Sommario
Negli ultimi mesi, il panorama delle minacce informatiche ha visto un significativo incremento delle attività legate a gruppi di ransomware e botnet avanzate. Tra i principali attori troviamo CosmicBeetle e la sua variante di ransomware ScRansom, il gruppo Akira che sfrutta una vulnerabilità critica di SonicWall, e gli operatori della botnet Quad7, noti per compromettere router e dispositivi VPN. In questo articolo, esaminiamo le attività di questi gruppi, le loro tecniche e gli strumenti utilizzati per compromettere le infrastrutture aziendali e private.
ScRansom: CosmicBeetle e il ransomware emergente
CosmicBeetle, attivo dal 2020, ha recentemente sostituito il ransomware Scarab con il suo nuovo ransomware personalizzato, ScRansom. Questo gruppo ha sfruttato vulnerabilità vecchie e non patchate per infiltrarsi nelle reti aziendali, colpendo soprattutto piccole e medie imprese (SMB) in Europa e Asia. ScRansom, sebbene meno sofisticato rispetto ad altri ransomware più noti, è in continua evoluzione e ha dimostrato di causare danni significativi alle vittime, con alcuni file che risultano irrecuperabili anche dopo il pagamento del riscatto.
Un aspetto interessante di CosmicBeetle è il tentativo di sfruttare il marchio di LockBit, il famigerato gruppo di ransomware, utilizzando il LockBit Black builder per generare campioni personalizzati e convincere le vittime a pagare. Inoltre, CosmicBeetle è stato identificato come affiliato del gruppo RansomHub, emerso nel 2024 e noto per attacchi ransomware su larga scala. Questo mostra come CosmicBeetle stia cercando di evolversi nel panorama ransomware, imparando dagli errori precedenti e sviluppando nuove tecniche.
La vulnerabilità SonicWall SSLVPN sfruttata dal ransomware Akira
Un’altra minaccia recente è rappresentata dal ransomware Akira, che ha iniziato a sfruttare una vulnerabilità critica, tracciata come CVE-2024-40766, nei dispositivi SonicWall SonicOS. Questa vulnerabilità, corretta da SonicWall il 22 agosto 2024, riguarda il controllo improprio degli accessi nella gestione delle interfacce SSLVPN dei firewall di generazioni 5, 6 e 7. L’assenza di patch adeguate e l’utilizzo di versioni firmware vulnerabili ha permesso a Akira di ottenere accesso iniziale ai dispositivi delle vittime e di lanciare attacchi ransomware su reti aziendali.
Le agenzie governative statunitensi sono state obbligate a patchare i dispositivi SonicWall entro il 30 settembre 2024, come stabilito dalla CISA (Cybersecurity and Infrastructure Security Agency). Gli esperti di sicurezza hanno raccomandato agli amministratori di sistema di limitare l’accesso alle interfacce di gestione e di abilitare l’autenticazione a più fattori (MFA) per tutti gli utenti SSLVPN.
Quad7: botnet avanzate che colpiscono router e dispositivi VPN
Gli operatori di Quad7 sono un gruppo emergente di cybercriminali che hanno compromesso numerosi router e dispositivi VPN, inclusi marchi come TP-Link, Zyxel, Asus e Netgear, sfruttando vulnerabilità poco note o non documentate. Questa botnet è composta da migliaia di dispositivi compromessi, utilizzati per lanciare attacchi di forza bruta su servizi esposti come VPN, telnet e SSH.
I recenti sviluppi indicano che Quad7 sta evolvendo il proprio arsenale, introducendo nuovi strumenti come backdoor basate su HTTP e shell remote, con l’obiettivo di aumentare la furtività e impedire il tracciamento da parte di ricercatori di sicurezza. Questo gruppo ha inoltre sviluppato il progetto FsyNet, che utilizza il protocollo KCP per comunicazioni veloci e sicure su reti compromesse, rendendo più difficile per i ricercatori monitorare e analizzare la botnet.
Le recenti attività di gruppi come CosmicBeetle, Akira e Quad7 evidenziano l’importanza di adottare misure di sicurezza proattive per proteggere le infrastrutture aziendali e domestiche da minacce come Scransom e dai rischi dei dispositivi come quelli SonicWall. L’aggiornamento costante del firmware, l’implementazione di MFA e il monitoraggio continuo delle reti sono fondamentali per prevenire gli attacchi ransomware e l’infiltrazione di botnet avanzate.
