Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Una vulnerabilità di ASUS Live Update di sette anni fa viene ancora sfruttata
Il cybercrime si evolve velocemente e l’IA diventa protagonista: le previsioni di Group-IB per il 2026
Kaspersky, le PMI italiane sono un bersaglio strutturale per il cybercrime
Il cybercrime si evolve e si adatta, integrando l’IA nel proprio arsenale: il report di ESET
L’IA al centro delle strategie di cybersecurity future: le previsioni di Crowdstrike

Royal ransomware: anatomia di una nuova minaccia

Mag 29, 2023 Dario Orlandi Approfondimenti, In evidenza, Minacce, Ransomware, RSS 0

Il team Unit 42 di Palo Alto Networks ha scoperto e analizzato le attività del gruppo Royal ransomware, di recente formazione e autore di diversi attacchi di alto profilo che hanno coinvolto infrastrutture critiche, soprattutto nel settore della sanità.

Il gruppo di criminali informatici è stato individuato nel settembre del 2022; a differenza di altri gruppi dediti al ransomware, Royal ransomware non sembra operare come un servizio, ma piuttosto come un gruppo privato composto da ex membri del gruppo Conti.

Fonte: Palo Alto Networks

Il loro modus operandi prevede l’utilizzo di SEO poisoning per diffondere l’infezione BATLOADER, che a sua volta apre la strada all’esecuzione del ransomware.

Questa pratica è stata rilevata numerose volte dalla Unit42; a differenza di altri grandi gruppi di ransomware che assumono affiliati, Royal ransomware sembra composto principalmente da un gruppo che lavora in modo occulto, noto come Team One.

Derivato da Conti

Con richieste di riscatto fino a 25 milioni di dollari in Bitcoin, Royal ransomware ha preso di mira numerosi settori di infrastrutture critiche, tra cui il manifatturiero, il sanitario e l’istruzione, colpendo un totale di 14 organizzazioni manifatturiere, otto organizzazioni sanitarie e 14 organizzazioni del settore dell’istruzione.

Fonte: Palo Alto Networks

Il gruppo utilizza un sito di data leak per estorcere pubblicamente alle vittime il riscatto e utilizza diverse tecniche come l’invio di e-mail e la stampa di note di riscatto per perseguire le vittime fino al pagamento.

Royal ransomware ha usato un account Twitter chiamato LockerRoyal (ora sospeso) per annunciare le proprie vittime, con il tag dell’account Twitter della vittima. Il gruppo ha utilizzato diversi vettori per accedere ai sistemi vulnerabili, tra cui callback phishing, SEO poisoning, protocolli desktop remoto esposti e credenziali compromesse.

Fonte: Palo Alto Networks

Il gruppo ha dimostrato di essere molto determinato nel perseguire le sue vittime e di utilizzare ogni mezzo necessario per attirare l’attenzione, con annunci pubblici e attività sui social media.

Royal ransomware ha già annunciato l’intenzione di attaccare altre 26 aziende manifatturiere nel 2023, confermando la sua natura aggressiva e la sua determinazione a continuare ad attaccare infrastrutture critiche in tutto il mondo.

Condividi l'articolo