Il gruppo Maze Ransomware attacca i backup su cloud

Mar 04, 2020 Marco Schiaffino Attacchi, Gestione dati, In evidenza, Intrusione, Malware, News, RSS, Scenario 0

I pirati informatici hanno cominciato a prendere di mira i servizi di backup per rubare i dati più sensibili delle aziende e cancellarli prima di attivare il ransomware.

Per mesi, gli esperti di sicurezza si sono sgolati per spiegare che l’unica vera protezione dai ransomware è quella di utilizzare un sistema di backup che ci consenta di ripristinare i dati “presi in ostaggio” dai cyber-criminali. A quanto pare, però, le cose non sono così semplici.

A spiegarlo è Lawrence Abrams, che in un articolo su Bleeping Computer, descrive il modus operandi di un gruppo di pirati conosciuti per utilizzare il ransomware Maze.

Dalla sua inchiesta, infatti, emerge addirittura un panorama in cui l’uso di backup su cloud diventa controproducente e consente ai cyber-criminali di colpire con una maggiore efficacia.

Maze è un gruppo che potremmo definire “professionale”. I criminali, infatti, non diffondono il loro ransomware attraverso campagne di attacco “a pioggia”, ma portano attacchi mirati per infiltrarsi all’interno dei sistemi aziendali e ottenere l’accesso ai servizi critici.

Nulla di nuovo: ci sono decine di gruppi hacker che agiscono in questo modo. Ciò che contraddistingue Maze, è che punta in particolare alle credenziali di accesso ai sistemi di backup su cloud dell’azienda.

Il motivo? A spiegarlo sono gli stessi pirati informatici, che in uno scambio di messaggi con il giornalista spiegano che in questo modo possono rubare tutte le informazioni sensibili con il minimo sforzo e la massima efficacia.

Quello che fanno, in pratica, è collegarsi al servizio di backup con le credenziali rubate e avviare il ripristino dei dati sui loro server. L’operazione, spiegano loro stessi, permette di copiare tutti i dati senza che i software per il rilevamento delle violazioni informatiche si accorgano di nulla.

Una procedura del genere, infatti, non viene registrata nei log dei server aziendali (che non sono coinvolti in nessun modo) e permette di “volare sotto i radar” consentendo ai Maze di ottenere tutte le informazioni memorizzate nel backup.

Non solo: gli stessi cyber-criminali definiscono questa strategia come un metodo per risparmiare tempo e fatica. Non hanno infatti bisogno di setacciare i sistemi dell’azienda per individuare le informazioni più importanti: attingono direttamente al backup dove viene conservata la copia di sicurezza.

Peggio ancora, l’accesso al sistema di backup gli permette di assestare il colpo di grazia facendo il massimo danno. I pirati, infatti, usano l’accesso al servizio per cancellare il backup prima di avviare il loro ransomware sui sistemi aziendali. In questo modo la vittima non può più ripristinare i dati e si trova alla completa mercé degli estorsori.

Come proteggersi da un attacco del genere? Oltre agli accorgimenti nella gestione dell’accesso ai servizi cloud, come la predisposizione di un sistema di autenticazione multi-fattore e il controllo a livello di geolocalizzazione o di indirizzi IP per la connessione ai servizi stessi, i suggerimenti degli esperti si concentrano sul concetto di ridondanza.

Oltre al backup su cloud, sarebbe bene prevederne anche una modalità su supporti fisici non connessi alla rete, come i classici backup su nastro o su unità disco removibili. Certo, è tutto molto più complicato e faticoso, ma è evidente che in questo caso il gioco vale la candela.

Condividi l'articolo