Ransom Busters, Medusa e Clop cambiano il ransomware tra estorsione e furto dati

🛡️ Executive Summary

• Ransom Busters sostiene di violare infrastrutture RaaS e chiede fino a 60.000 dollari alle stesse vittime ransomware per cancellare i dati rubati.
• CISA, FBI e HHS segnalano oltre 500 organizzazioni critiche colpite da Medusa, in crescita rispetto alle oltre 300 censite nel 2025.
• Clop utilizza una web shell Java costruita specificamente per Windchill, capace di decifrare credenziali, mappare vault ed esfiltrare file industriali.

Il ransomware continua a evolvere oltre la semplice cifratura. Ransom Busters si presenta come un improbabile “soccorritore” delle vittime sostenendo di avere compromesso i server dei gruppi RaaS, ma chiede tra 20.000 e 60.000 dollari per cancellare i dati sottratti. Medusa, secondo l’aggiornamento congiunto di CISA, FBI e HHS, ha ormai interessato più di 500 organizzazioni appartenenti alle infrastrutture critiche statunitensi. Clop, infine, perfeziona il proprio modello di mass exploitation sviluppando una web shell Java specifica per PTC Windchill e FlexPLM, progettata non soltanto per mantenere accesso ma per raggiungere direttamente credenziali, database e repository di proprietà intellettuale.

Ransom Busters vende il recupero dei dati che potrebbe avere rubato

Il caso più anomalo riguarda Ransom Busters, nome utilizzato da un soggetto che contatta direttamente organizzazioni già compromesse da ransomware sostenendo di avere trovato vulnerabilità nei pannelli amministrativi utilizzati dalle operazioni RaaS. Secondo il report del GuidePoint Research and Intelligence Team, il gruppo afferma di infiltrarsi da oltre tre anni nelle infrastrutture criminali e propone alle vittime di recuperare i file, ottenere le chiavi di cifratura e cancellare tutte le copie dei dati presenti sui server ransomware in cambio di 20.000-60.000 dollari. Il dettaglio decisivo è che GuidePoint ha incontrato il soggetto durante incidenti attribuiti a DragonForce, Settra e Anubis e ritiene molto più probabile che dietro la facciata del “soccorritore” operi in realtà un affiliate ransomware attivo su più programmi RaaS. L’analisi forense di due intrusioni ha infatti trovato gli stessi strumenti, tra cui SoftPerfect Network Scanner, s5cmd per l’esfiltrazione verso AWS e il software RMM Remotely, oltre allo stesso account backdoor e hostname controllato dall’attaccante. La dinamica porta all’estremo il modello già descritto nella trasformazione del cybercrime in una catena industriale di access broker, affiliate ed estorsori: una stessa vittima può essere monetizzata più volte persino da soggetti appartenenti alla medesima filiera criminale.

Medusa supera 500 organizzazioni nelle infrastrutture critiche

Sul fronte della scala operativa, Medusa ransomware continua invece ad ampliare il proprio impatto. L’aggiornamento congiunto di CISA, FBI e Department of Health and Human Services indica che, ad aprile 2026, gli operatori Medusa avevano colpito oltre 500 vittime appartenenti a diversi settori delle infrastrutture critiche, comprese sanità, Defense Industrial Base, manifattura critica, strutture governative, information technology e servizi finanziari. Nel precedente advisory del marzo 2025 le vittime critiche stimate erano oltre 300. Medusa, operativo dal 2021 e diventato molto più visibile dal 2023 con il proprio leak site, ha progressivamente adottato un modello Ransomware-as-a-Service basato anche sull’acquisto di accessi dagli Initial Access Broker, ai quali possono essere offerti compensi compresi tra 100 dollari e un milione. Le agenzie statunitensi raccomandano patch tempestive, segmentazione della rete e limitazione dell’accesso ai servizi remoti da origini non fidate. L’espansione di Medusa trova un precedente diretto nelle campagne in cui Storm-1175 utilizzava la famiglia prima di passare a StormEncryptor e negli attacchi contro sistemi Windows che combinavano vulnerabilità rapidamente sfruttate e distribuzione Medusa.

Clop costruisce una web shell apposta per Windchill

Clop rappresenta un terzo stadio dell’evoluzione: non semplicemente ransomware, ma mass exploitation progettato intorno al software enterprise preso di mira. ReliaQuest ha analizzato una web shell JSP probabilmente collegata al gruppo e sviluppata specificamente per PTC Windchill e FlexPLM, invece di adattare un impianto generico.

Il report tecnico di ReliaQuest mostra che il codice importa direttamente classi interne di Windchill come MethodContext, WTConnection e WTKeyStoreUtil, utilizzando le stesse API dell’applicazione per collegarsi al database, individuare i vault e persino decifrare credenziali LDAP memorizzate. Il controllo passa attraverso l’header HTTP personalizzato X-windchill-req, mentre i comandi permettono di sottrarre secret e configurazioni, enumerare directory, leggere e cancellare file oppure caricare ed eseguire ulteriore bytecode Java direttamente nel processo Windchill. La specializzazione conferma l’evoluzione della campagna Clop basata su CVE-2026-12569 contro Windchill e FlexPLM, dove la priorità è sottrarre rapidamente progetti e documentazione industriale prima di avviare l’estorsione.

Il malware usa l’identità stessa dell’applicazione

L’aspetto più insidioso della web shell Clop è il modo in cui sfrutta l’identità già autorizzata di Windchill. Le query vengono eseguite attraverso la normale connessione dell’applicazione al database, quindi sistemi di monitoraggio concentrati su nuovi account o host inattesi possono attribuire l’attività malevola allo stesso service account legittimo utilizzato dal prodotto.

La web shell interroga direttamente tabelle come ApplicationData, FVITEM, FVMOUNT e MasteredOnReplicaItem per ricostruire nomi, percorsi e dimensioni dei file conservati nei vault. Il legame con Clop viene valutato attraverso più elementi convergenti: infrastruttura estorsiva, indirizzi email già usati dal gruppo, header X-windchill-req e TTP coerenti. Ransom-ISAC ha successivamente documentato comunicazioni Clop inviate a centinaia di dipendenti delle organizzazioni interessate. La stessa campagna è ormai visibile anche nelle rivendicazioni contro Shell e altre grandi aziende probabilmente raggiunte tramite Windchill e nelle più recenti verifiche su Philips e General Electric.

Il ransomware diventa un mercato della permanenza sul dato rubato

I tre sviluppi mostrano perché il termine ransomware descrive ormai solo parzialmente il fenomeno. Medusa mantiene il modello RaaS tradizionale ma scala attraverso affiliate e access broker; Clop ha progressivamente trasformato l’exploit di applicazioni enterprise in una macchina di furto massivo ed estorsione senza necessità della cifratura; Ransom Busters introduce persino la possibilità di una seconda monetizzazione dei dati da parte dello stesso ecosistema criminale che li ha sottratti. GuidePoint sottolinea che pagare il presunto “soccorritore” non offre alcuna garanzia che le copie vengano realmente eliminate. È lo stesso motivo per cui la resilienza di DeadLock è stata costruita attorno a infrastrutture e comunicazioni difficili da rimuovere: il valore non è più soltanto nell’encryptor, ma nel mantenere controllo su accessi, dati, infrastrutture e capacità di pressione abbastanza a lungo da poter monetizzare la compromissione più di una volta.