Il fornitore di sicurezza IT Palo Alto Networks e il suo team di analisi del malware Unit42 riportano nuove scoperte su "Ransom Cartel", un ransomware come fornitore di servizi (RaaS) che è emerso per la prima volta a metà dicembre 2021. Tecnicamente, c'è una sovrapposizione con il ransomware REvil.
Questo gruppo di criminali esegue doppi attacchi ransomware e condivide diverse somiglianze e sovrapposizioni tecniche con REvil ransomware. Il ransomware REvil è scomparso pochi mesi prima che emergesse il cartello del ransomware e appena un mese dopo che 14 dei suoi sospetti membri erano stati arrestati in Russia. Quando Ransom Cartel è emerso per la prima volta, non era chiaro se si trattasse di un rebranding di REvil o di un attore di minacce indipendente che riutilizzava o imitava il codice del ransomware REvil.
Ransom-Cartel ransomware sotto analisi
Palo Alto Networks e Unit42 presentano il ransomware Ransom-Cartel e una valutazione dei possibili collegamenti tra REvil e il ransomware Ransom-Cartel nella loro ultima analisi. Nell'ottobre 2021 è diventato tranquillo intorno agli operatori di REvil. Il sito di leak sul dark web di REvil non è più disponibile. Intorno alla metà di aprile 2022, singoli ricercatori di sicurezza e media di sicurezza informatica hanno segnalato un nuovo sviluppo a REvil che potrebbe significare il ritorno della banda.
Parallelamente, il ransomware Palo Alto Networks ha osservato Cartel per la prima volta intorno a metà gennaio 2022. I ricercatori di sicurezza di MalwareHunterTeam ritengono che il gruppo sia attivo almeno da dicembre 2021. Hanno osservato la prima attività conosciuta del Ransom Cartel e hanno trovato diverse somiglianze e sovrapposizioni tecniche con il ransomware REvil. L'Unità 42 ha anche osservato gruppi di cartelli di riscatto che prendono di mira le organizzazioni, con le prime vittime conosciute che abbiamo osservato nel gennaio 2022 negli Stati Uniti e in Francia. Ransom Cartel ha preso di mira le organizzazioni nei seguenti settori verticali: istruzione, produzione, servizi pubblici ed energia.
Ransomware-as-a-Service come azienda
I criminali dietro Ransom Cartel sono attori che offrono di vendere l'accesso alla rete compromessa. La loro motivazione non è quella di lanciare attacchi informatici da soli, ma di vendere l'accesso ad altri attori delle minacce. Data la redditività del ransomware, è probabile che questi broker abbiano rapporti di lavoro con i gruppi RaaS in base all'importo che sono disposti a pagare. L'Unità 42 ha visto le prove che Ransom Cartel ha fatto affidamento su questi tipi di servizi per ottenere l'accesso iniziale per fornire ransomware.
Conclusione degli esperti di sicurezza
Ransom Cartel è una delle tante famiglie di ransomware emerse nel 2021. Mentre Ransom Cartel utilizza il doppio ricatto e alcuni degli stessi TTP spesso visti negli attacchi ransomware, questo tipo di ransomware utilizza strumenti meno comuni, ad esempio DonPAPI, non visti in precedenza in altri attacchi ransomware.
Gli operatori del Ransom Cartel avevano chiaramente accesso al codice sorgente originale del ransomware REvil. Tuttavia, non sembrano avere il motore di offuscamento che crittografa o nasconde stringhe e chiamate API. Pertanto, gli esperti di sicurezza ipotizzano che gli operatori del cartello di riscatto avessero qualche relazione con il gruppo REvil prima di iniziare la propria operazione.
Ulteriori valutazioni del gruppo e informazioni tecniche possono essere trovate online su Unit42.
Altro su PaloAltoNetworks.com
A proposito di Palo Alto Networks Palo Alto Networks, leader globale nelle soluzioni di sicurezza informatica, sta plasmando il futuro basato sul cloud con tecnologie che trasformano il modo in cui lavorano le persone e le aziende. La nostra missione è essere il partner preferito per la sicurezza informatica e proteggere il nostro stile di vita digitale. Ti aiutiamo ad affrontare le maggiori sfide di sicurezza del mondo con un'innovazione continua che sfrutta le ultime scoperte in termini di intelligenza artificiale, analisi, automazione e orchestrazione. Fornendo una piattaforma integrata e potenziando un ecosistema di partner in crescita, siamo leader nella protezione di decine di migliaia di aziende su cloud, reti e dispositivi mobili. La nostra visione è un mondo in cui ogni giorno è più sicuro di quello precedente.
Un pensiero su "Ransom Cartel ransomware-as-a-service viene da REvil?"
Commenti chiusi