ScRansom: il ransomware che minaccia le aziende in Europa e Asia

Il mondo della cyber sicurezza è di nuovo sotto pressione. Un nuovo ransomware chiamato ScRansom ha iniziato a diffondersi rapidamente tra le aziende in Europa e Asia. Questo nuovo malware è stato identificato dai ricercatori di ESET, che attribuiscono lo sviluppo del ransomware a un gruppo noto come CosmicBeetle.

Chi è CosmicBeetle e perché ha scelto ScRansom?

CosmicBeetle è un gruppo di cybercriminali attivo dal 2020, ma la sua reputazione ha iniziato a crescere nel 2023, grazie all’uso di strumenti personalizzati come la suite Spacecolon. Questo gruppo è famoso per sfruttare vulnerabilità nelle reti aziendali, puntando su quelle con sistemi di sicurezza più deboli. Tra le varie minacce create da CosmicBeetle, ScRansom è l’ultimo ransomware in grado di infliggere danni importanti, nonostante la sua semplicità tecnica.

Ma perché ScRansom è pericoloso? CosmicBeetle utilizza nomi noti come LockBit per mascherare le proprie operazioni, spingendo le aziende a pagare il riscatto. Questo gruppo si è affiliato a un servizio di ransomware-as-a-service (RaaS) chiamato RansomHub, attivo da marzo 2024, utilizzando una strategia interessante: implementano ScRansom e RansomHub sulla stessa macchina a pochi giorni di distanza, una tattica insolita nel panorama dei cyber attacchi.

Come funziona l’attacco di ScRansom?

CosmicBeetle utilizza spesso attacchi brute-force per violare i sistemi. Questi attacchi sono rivolti in particolare a quelle aziende che hanno vulnerabilità note, o che non gestiscono correttamente gli aggiornamenti e le patch dei propri sistemi informatici. Gli esperti hanno individuato come bersagli principali i seguenti settori:

• Produzione
• Sanità
• Tecnologia
• Farmaceutico
• Servizi legali
• Servizi finanziari

Queste aziende sono particolarmente vulnerabili perché molte di loro non dispongono di risorse sufficienti dedicate alla sicurezza informatica, un punto debole sfruttato dai criminali per entrare nei loro sistemi.

Cosa rende ScRansom diverso dagli altri ransomware?

ScRansom non è sofisticato come altre minacce del suo genere, ma può comunque infliggere danni significativi. Oltre alla crittografia dei file, una delle caratteristiche più insidiose di ScRansom è la capacità di arrestare processi critici sui dispositivi infettati, complicando ulteriormente il recupero dei dati. Questo significa che anche se si riesce a decifrare i file, alcuni processi vitali per il sistema potrebbero non riprendere correttamente, causando disservizi per giorni o settimane.

I ricercatori di ESET sono riusciti a ottenere un decryptor per ScRansom, ma avvertono che il processo di decrittazione non è esente da rischi. Anche con le chiavi corrette fornite dai cybercriminali, alcuni file potrebbero risultare irrecuperabili o danneggiati in modo permanente. Questo aumenta la pressione sulle aziende colpite, che devono valutare se pagare il riscatto o rischiare di perdere definitivamente i propri dati.

Quando si verificano gli attacchi di CosmicBeetle?

Gli attacchi con ScRansom sono stati registrati a partire dai primi mesi del 2024, con una crescita significativa tra marzo e agosto. Gli esperti di cyber sicurezza prevedono che il numero di attacchi continuerà ad aumentare nei prossimi mesi, in quanto CosmicBeetle sta perfezionando la propria tattica, sfruttando il proprio network e strumenti come RansomHub per massimizzare i profitti.

L’utilizzo combinato di ScRansom e RansomHub dimostra come CosmicBeetle stia cercando di diversificare i propri metodi di attacco, puntando a colpire con più ransomware in rapida successione. Questo rende più difficile per le aziende rilevare e rispondere agli attacchi prima che vengano compromessi dati sensibili.

Dove si stanno diffondendo gli attacchi di ScRansom?

Le aziende colpite si trovano prevalentemente in Europa e Asia, con un’attenzione particolare a Paesi con infrastrutture di sicurezza informatica meno robuste o dove le misure di protezione non sono aggiornate. CosmicBeetle ha scelto di concentrarsi su aziende di produzione, ma anche su quelle che operano nei settori della sanità, della tecnologia e dei servizi finanziari, dove le informazioni sensibili possono essere sfruttate per richieste di riscatto più alte.

Un server aziendale compromesso, bloccato dal ransomware ScRansom

Quale futuro per ScRansom?

Gli esperti di ESET suggeriscono che ScRansom continuerà ad evolversi. CosmicBeetle sta già sviluppando nuove versioni del ransomware per renderlo più difficile da rilevare e da decifrare. L’inserimento di nuovi strumenti nella suite Spacecolon, come ScHackTool e ScPatcher, dimostra l’intenzione di perfezionare l’arsenale di CosmicBeetle e renderlo ancora più pericoloso.

Il continuo sviluppo di ScRansom potrebbe complicare ulteriormente il lavoro delle aziende di cyber sicurezza, che dovranno affrontare un malware in costante mutamento, sempre più difficile da contrastare. Anche con decryptor disponibili, il rischio di perdere dati rimane elevato, ed è per questo che le aziende devono adottare misure proattive per proteggere le proprie reti.

Cosa possono fare le aziende per proteggersi?

Le aziende dovrebbero puntare sulla prevenzione, implementando politiche di sicurezza robuste. Tra le soluzioni che possono essere adottate, senza entrare nei dettagli tecnici:

• Aggiornamento costante dei sistemi e delle patch di sicurezza.
• Monitoraggio attivo delle reti per individuare tentativi di attacco.
• Formazione del personale per riconoscere tentativi di phishing e altre minacce informatiche.
• Backup regolari dei dati critici, per evitare perdite in caso di attacco.

In conclusione, ScRansom rappresenta una minaccia in evoluzione, e le aziende devono essere pronte a rispondere. La chiave è investire nella prevenzione e nella sicurezza, proteggendo le proprie infrastrutture prima che sia troppo tardi.

Fonti e approfondimenti: 1 – 2 – 3