Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
ESET scopre NGate, malware per Android che sfrutta l’NFC per clonare le carte di pagamento
Una vulnerabilità di LiteSpeed Cache di WordPress permette il furto di account
CERT-AGID 31 agosto – 6 settembre: arriva la terza campagna in un mese che diffonde il malware Vidar
Il quishing usato nelle colonnine di ricarica delle auto elettriche
Il settore dell’istruzione è tra i principali bersagli degli attacchi informatici

Il ransomware Mallox ha aumentato la propria attività

Lug 24, 2023 Marina Londei Approfondimenti, Attacchi, In evidenza, Minacce, News, RSS 0

Di recente i ricercatori di Unit 42 di Palo Alto Networks hanno rilevato un importante incremento dell’attività del ransomware Mallox: stando ai dati raccolti dal team di sicurezza, nel 2023 le attività sono aumentate del 174% rispetto all’anno precedente.

Il ransomware, attivo dal giugno 2021, colpisce i server MS-SQL. Come la maggior parte dei ransomware moderni, Mallox segue il trend della doppia estorsione, ovvero sottrae i file prima di cifrarli per minacciare la vittima e costringerla a pagare il riscatto.

Gli attacchi cominciano con un attacco brute force sui server MS-SQL per ottenere l’accesso; in seguito, preso il controllo del sistema, gli attaccanti usano la PowerShell per scaricare il payload del ransomware sul server. Prima di procedere con la cifratura dei file, Mallox tenta di fermare e rimuovere tutti i servizi SQL in esecuzione e di cancellare il servizio Copia Shadow del volume, rendendo più difficile il ripristino dei file cifrati.

Pixabay

Il ransomware cerca inoltre di cancellare i log degli eventi di sistema, terminare tutti i processi di sicurezza e cancellare il registro di sistema di Raccine (se presente), un prodotto anti-ransomware.

Il campione di Mallox analizzato da Unit 42 usa l’algoritmo di cifratura ChaCha20 e aggiunge l’estensione .malox ai file cifrati; in altri casi i ricercatori hanno individuato anche le estensioni .fargo3, .exploit, .avast, .bitenc e .xollam. Dopo l’esecuzione, il ransomware si cancella dal sistema.

Sembra che il gruppo dietro il ransomware conti pochi membri, ma negli ultimi mesi ha cominciato a cercare nuovi collaboratori per perseguire un progetto di Ransomware-as-a-Service; ciò, sottolineano i ricercatori, indica che il gruppo potrebbe aumentare le proprie capacità di attacco e colpire nuove vittime.

Il recente aumento degli attacchi conferma questo trend e se il processo di reclutamento continuerà ad avere successo, Mallox diventerebbe ancora più pericoloso.

Il team di Unit42 consiglia alle aziende di configurare correttamente le proprie applicazioni sul web e aggiornare i sistemi. È importante inoltre aggiornare le password per usarne di più robuste e implementare soluzioni XDR/EDR per ispezionare e individuare processi sospetti nel sistema.

Condividi l'articolo