Il ransomware ScRansom attacca le piccole e medie imprese

ScRansom Ransomware è una delle infezioni più pericolose. È un ceppo di ransomware personalizzato sviluppato da un threat actor noto come CosmicBeetle. ScRansom Ransomware sta causando scompiglio nelle piccole e medie imprese (PMI) in Europa, Asia, Africa e Sud America.

ScRansom è emerso come un'arma sofisticata nelle mani dei criminali informatici, che cercano di sfruttare le debolezze in una vasta gamma di settori. Mentre continua a diffondersi, ScRansom Ransomware solleva preoccupazioni significative per il panorama della sicurezza informatica. Ecco uno sguardo più da vicino a cosa è ScRansom, come funziona e cosa mira a ottenere.

Informazioni sul ransomware ScRansom

ScRansom è un ceppo di ransomware relativamente nuovo, che ha sostituito una variante precedente chiamata Scarab , precedentemente distribuita da CosmicBeetle. Questo nuovo ceppo si è infiltrato e ha preso di mira aziende in diversi settori, tra cui produzione, sanità, prodotti farmaceutici, tecnologia e persino governi regionali. CosmicBeetle, noto anche con l'alias NONAME , si è affermato come un attore di spicco nel mondo della criminalità informatica, in particolare attraverso il suo set di strumenti Spacecolon per distribuire payload dannosi.

Sebbene non sia il ransomware più sofisticato sul mercato, ScRansom viene continuamente aggiornato e perfezionato. Secondo i ricercatori di sicurezza informatica, CosmicBeetle ha migliorato l'efficacia del ransomware, in particolare adottando strumenti da altri gruppi di ransomware e potenziando i suoi vettori di attacco. Nonostante il suo stato di sviluppo, ScRansom ha compromesso obiettivi interessanti e preziosi.

Cosa fanno i programmi ransomware

I programmi ransomware come ScRansom sono progettati per infettare i sistemi, crittografare i file e richiedere il pagamento di un riscatto alle vittime in cambio di chiavi di decrittazione. Spesso vengono distribuiti tramite attacchi di phishing, cracking delle password con forza bruta o sfruttando vulnerabilità note del sistema. Una volta che il ransomware è all'interno di una rete, si diffonde rapidamente, crittografando dati e file essenziali, lasciando le aziende incapaci di operare in modo efficace.

L'obiettivo di questi programmi è semplice: estorcere denaro alle vittime. Nel caso di ScRansom, dopo aver crittografato i file, gli aggressori chiedono un riscatto per ripristinare l'accesso. Se le vittime si rifiutano di pagare, spesso corrono il rischio di una perdita permanente dei dati, poiché ScRansom ha una modalità "ERASE" che rende i file irrecuperabili sovrascrivendoli con dati casuali. Ciò rende estremamente difficile per le vittime recuperare i propri dati senza la chiave di crittografia, accessibile solo dopo il pagamento del riscatto.

Cosa vuole ScRansom

L'obiettivo primario di ScRansom, come la maggior parte dei ceppi di ransomware, è il guadagno finanziario. CosmicBeetle mira a capitalizzare sui sistemi vulnerabili chiedendo riscatti in cambio di chiavi di decrittazione. Tuttavia, i creatori di ScRansom sono andati oltre tentando di sfruttare la reputazione di altri gruppi ransomware di alto profilo per fare pressione sulle vittime affinché paghino.

Una tattica degna di nota coinvolge gli strumenti e le tecniche di CosmicBeetle presi in prestito da gruppi ransomware più infami come LockBit. In alcuni casi, hanno cercato di far apparire i loro attacchi come se fossero stati eseguiti da gruppi più affermati. In questo modo, cercano di aumentare la probabilità che le vittime paghino il riscatto rapidamente, temendo di avere a che fare con aggressori più pericolosi e noti.

Un altro aspetto degno di nota della strategia di ScRansom è la sua possibile connessione con RansomHub, un altro gruppo ransomware. Le prove indicano che i payload di ScRansom e RansomHub sono stati distribuiti sugli stessi sistemi target in un breve lasso di tempo, il che suggerisce un certo livello di collaborazione o tecniche condivise tra i due gruppi.

Come ScRansom si infiltra nei sistemi

CosmicBeetle sfrutta una varietà di metodi di attacco per distribuire ScRansom, tra cui attacchi brute-force e lo sfruttamento di vulnerabilità note. Queste vulnerabilità, molte delle quali sono state divulgate pubblicamente e corrette tramite patch, sono ancora utilizzate attivamente dai criminali informatici per infiltrarsi nei sistemi che non sono stati adeguatamente protetti. Tra le vulnerabilità più comunemente sfruttate da ScRansom ci sono CVE-2017-0144, CVE-2020-1472, CVE-2021-42278, CVE-2021-42287, CVE-2022-42475 e CVE-2023-27532.

Una volta all'interno di un sistema, il ransomware utilizza diversi strumenti, come Reaper, Darkside e RealBlindingEDR, per disattivare le misure di sicurezza ed evitare il rilevamento. La capacità di ScRansom di terminare i processi di sicurezza lo rende particolarmente pericoloso, in quanto può aggirare molte delle difese che le organizzazioni hanno per proteggere i propri sistemi.

La minaccia crescente di ScRansom

L'ascesa di ScRansom evidenzia l'evoluzione in corso del ransomware come strumento di estorsione informatica. Con gli aggressori che sviluppano continuamente nuovi ceppi e migliorano quelli esistenti, le aziende di tutte le dimensioni devono rimanere vigili. Le PMI, in particolare, sono diventate un obiettivo primario a causa delle loro risorse e difese di sicurezza informatica spesso limitate.

I frequenti aggiornamenti di CosmicBeetle a ScRansom dimostrano il loro impegno nel migliorare l'efficacia del ransomware. Il gruppo ha persino sperimentato l'uso di strumenti come il builder di LockBit per migliorare le proprie capacità, sperando di emulare il successo di operazioni ransomware più grandi e note. Questo continuo perfezionamento suggerisce che ScRansom potrebbe diventare una minaccia ancora più formidabile nel prossimo futuro.

Protezione contro ScRansom e altri ransomware

Per proteggersi da ransomware come ScRansom, le aziende devono adottare misure proattive per proteggere le proprie reti. Applicare regolarmente patch alle vulnerabilità note, implementare policy di password complesse e assicurarsi che i dipendenti siano a conoscenza dei rischi di phishing sono fondamentali. Inoltre, soluzioni di sicurezza avanzate come gli strumenti Endpoint Detection and Response (EDR) possono aiutare a rilevare e bloccare il ransomware prima che possa causare danni significativi.

Con l'evoluzione del ransomware, le aziende devono adattarsi e rafforzare le proprie difese di sicurezza informatica per evitare queste minacce sempre più sofisticate. Sebbene ScRansom potrebbe non essere ancora il ceppo di ransomware più avanzato, il suo potenziale di crescita e la persistenza di CosmicBeetle non devono essere sottovalutati.