Questo articolo è stato pubblicato da questo sito
La nota azienda produttrice di salumi Rovagnati è stata colpita da un ransomware. A rivendicare l’attacco è stata la cybergang russa Lockbit, nota per aver già attaccato diversi comuni italiani e la rete della Sardegna nel corso degli ultimi mesi. Insieme alla rivendicazione, sul data leak site del gruppo sono apparsi alcuni sample riportanti documenti interni dell’azienda, a dimostrazione dell’effettiva riuscita dell’operazione, e una richiesta di riscatto per cancellare i dati. Adesso, come da modus operandi tipico del gruppo, Rovagnati avrà due settimane per portare a termine la trattativa o vedere i propri documenti esposti.
Il ransomware è una tipologia di malware che viene inoculato all’interno di un’organizzazione e ne cifra i dati, rendendo indisponibili i sistemi. Una volta cifrati i dati, i criminali chiedono alla vittima il pagamento di un riscatto, solitamente in criptovalute, per poterli decifrare. In caso la vittima non voglia pagare il riscatto, i criminali minacciano di pubblicare dati sensibili precedentemente esfiltrate alle infrastrutture IT dell’organizzazione attaccata.
Secondo l’ICT Security Specialist di Sababa Security Andrea Saturnino, Lockbit “è famoso per sfruttare vulnerabilità senza patch di server esposti su internet o per l’utilizzo di sistemi VPN poco protetti e password compromesse”, ma è solito utilizzare anche email di phishing, in cui si invia una mail contenente un link o un file malevolo che una volta aperti permettono all’attaccante di accedere alla rete. Una volta guadagnato accesso, Lockbit utilizza il lateral movement, che consiste in “accedere ad altre macchine aziendali”, ottenere le credenziali di un’utente amministrativo, trasferire i dati aziendali sui propri server e criptare tutti i dati presenti sulle macchine rendendoli inutilizzabili.
Saturnino non esclude che “per quanto gli attaccanti abbiano utilizzato il ransomware Lockbit 3.0 per effettuare la cifratura dei dati aziendali, c’è la possibilità che l’attacco sia stato effettuato da un altro gruppo criminale che abbia affittato il ransomware”. Lockbit permette infatti di noleggiare il proprio ransomware tramite il sistema Ransomware-as-a-Service, grazie al quale “un gruppo con poche risorse finanziarie o non in grado di sviluppare internamente un proprio ransomware, noleggia quello di un gruppo più grande per effettuare gli attacchi”. Si tratta di un tipo di attacco difficile da rilevare, e adesso Rovagnati sarà costretta a decidere come procedere.
