Aggiornamenti recenti Aprile 26th, 2024 9:14 AM
Lug 24, 2023 Marina Londei Approfondimenti, Attacchi, In evidenza, Minacce, News, RSS 0
Di recente i ricercatori di Unit 42 di Palo Alto Networks hanno rilevato un importante incremento dell’attività del ransomware Mallox: stando ai dati raccolti dal team di sicurezza, nel 2023 le attività sono aumentate del 174% rispetto all’anno precedente.
Il ransomware, attivo dal giugno 2021, colpisce i server MS-SQL. Come la maggior parte dei ransomware moderni, Mallox segue il trend della doppia estorsione, ovvero sottrae i file prima di cifrarli per minacciare la vittima e costringerla a pagare il riscatto.
Gli attacchi cominciano con un attacco brute force sui server MS-SQL per ottenere l’accesso; in seguito, preso il controllo del sistema, gli attaccanti usano la PowerShell per scaricare il payload del ransomware sul server. Prima di procedere con la cifratura dei file, Mallox tenta di fermare e rimuovere tutti i servizi SQL in esecuzione e di cancellare il servizio Copia Shadow del volume, rendendo più difficile il ripristino dei file cifrati.
Il ransomware cerca inoltre di cancellare i log degli eventi di sistema, terminare tutti i processi di sicurezza e cancellare il registro di sistema di Raccine (se presente), un prodotto anti-ransomware.
Il campione di Mallox analizzato da Unit 42 usa l’algoritmo di cifratura ChaCha20 e aggiunge l’estensione .malox ai file cifrati; in altri casi i ricercatori hanno individuato anche le estensioni .fargo3, .exploit, .avast, .bitenc e .xollam. Dopo l’esecuzione, il ransomware si cancella dal sistema.
Sembra che il gruppo dietro il ransomware conti pochi membri, ma negli ultimi mesi ha cominciato a cercare nuovi collaboratori per perseguire un progetto di Ransomware-as-a-Service; ciò, sottolineano i ricercatori, indica che il gruppo potrebbe aumentare le proprie capacità di attacco e colpire nuove vittime.
Il recente aumento degli attacchi conferma questo trend e se il processo di reclutamento continuerà ad avere successo, Mallox diventerebbe ancora più pericoloso.
Il team di Unit42 consiglia alle aziende di configurare correttamente le proprie applicazioni sul web e aggiornare i sistemi. È importante inoltre aggiornare le password per usarne di più robuste e implementare soluzioni XDR/EDR per ispezionare e individuare processi sospetti nel sistema.
Apr 22, 2024 0
Apr 19, 2024 0
Apr 16, 2024 0
Mar 28, 2024 0
Apr 26, 2024 0
Apr 24, 2024 0
Apr 24, 2024 0
Apr 23, 2024 0
Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...Apr 15, 2024 0
Il 41% delle imprese italiane subisce mensilmente attacchi...Apr 12, 2024 0
In occasione del Privacy Tour 2024, l’iniziativa del...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Apr 26, 2024 0
I ricercatori di Avast hanno scoperto una nuova campagna...Apr 24, 2024 0
I ricercatori di Cisco Talos hanno scoperto una nuova...Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 23, 2024 0
In occasione dell’Italian Partner Conferencetenutasi...Apr 23, 2024 0
Un team di ricercatori ha sviluppato quello che ritengono...