Un virus da riscatto evoluto in minaccia avanzata e persistente: è Samas, che scova e cancella i dati di backup prima di cifrarli
La diabolica combinazione di ransomware e minacce avanzate e persistenti (APT, Advanced Persistent Threats) sta togliendo il sonno ai professionisti della cybersecurity.
Una recente ricerca di Microsoft sul ransomware Samas (detto anche MSIL) ha rivelato un approccio molto più paziente e certosino per estorcere soldi alle aziende. Samas, infatti, inizialmente impiega un comune vulnerability scanner per scovare le vittime potenziali.
Una volta individuato il bersaglio, però, sfrutta uno strumento di tunneling chiamato reGeorg per ampliare la portata dell'attacco e creare le basi per un approccio più strategico all'esecuzione del virus da riscatto.
Una volta stabilito l'accesso iniziale, gli attacker acquisiscono le credenziali delle macchine compromesse per accelerare la propagazione del malware, infettando tutte le macchine connesse alla rete che utilizzano il vecchio strumento di esecuzione dei programmi in remoto Windows Internals PsExec. A questo punto, i criminali del web sono in grado di compiere la scansione del network e dei device compromessi alla ricerca dei file di backup. Una volta trovati, saranno cancellati prima che gli attacker inizino a cifrare i file, rendendo impossibile qualsiasi possibilità di ripristino.
L'evoluzione dei ransomware da semplici malware ad APT ha un impatto notevole sulle strategie di mitigazione dei rischi messe in atto dai team di security. Un solido piano di backup è sempre stato un cardine nella lotta ai virus da riscatto. Se è possibile ripristinare i dati criptati, infatti, gli estortori non avranno alcun appiglio per intascare il malloppo. Con Samas, però, gli attacker hanno fatto un passo avanti cercando il modo per azzerare i backup prima di cifrare i dati. Anche se i casi isolati hanno mostrato che il virus è in grado di compiere ricerche solo a livello di backup locali, la strategia può facilmente essere estesa alle copie conservate remotamente nel cloud.
L'evoluzione dei ransomware da semplici malware ad APT ha un impatto notevole sulle strategie di mitigazione dei rischi messe in atto dai team di security. Un solido piano di backup è sempre stato un cardine nella lotta ai virus da riscatto. Se è possibile ripristinare i dati criptati, infatti, gli estortori non avranno alcun appiglio per intascare il malloppo. Con Samas, però, gli attacker hanno fatto un passo avanti cercando il modo per azzerare i backup prima di cifrare i dati. Anche se i casi isolati hanno mostrato che il virus è in grado di compiere ricerche solo a livello di backup locali, la strategia può facilmente essere estesa alle copie conservate remotamente nel cloud.
La possibilità di accedere ai servizi di assessment dell'infrastruttura di protezione aziendale, unita all'aggiornamento in tempo reale sull'evoluzione delle APT che solo professionisti della infosec sono in grado di garantire, possono aiutare i team security interni alle aziende ad annullare la minaccia dei più recenti malware da riscatto.