Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Patch Tuesday, Microsoft risolve una vulnerabilità già sfruttata e due zero-day
Prompt injection, un problema che potrebbe non venire mai risolto. La visione dell’NCSC
React2Shell: più di 160.000 indirizzi IP vulnerabili, oltre 30 organizzazioni già colpite
CERT-AGID 29 novembre – 5 dicembre: phishing a tema Governo italiano e Agenzia delle Entrate
Iniezione indiretta di prompt: a rischio le informazioni aziendali

CosmicBeetle si allea con altri gruppi ransomware per colpire Europa e Asia

Ott 01, 2024 Marina Londei Approfondimenti, Attacchi, Campagne malware, In evidenza, Malware, Minacce, News, RSS 0

I ricercatori di ESET hanno scoperto che di recente il gruppo CosmicBeetle ha utilizzato il ransomware ScRansom e ha collaborato con altri gruppi consolidati per attaccare piccole e medie imprese in Europa e in Asia.

Credits: ESET

CosmicBeetle è attivo dal 2020 ma è stato scoperto soltanto nel 2023. I cybercriminali sono noti soprattutto per usare una serie di strumenti personalizzati sviluppati in Delphi, tra i quali ScHackTool, ScInstaller, ScService e ScPatcher.

Il gruppo di cybercriminali ha usato il builder di LockBit e ha cercato di sfruttare la reputazione del ransomware per i propri attacchi. I ricercatori ritengono inoltre che CosmicBeetle sia un nuovo affiliato di RansomHub, un gruppo attivo da marzo 2024 e in rapida crescita che offre ransomware-as-a-service.

“Probabilmente a causa delle difficoltà che comporta scrivere da zero un ransomware personalizzato, CosmicBeetle ha cercato di sfruttare la reputazione di LockBit, forse per mascherare i problemi nel ransomware sottostante e aumentare così la probabilità che le vittime siano disposte a pagare” ha affermato Jakub Souček, il ricercatore di ESET che ha analizzato le ultime attività di CosmicBeetle. “Inoltre, di recente, abbiamo osservato il dispiegamento dei payload di ScRansom e RansomHub sulla stessa macchina a distanza di una settimana“.

Il gruppo usa spesso tecniche brute-force e diverse vulnerabilità note per entrare nelle reti delle sue vittime. Le PMI sono l’obiettivo più comune di questi attaccanti perché sono il segmento che con maggior probabilità usa software vulnerabile o non dispone di processi robusti di gestione delle patch.

ScRansom, oltre a crittografare i dati, è anche in grado di terminare processi e servizi sulla macchina infetta. ESET è riuscita a ottenere un decryptor implementato da CosmicBeetle, ma essendo il ransomware in continuo sviluppo e il processo di decrittazione piuttosto complesso, non è facile garantire il recupero completo dei file.

“L’esecuzione di RansomHub è stata insolita rispetto ai casi tipici che abbiamo osservato nella telemetria di ESET, ma molto simile al modus operandi di CosmicBeetle. Poiché non ci sono fughe di dati pubbliche relative a RansomHub, riteniamo con una certa sicurezza che CosmicBeetle possa essere un affiliato recente” ha aggiunto Souček.

Nonostante il modus operandi del gruppo sia ancora immaturo e la distribuzione di ScRansom presenta alcuni problemi, CosmicBeetle è riuscito a causare danni significativi alle sue vittime; si raccomanda quindi alle imprese di definire piani di backup completi e affidarsi a soluzioni di sicurezza in grado di ridurre la probabilità di successo di questi attacchi.

Condividi l'articolo

CosmicBeetle, ESET, PMI, Ransomware, ransomware-as-a-service, ScRansom

Trovate vulnerabilità critiche nei sistemi di misurazione automatica del livello dei serbatoi I vertici aziendali non sono del tutto pronti alle nuove normative di sicurezza