificati e sfruttavano tecniche di ingegneria sociale per ingannare gli utenti e far loro “acquistare” i beni o servizi falsamente pubblicizzati. Gli utenti trasferivano quindi denaro direttamente agli imbroglioni, o questi ultimi addebitavano gli importi sulla carta della vittima.

Le operazioni Classiscam si sono avvalse di una crescente automazione negli ultimi due anni. Lo schema ora utilizza bot e chat di Telegram per coordinare le operazioni e creare pagine di phishing e truffe in pochi secondi. Molti dei gruppi offrono istruzioni facili da seguire, oltre a esperti disponibili a rispondere alle domande degli altri utenti.

Nell’ultimo anno, i ricercatori di Group-IB hanno notato che i ruoli all’interno dei gruppi di scammer si stanno specializzando all’interno di gerarchie estese. Oggi le pagine di phishing di Classiscam possono includere una verifica del saldo del conto dell’utente, che gli scammer utilizzano per valutare quanto possono addebitare sulla carta della vittima, e pagine fittizie di accesso ai servizi bancari utilizzate per carpire le credenziali degli utenti. As oggi gli esperti di Group-IB hanno individuato 35 gruppi che distribuiscono link a pagine di phishing che includono moduli fasulli di accesso ai servizi bancari. In tutto i Classiscammer hanno creato risorse che impersonano le pagine di accesso di 63 banche in 14 Paesi. Tra le banche prese di mira molte sono in Belgio, Canada, Repubblica Ceca, Francia, Germania, Polonia, Singapore e Spagna.

“Classiscam non mostra segni di rallentamento e le fila dei Classiscammer continuano a crescere. Nel corso dell’ultimo anno i gruppi di scammer hanno adottato una nuova e più ampia gerarchia, e i ruoli all’interno delle organizzazioni stanno diventando sempre più specializzati. Classiscam probabilmente rimarrà una delle principali operazioni globali di truffa durante tutto il 2023 a fronte della completa automazione dello schema e della bassa barriera tecnica di accesso”, ha dichiarato Giulio Vada, Head of Business Development Italy di Group-IB.

Group-IB continuerà a monitorare le campagne globali di Classiscam, collaborando sia con le forze dell’ordine che con i marchi interessati per contribuire agli sforzi volti a debellare queste truffe. Alle aziende il cui marchio e la cui immagine vengono imitati dagli scammer si consiglia di adottare soluzioni di Digital Risk Protection in grado di monitorare, identificare e rimuovere attivamente i domini di phishing.

L'articolo Classiscam 2023: Piattaforma di Scam-as-a-Service con un giro d’affari di 64,5 milioni di dollari abusa di noti marchi in 35 Paesi europei proviene da Data Manager Online.

Il rapporto descrive dettagliatamente le operazioni di W3LL, l’attore delle minacce che tira i fili di un impero del phishing finora ampiamente sconosciuto. Le squadre di Threat Intelligence e Cyber Investigation di Group-IB hanno monitorato l’evoluzione di W3LL e scoperto che l’organizzazione ha svolto un ruolo importante nella compromissione di account aziendali di posta elettronica di Microsoft 365 negli ultimi 6 anni. L’attore delle minacce ha creato un marketplace sotterraneo, il W3LL Store, al servizio di una comunità chiusa di almeno 500 cybercriminali che potevano acquistare un kit di phishing personalizzato chiamato W3LL Panel, progettato per eludere l’autenticazione a più fattori (MFA), e altri 16 strumenti completamente personalizzati per gli attacchi atti a compromettere account e-mail aziendali (BEC). Gli investigatori di Group-IB hanno rilevato che gli strumenti di phishing di W3LL sono stati utilizzati per colpire oltre 56.000 account aziendali Microsoft 365 negli Stati Uniti, in Australia e in Europa tra ottobre 2022 e luglio 2023. Secondo una stima approssimativa di Group-IB, negli ultimi 10 mesi il giro d’affari del W3LL Store potrebbe aver raggiunto i 500.000 dollari. Tutte le informazioni su W3LL raccolte dagli investigatori informatici di Group-IB sono state condivise con le forze dell’ordine competenti.

Non parlate mai del W3LL Club

L’inizio della carriera criminale di W3LL risale al 2017, quando sono entrati sul mercato con W3LL SMTP Sender, uno strumento personalizzato per l’invio di massa di mail di spam. In seguito, W3LL ha sviluppato e iniziato a commercializzare la propria versione di un kit di phishing che mirava agli account aziendali di Microsoft 365. La crescente popolarità del comodo set di strumenti ha spinto l’ideatore ad aprire uno store sotterraneo in lingua inglese. Il W3LL Store fu avviato nel 2018. Nel tempo, la piattaforma si è evoluta in un ecosistema BEC totalmente autosufficiente che propone un’ampia gamma di servizi di phishing per criminali informatici di tutti i livelli, dai tool di phishing su misura ad articoli supplementari come elenchi di indirizzi e-mail e accessi a server compromessi.

Il W3LL Store eroga anche servizi di “supporto alla clientela” tramite un sistema di ticketing e una chat web in diretta. I criminali informatici che non hanno le competenze necessarie per utilizzare gli strumenti possono guardare tutorial video. Il W3LL Store è anche dotato di un proprio programma di incentivi per le intermediazioni (con una commissione del 10% sui clienti suggeriti) e consente a terze parti di commercializzare i propri prodotti sulla sua piattaforma (in questo caso W3LL percepisce una commissione del 30%).

Attualmente, il W3LL Store conta oltre 500 utenti attivi. Per diventare clienti del W3LL Store, i nuovi arrivati devono essere raccomandati da membri esistenti. I nuovi utenti hanno tre giorni per depositare fondi sul loro conto, pena la disattivazione dell’account. Lo sviluppatore non pubblicizza il W3LL Store e chiede ai propri clienti di astenersi dal diffondere notizie online al riguardo. Group-IB ha identificato oltre 3.800 articoli venduti tramite la piattaforma tra ottobre 2022 e luglio 2023. Al momento lo store commercializza oltre 12.000 articoli. Il fatturato del W3LL Store degli ultimi 10 mesi è stato stimato in 500.000 dollari.

Analisi dell’infrastruttura di W3LL

L’arma principale di W3LL, il W3LL Panel, può essere considerato uno dei kit di phishing più avanzati della sua categoria poiché dotato di funzionalità “adversary-in-the-middle” (AitM), API, protezione del codice sorgente e altre caratteristiche uniche. Il W3LL Panel non dispone di una varietà di pagine fasulle ed è stato progettato specificamente per compromettere gli account di Microsoft 365. Tuttavia, grazie alla sua elevata efficienza, il kit di phishing gode della fiducia di un ristretto gruppo di criminali BEC, ai quali cui W3LL propone il prodotto in abbonamento per 3 mesi a 500 dollari. I mesi successivi costano 150 dollari ciascuno. Ogni copia del W3LL Panel deve essere abilitata attraverso un meccanismo di attivazione basato su token, che impedisce la rivendita del kit o il furto del codice sorgente.

Da agosto 2023, oltre al kit di phishing W3LL Panel, lo store offre altri 16 strumenti totalmente personalizzati e perfettamente compatibili tra loro. Insieme costituiscono un setup completo per attacchi BEC. Questi strumenti includono Sender SMTP (PunnySender e W3LL Sender), uno stager di link dannosi (W3LL Redirect), uno scanner delle vulnerabilità (OKELO), uno strumento automatizzato per l’individuazione di account (CONTOOL), strumenti di ricognizione e molto altri. Gli strumenti sono disponibili su licenza e costano tra 50 e 350 dollari al mese. Inoltre, W3LL aggiorna regolarmente i suoi strumenti, aggiungendo nuove funzionalità, migliorando i meccanismi anti-rilevazione e creandone di nuovi, il che sottolinea l’importanza di tenersi aggiornati sulle più recenti modifiche delle loro TTP (tattiche, tecniche, procedure).

Phishing W3LL: Geografia delle operazioni

Le campagne di phishing condotte con gli strumenti di W3LL sono altamente persuasive e di solito fanno uso di diversi strumenti sviluppati da W3LL che costituiscono quasi l’intera architettura degli attacchi BEC, fornendo allo stesso tempo un alto grado di automazione e scalabilità. Dopo aver compromesso un obiettivo, i cybercriminali procedono alla fase di identificazione degli account, al termine della quale possono perpetrare i seguenti crimini: furto di dati, truffa con fatture falsificate, impersonificazione del proprietario dell’account o distribuzione di malware tramite l’account di posta elettronica compromesso. Le conseguenze per un’azienda che ha subito un attacco BEC possono andare ben oltre le perdite finanziarie dirette (che possono variare da migliaia di dollari a milioni) e includere la perdita di dati, danni alla reputazione, richieste di risarcimento e persino cause legali.

I ricercatori di Group-IB hanno identificato circa 850 siti web di phishing unici attribuibili a W3LL Panel negli ultimi 10 mesi. Analizzando i gruppi e le chat di Telegram controllati da W3LL, nonché l’infrastruttura legata alle campagne di phishing di W3LL, i ricercatori di Group-IB hanno stabilito che, nello stesso periodo, i cybercriminali che hanno condotto campagne BEC utilizzando gli strumenti di W3LL hanno preso di mira almeno 56.000 account aziendali di Microsoft 365 di cui oltre 8.000 (circa il 14,3%) stati compromessi. Il numero effettivo di vittime e l’impatto finale potrebbero essere significativamente più elevati. Gli strumenti di W3LL sono progettati per colpire le aziende indipendentemente dalla loro collocazione geografica. Tuttavia, la maggior parte dei target identificati sono organizzazioni negli Stati Uniti, nel Regno Unito, in Australia e in Europa (Germania, Francia, Italia, Svizzera, Olanda). I comparti più frequentemente presi di mira, come identificati da Group-IB, sono l’industria manifatturiera, IT, servizi finanziari, servizi di consulenza, assistenza sanitaria e servizi legali.

“Ciò che distingue davvero il W3LL Store e i suoi prodotti dagli altri marketplace sotterranei è il fatto che W3LL non ha solo creato uno store ma un complesso ecosistema di phishing con un set di strumenti personalizzati interamente compatibili attraverso cui cybercriminali di qualsiasi livello di competenza tecnica dispongono di quasi l’intera kill chain degli attacchi BEC”, afferma Giulio Vada, Head of Business Development Italy di Group-IB. “La crescente domanda di strumenti di phishing ha creato un prospero mercato sotterraneo, che attira un numero crescente di fornitori. Questa concorrenza stimola l’innovazione continua tra gli sviluppatori di phishing, che cercano di migliorare l’efficienza dei propri strumenti malevoli aggiungendo nuove funzionalità o approcci alle loro operazioni criminali.”

Il nuovo rapporto di Group-IB è disponibile per il download qui. Il rapporto contiene un elenco di indicatori di compromissione (IOCs) e regole YARA che possono essere utilizzate per individuare le pagine di phishing create con W3LL Panel.

L'articolo Group-IB smaschera impero occulto del phishing BEC che mira a Microsoft 365 proviene da Data Manager Online.

Group-IB, azienda di cybersecurity leader attiva su scala globale, ha individuato nel corso dell’ultimo anno 101.134 dispositivi infettati da stealer contenenti credenziali di accesso a ChatGPT. La piattaforma di Threat Intelligence di Group-IB ha rinvenuto le credenziali compromesse nei log commercializzati su piattaforme del dark web. Con 26.802 voci nel solo mese di maggio 2023, il numero di log disponibili contenenti account ChatGPT compromessi ha raggiunto il suo picco.

Gli esperti di Group-IB sottolineano che un crescente numero di persone impiega il chatbot per ottimizzare il proprio lavoro, che si tratti dello sviluppo di un software o di comunicazioni aziendali. Per impostazione predefinita, ChatGPT salva la cronologia delle richieste degli utenti e delle risposte fornite dall’intelligenza artificiale. Di conseguenza, l’accesso non autorizzato agli account ChatGPT potrebbe esporre informazioni riservate o sensibili al rischio di sfruttamento per attacchi mirati alle aziende e ai loro dipendenti. Secondo gli ultimi rilievi di Group-IB, gli account ChatGPT hanno già guadagnato una popolarità significativa presso le comunità sotterranee.

La piattaforma di Threat Intelligence di Group-IB custodisce la più grande raccolta di dati del dark web del settore, monitora in tempo reale i forum dei cybercriminali, i marketplace e i gruppi chiusi per rilevare credenziali compromesse, carte di credito rubate, nuovi campioni di malware, accessi alle reti aziendali e altre informazioni critiche che consentono alle aziende di individuare e mitigare i rischi informatici prima che incorrano in ulteriori danni. L’analisi dei marketplace sotterranei di Group-IB ha rivelato che la maggior parte dei log contenenti account ChatGPT è stata violata tramite il famigerato info stealer Raccoon. Il costante aumento delle compromissioni di account ChatGPT osservato dal team di Threat Intelligence di Group-IB nel corso dell’ultimo anno conferma la crescente popolarità del chatbot basato sull’IA.

Gli info stealer sono un tipo di malware che raccoglie credenziali, dettagli delle carte bancarie, informazioni sui portafogli di criptovalute, cookie, cronologia di navigazione e altre informazioni dai browser installati sui computer infetti, per poi inviarle all’operatore del malware. Gli stealer possono anche carpire dati da applicazioni di instant messaging e e-mail, insieme a informazioni dettagliate sul dispositivo della vittima. Gli stealer lavorano in modo non selettivo. Questo tipo di malware infetta il maggior numero possibile di computer tramite phishing o altri mezzi al fine di raccogliere il maggior numero di dati possibile. A fronte della loro semplicità ed efficiacia, gli info stealer si stanno progressivamente affermando quale fonte principale di dati personali compromessi. I log compromessi contenenti le informazioni raccolte dagli info stealer vengono commercializzati attivamente sui marketplace del dark web. I log disponibili su tali piattaforme presentano anche ulteriori dettagli, tra cui l’elenco dei domini contenuti nel log e le informazioni sull’indirizzo IP dell’host compromesso.

Analizzando queste informazioni, l’unità di Threat Intelligence di Group-IB ha identificato i Paesi e le regioni con la più alta concentrazione di dispositivi infetti da stealer i cui log contengono credenziali ChatGPT. La regione Asia-Pacifico risulta la più colpita per numero di dispositivi con account ChatGPT carpiti dagli info stealer (40,5%) tra giugno 2022 e maggio 2023.

Con 1.416 credenziali ChatGPT compromesse l’Italia si attesta quarta a livello europeo nell’elenco dei Paesi con il più elevato numero di dispositivi infetti da stealer i cui log contengono tali credenziali. La Francia risulta al primo posto in Europa e settimo nel mondo con 2.923 voci. Seguono la Spagna con 1.723 account e la Germania con 1.513.

“Molte aziende stanno integrando ChatGPT nel loro flusso operativo”, afferma Giulio Vada, Head of Business Development di Group-IB in Italia. “I dipendenti se ne avvalgono per ottimizzare codici proprietari o la propria corrispondenza, anche confidenziale. Dato che la configurazione standard di ChatGPT conserva tutte le conversazioni, l’utente serve inavvertitamente a qualsiasi attore della minaccia in possesso delle credenziali dell’account tutta una serie di informazioni sensibili sul piatto d’argento. Group-IB monitora costantemente le comunità sotterranee per identificare prontamente eventuali account compromessi.”

Per mitigare i rischi associati agli account ChatGPT compromessi, gli specialisti di Group-IB consigliano agli utenti di aggiornare regolarmente le loro password e di impiegare l’autenticazione a due fattori. Abilitando l’autenticazione a due fattori, agli utenti viene richiesto di fornire un codice di identificazione aggiuntivo, di solito inviato ai loro dispositivi mobili, prima di accedere al proprio account ChatGPT.

Avere visibilità sulle comunità del dark web consente alle organizzazioni di accertare se i loro dati sensibili o informazioni sui clienti vengono divulgate o vendute. La Threat Intelligence in tempo reale consente loro di agire in maniera proattiva per mitigare l’impatto, avvisare le persone coinvolte e rafforzare la loro postura in materia di sicurezza per prevenire ulteriori danni. Utilizzando queste tecnologie, le aziende beneficiano di una maggiore cognizione del panorama delle minacce, possono quindi proteggere i propri asset in modo proattivo e prendere decisioni informate per rafforzare la propria strategia di cybersecurity.

L'articolo Group-IB scopre oltre 100.000 account ChatGPT compromessi su Marketplace del Dark Web proviene da Data Manager Online.

Questo processo segna la chiusura della seconda fase della diversificazione regionale delle attività annunciata da Group-IB nel luglio del 2022, e comprende la modifica dell’assetto proprietario, la separazione delle unità commerciali e tecniche di Group-IB e in ultima battuta l’abbandono del mercato russo da parte del marchio. Group-IB Global Private Ltd. (Singapore) è attualmente a capo degli asset dell’azienda in Asia, Europa, Medio Oriente e Africa. Trasferendo i propri dipendenti e assumendo talenti a livello locale, Group-IB si è assicurata che i suoi team di sviluppo, threat intelligence, incident response, protezione contro i rischi digitali e altre unità essenziali dispongano di tutte le risorse necessarie per proteggere al meglio i clienti in queste regioni. A partire dal 20 aprile di quest’anno, nessuno dei dipendenti di Group-IB lavora più in Russia. Lo sviluppo di tutte le tecnologie e dell’intero portafoglio prodotti dell’azienda non ha più luogo in Russia. L’intera attività russa è stata venduta ad una entità locale che opererà con il nuovo marchio F.A.C.C.T. Il marchio Group-IB  oltre all’intero branding aziendale non sarà più operativo in Russia per la fine del 2023.

La Unified Risk Platform sviluppata da Group-IB e tutte le tecnologie rilevanti per la protezione contro attacchi mirati, violazione dei dati, frode, abuso dei marchi e phishing sono di proprietà della Group-IB Global Private Ltd che – di conseguenza – è la sola a poter utilizzare tutte le tecnologie aziendali soggette a brevetti a Singapore, in Olanda e negli Stati Uniti D’America.

In linea con la propria politica di tolleranza zero contro il cybercrimine, Group-IB partecipa regolarmente ad operazioni contro il crimine digitale e condivide con le forze dell’ordine di tutto il mondo dati di intelligence sulle infrastrutture dei cybercriminali, sui loro metodi e strumenti. “Dal 2003 siamo impegnati nella lotta alla criminalità informatica”, afferma Giulio Vada, Regional Sales Manager Italia di Group-IB. “Abbiamo aperto nuovi centri di ricerca in diverse regioni del mondo e abbiamo sviluppato tecnologie in grado di prevenire i crimini digitali prima ancora che abbiano luogo. Quando giungiamo in una nuova regione o in un nuovo Paese abbiamo un solo obiettivo – assicurare che i governi locali, le aziende e le persone si sentano più sicuri nell’universo digitale. Lasciandosi la Russia alle spalle, d’ora in poi Group-IB si occuperà esclusivamente dei mercati non russi.”

In base all’accordo, dopo aver ceduto la sua quota (10%) delle azioni dell’azienda russa, il co-fondatore e CEO Dmitry Volkov non ne è più azionista. Allo stesso tempo, il fondatore di Group-IB Ilya Sachkov, tuttora in custodia, ha venduto la sua quota (37.5%) della Group-IB Global Private Ltd di Singapore a membri della direzione della società. La valutazione utilizzata in entrambe le transazioni è riservata.

Group-IB lavora all’implementazione della sua strategia a lungo termine che prevede la realizzazione di una rete globale di Centri di Resistenza al Crimine Digitale (DCRC) indipendenti, ognuno dei quali dotato delle competenze necessarie per valutare le specificità locali e il panorama delle minacce della regione in cui sono dislocati. Al momento Group-IB dispone di tre DCRC – a Singapore, Dubai, e Amsterdam. I dati dei clienti sono trattati da Group-IB conformemente alle normative internazionali vigenti presso i data centre dell’azienda distribuiti in tutto il mondo in aree strategiche. La sede europea di Group-IB ad Amsterdam funge da hub centrale per le operazioni dell’azienda in Europa dal 2020. Il Centro europeo di resistenza al crimine digitale dispone di ricercatori di alto profilo incaricati delle indagini sui crimini cyber, della risposta agli incidenti, di monitorare le minacce locali e di valutare i trend dell’area a supporto della clientela e dello sviluppo della rete di partner in Italia, Olanda, Francia, Germania, Polonia e Spagna.

Pietre miliari

Group-IB fu fondata da Ilya Sachkov e Dmitry Volkov nel 2003. Inizialmente l’azienda aveva il compito di indagare sui crimini digitali, di reagire agli incidenti e di condurre analisi forensi digitali. Nel 2012, Group-IB ha iniziato a sviluppare un’intera linea di soluzioni avanzate per fornire alle aziende tutti gli strumenti di cui necessitano per proteggersi contro attacchi mirati sofisticati, phishing, frodi, scam e violazioni della proprietà intellettuale. Sin dal primo giorno, Group-IB è stata guidata dalla sua missione, che ha reso l’azienda la forza più influente nella lotta globale contro il crimine informatico. Nel 2015 Group-IB è stata nominata partner ufficiale di Europol e ha iniziato a partecipare all’Advisor Group on Internet Security dell’European Cybercrime Centre (EC3). Due anni dopo, nel 2017, Group-IB ha firmato un accordo con INTERPOL diventando partner ufficiale del settore privato dell’organizzazione internazionale per la lotta al crimine e ha partecipato a diverse operazioni congiunte volte a catturare i criminali informatici in tutto il mondo. Nel 2019 l’azienda ha aperto la sua sede globale a Singapore. Nel 2021, nel corso dell’operazione no-vax free, il team europeo per le indagini cyber di Group-IB ha assistito la Guardia di Finanza (GdF) italiana nell’identificazione di truffatori che commerciavano green pass fasulli. Nel 2022, Group-IB è diventato fornitore di servizi di intelligence sulle minacce per il CERTFin, il CERT finanziario italiano, nota organizzazione pubblico-privata incaricata di incrementare la capacità di gestione del rischio informatico e la resilienza del sistema finanziario italiano. Group-IB è stata infine inclusa in un elenco stilato dall’emittente statale britannica BBC intitolato “33 idee che cambieranno il mondo“. I prodotti di Group-IB sono riconosciuti da Gartner, Forrester, Frost & Sullivan e da altre importanti società di consulenza indipendenti.

L'articolo Group-IB si lascia la Russia alle spalle per focalizzarsi sulla sua rete globale di resistenza al crimine digitale proviene da Data Manager Online.

Group-IB, società globale di sicurezza informatica specializzata nell’indagine e nella prevenzione dei crimini informatici, ha pubblicato il suo rapporto annuale sulle principali minacce informatiche a livello globale e le sue previsioni per i diversi comparti economici su scala mondiale.

Ransomware

Il ransomware è la principale minaccia cyber contro aziende e  organizzazioni in tutto il mondo.

Nell’arco di un anno, dal secondo semestre 2021 al primo semestre 2022, 852 aziende europee sono state vittima della divulgazione di dati confidenziali su piattaforme dedicate (DLS* – dedicated leak sites) a posteriore di attacchi condotti con successo da gang del ransomware.

Con i dati di 124 aziende italiane pubblicati su DLS (ben il 36% in più rispetto alle 89 registrate nel periodo precedente), l’Italia è stato il terzo Paese più colpito in Europa e il quinto a livello globale.

Le 124 organizzazioni italiane, le cui informazioni riservate sono state divulgate sulle piattaforme DLS, fanno capo primariamente ai settori manifatturiero (26), alimenti e bevande (9), trasporti (9), seguiti a ruota dai comparti beni di consumo (8), enti governativi e militari (7), sanità (5), immobiliare (4), scienze e ingegneria (4) e IT (3).

Nel periodo osservato i gruppi ransomware responsabili del maggior numero di attacchi contro l’Italia e successive divulgazioni sono stati Lockbit (responsabile della diffusione dei dati di 60 aziende), Conti (20), BlackCat (6), BlackByte (5) e Grief (5).

*Un DLS è una piattaforma online creata da specifici gruppi ransomware su cui vengono caricati dati e file confidenziali carpiti dalla rete delle vittime, qualora queste decidano o non siano in grado di pagare il riscatto richiesto.

I cybercriminali impiegano i DLS quale strumento per la cosiddetta tecnica della doppia estorsione, dove l’attore della minaccia non solo cifra l’intera rete ma si appropria previamente dei dati sensibili e minaccia di pubblicarli online. L’uso dei DLS è uno dei principali fattori dell’ascesa dei gruppi ransomware. Queste piattaforme sono di norma ospitate nel dark web. Alcuni gruppi di hacker invece le ospitano nell’Internet pubblico nella speranza di convincere la vittima – consapevole che i suoi documenti riservati sarebbero così di pubblico dominio – a pagare il riscatto.

Il reale numero di vittime del ransomware è chiaramente molto più elevato del numero di aziende i cui dati sono stati pubblicati online. Come evidenziato nel rapporto di Group-IB, peraltro, molti attacchi passano sotto i radar perché la maggior parte delle aziende opta per il pagamento del riscatto.

L’analisi del programma di affiliazione ransomware promosso da Hive (https://www.group-ib.com/blog/hive/) condotta da Group-IB ha evidenziato, ad esempio, che la parte della piattaforma DLS di Hive esposta al pubblico conteneva le informazioni di solo circa il 10% delle vittime.

Initial Access Brokers (IABs)

I broker di accessi a reti compromesse (IABs) sono una delle colonne portanti della crescita fenomenale del ransomware a livello globale. Negli ultimi anni, gli operatori ransomware hanno acquistato accessi a reti compromesse sempre più di frequente sul dark web. Questo approccio consente loro di saltare le prime fasi di un attacco e di identificare più rapidamente nuove vittime idonee.

Tra il secondo semestre 2021 e il primo semestre 2022 il dipartimento di Threat Intelligence di Group-IB ha analizzato alcune pubblicità su forum sommersi rilevando un cospicuo aumento delle vendite di accessi a reti aziendali compromesse. Sono state registrate un totale di 2.348 istanze, ovvero due volte il numero di quelle rilevate nel periodo precedente (1.099 offerte di accesso).

In linea con il trend globale, il prezzo totale degli accessi a reti di aziende europee proposti su forum underground è aumentato “solo” del 92% a $1.130.498, a dispetto di incremento ben superiore del numero di accessi commercializzati. In Europa infatti tale numero è più che raddoppiato, passando da 260 nel periodo precedente a 620 tra il secondo semestre 2021 e il primo del 2022, cosa che spiega anche il crescente numero di incidenti ransomware nella regione.

Con offerte di accesso iniziale alle reti di 63 aziende locali rilevate su forum del dark web tra il secondo semestre 2021 e il primo del 2022 (+ 85% rispetto ai 34 del periodo precedente) l’Italia è al quinto posto in Europa.

Tra le vittime italiane degli operatori IAB figurano organizzazioni del comparto manifatturiero, e-commerce, trasporti, istruzione, energia, immobiliare, software, governo, IT e risorse naturali.

Gli attori della minaccia impiegano spesso le credenziali di account VPN e RDP** per penetrare nella rete dell’azienda a cui mirano. I ricercatori di Group-IB ritengono che VPN, RDP, e Citrix continueranno ad essere le primarie tipologie di accesso commercializzate.

**RDP, o Remote Desktop Protocol, è un protocollo impiegato per l’accesso remoto ad un computer. La maggior parte dei cybercriminali acquistano un accesso  RDP per nascondere le tracce della loro attività ai sistemi di sicurezza. Contemporaneamente, RDP può essere anche il primo passo di un vero e proprio attacco mirato ad una azienda qualora il computer a cui si accede sia connesso a una o più reti aziendali.

Ladri di informazioni: gli infostealer

Uno dei più singolari sviluppi del panorama globale delle minacce è la crescente popolarità degli information stealer, ovvero malware che sottraggono dettagli personali dai metadati del browser degli utenti. Questi stealer possono carpire credenziali, dettagli sulle carte bancarie, cookies, impronte nel browser e molto altro. Un recente attacco contro Uber è stato condotto con credenziali fornite proprio da un infostealer.

Group-IB ha rilevato che tra il primo luglio 2021 e il 30 giugno 2022 sono stati messi in commercio oltre  96 millioni di log di infostealer, con dati compromessi provenienti per lo più da utenti statunitensi (80%), seguiti da utenti britannici (5.4%), indiani (4.6%), indonesiani (2.4%) e brasiliani (2%).

Analizzando i log degli infostealer offerti nell’underground, nel periodo tra il secondo semestre 2021 e il primo del 2022 il team di Threat Intelligence di Group-IB ha rilevato 580.301 account compromessi di utenti italiani, di cui numerosi carpiti persino da più stealer. Con 576.718 account carpiti, RedLine Stealer è stato l’infostealer di account italiani più popolare, seguito da AZORult (68.729) e iDex Stealer (5.853).

Giulio Vada, Head of Business Development Italy di Group-IB: “Il nostro rapporto sulle tendenze dei crimini hi-tech conferma nuovamente che i broker di accesso iniziale (IAB) sono ormai una forza sotterranea seria e organizzata che svolge un ruolo primario nell’esacerbazione del cybercrimine. Gli IAB stanno crescendo in maniera significativa in Europa e l’Italia non fa eccezione. Insieme agli infostealer, sono una minaccia critica da tenere sotto controllo nel 2023, anno in cui ci aspettiamo anche di vedere l’ascesa di piattaforme specializzate nella commercializzazione di log di infostealer contenenti anche i dati di grandi aziende. In questo contesto, assicurare che le misure di protezione contro i cyberattacchi siano affidabili e sicure quest’anno richiederà una raccolta e un monitoraggio delle offerte di accesso alle reti compromesse o di credenziali compromesse degli impiegati ancora più mirati”.

I rapporti annuali che Group-IB pubblica ormai dal 2012 integrano i dati raccolti attraverso le indagini condotte dall’azienda con i risultati delle attività di risposta agli incidenti informatici in tutto il mondo. Il rapporto Hi-Tech Crime Trends di Group-IB consente ai tecnici specializzati, tra cui СISO, team SOC e DFIR, ricercatori e analisti di malware, nonché esperti di Threat Hunting, di analizzare la rilevanza delle politiche di cybersecurity, adeguare le difese dei propri sistemi e accrescere la propria capacità di  contrastare le minacce informatiche più rilevanti per il proprio settore. Grazie all’impiego di strumenti unici nel loro genere per circoscrivere l’infrastruttura dei cybercriminali e alle ricerche approfondite condotte dai propri team di sicurezza informatica in tutto il mondo, gli esperti di Group-IB identificano e confermano annualmente modelli comuni che danno luogo ad un quadro completo dello sviluppo delle minacce informatiche nel mondo. Ciò costituisce la base delle accurate previsioni incluse nel rapporto, che aiutano le aziende di tutto il mondo a costruire strategie di sicurezza informatica efficaci basate su minacce rilevanti.

L'articolo Le minacce all’economia italiana – Group-IB Hi-Tech Crime Trends 2022/2023 proviene da Data Manager Online.