Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Cohesity Identity Resilience: da Cohesity e Semperis una soluzione per proteggere le infrastrutture di identità aziendali
MuddyWater si evolve: attacchi più sofisticati e infrastruttura più resiliente
Un attacco supply chain ha compromesso oltre 40 pacchetti NPM
TeamItaly, presentata la nuova squadra di giovani cyber defender
CERT-AGID 6-12 settembre: i ransomware mostrano una nuova tattica di ingegneria sociale

Il ransomware Mallox ha aumentato la propria attività

Lug 24, 2023 Marina Londei Approfondimenti, Attacchi, In evidenza, Minacce, News, RSS 0

Di recente i ricercatori di Unit 42 di Palo Alto Networks hanno rilevato un importante incremento dell’attività del ransomware Mallox: stando ai dati raccolti dal team di sicurezza, nel 2023 le attività sono aumentate del 174% rispetto all’anno precedente.

Il ransomware, attivo dal giugno 2021, colpisce i server MS-SQL. Come la maggior parte dei ransomware moderni, Mallox segue il trend della doppia estorsione, ovvero sottrae i file prima di cifrarli per minacciare la vittima e costringerla a pagare il riscatto.

Gli attacchi cominciano con un attacco brute force sui server MS-SQL per ottenere l’accesso; in seguito, preso il controllo del sistema, gli attaccanti usano la PowerShell per scaricare il payload del ransomware sul server. Prima di procedere con la cifratura dei file, Mallox tenta di fermare e rimuovere tutti i servizi SQL in esecuzione e di cancellare il servizio Copia Shadow del volume, rendendo più difficile il ripristino dei file cifrati.

Pixabay

Il ransomware cerca inoltre di cancellare i log degli eventi di sistema, terminare tutti i processi di sicurezza e cancellare il registro di sistema di Raccine (se presente), un prodotto anti-ransomware.

Il campione di Mallox analizzato da Unit 42 usa l’algoritmo di cifratura ChaCha20 e aggiunge l’estensione .malox ai file cifrati; in altri casi i ricercatori hanno individuato anche le estensioni .fargo3, .exploit, .avast, .bitenc e .xollam. Dopo l’esecuzione, il ransomware si cancella dal sistema.

Sembra che il gruppo dietro il ransomware conti pochi membri, ma negli ultimi mesi ha cominciato a cercare nuovi collaboratori per perseguire un progetto di Ransomware-as-a-Service; ciò, sottolineano i ricercatori, indica che il gruppo potrebbe aumentare le proprie capacità di attacco e colpire nuove vittime.

Il recente aumento degli attacchi conferma questo trend e se il processo di reclutamento continuerà ad avere successo, Mallox diventerebbe ancora più pericoloso.

Il team di Unit42 consiglia alle aziende di configurare correttamente le proprie applicazioni sul web e aggiornare i sistemi. È importante inoltre aggiornare le password per usarne di più robuste e implementare soluzioni XDR/EDR per ispezionare e individuare processi sospetti nel sistema.

Condividi l'articolo