Allarme Spirals: il nuovo ransomware scritto in Rust che buca i server IIS e lancia attacchi letali in meno di 24 ore

🛡️ Executive Summary

• Spirals è stato distribuito meno di 24 ore dopo l’accesso iniziale a un server IIS compromesso mediante una web shell ASP.NET.
• Gli aggressori hanno sottratto credenziali, creato tunnel persistenti e colpito domain controller, server, macchine virtuali e workstation tramite WMI e PsExec.
• Prima della cifratura sono stati arrestati 23 servizi di backup, database e virtualizzazione, aumentando l’impatto della doppia estorsione.

Un’azienda di servizi IT dell’Asia meridionale è stata colpita nel giugno 2026 da Spirals, una nuova famiglia ransomware sviluppata in Rust e impiegata in un attacco di doppia estorsione. Gli aggressori hanno trasformato una web shell presente su un server IIS esposto in una compromissione dell’intera rete in meno di 24 ore. La catena ha incluso escalation dei privilegi, dump delle credenziali, movimento laterale, tunnel Cloudflare, proxy SOCKS inversi ed eliminazione delle difese. Prima di cifrare i file, l’operatore ha arrestato servizi associati a backup, database e virtualizzazione, riducendo drasticamente le possibilità di ripristino e aumentando la pressione esercitata attraverso la minaccia di pubblicare i dati sottratti.

Spirals emerge come nuova famiglia ransomware sviluppata in Rust

Il payload di Spirals è stato scritto in Rust, linguaggio sempre più utilizzato dagli operatori ransomware per produrre binari efficienti, multipiattaforma e più difficili da analizzare rispetto a campioni costruiti con toolchain tradizionali. Il malware è stato distribuito con nomi come bitsadmin.exe e vbr2116.exe, scelti per confondere gli amministratori e imitare componenti apparentemente legittimi. bitsadmin.exe, in particolare, richiama il nome della storica utility Windows BITSAdmin e può passare inosservato durante un controllo superficiale dei processi o delle directory. Una volta avviato, Spirals tenta di neutralizzare le difese interrompendo processi collegati agli strumenti di sicurezza e ai sistemi di backup. Disabilita inoltre il monitoraggio in tempo reale di Microsoft Defender e rimuove le definizioni delle minacce, cercando di privare l’endpoint della capacità di riconoscere il payload e gli strumenti distribuiti durante le fasi precedenti. La comparsa della famiglia conferma la proliferazione di ransomware indipendenti dotati di crittografia moderna e funzioni distruttive, già osservata con Prinz Eugen, il ransomware Go-based progettato per cifrare e cancellare le proprie tracce. Il linguaggio scelto non determina da solo il livello dell’operazione, ma consente agli sviluppatori di integrare gestione sicura della memoria, concorrenza e librerie crittografiche in un singolo eseguibile ad alte prestazioni.

La crittografia intermittente accelera l’impatto sui file più grandi

Spirals applica una forma di crittografia intermittente ai file superiori a 5 MB, intervenendo soltanto su porzioni selezionate invece di processare integralmente ogni contenuto. Questa strategia riduce il tempo necessario a rendere inutilizzabili database, immagini virtuali, archivi, documenti e file multimediali di grandi dimensioni. Un file non deve essere cifrato completamente per diventare illeggibile: alterare header, indici e blocchi distribuiti può impedire alle applicazioni di aprirlo o ricostruirne correttamente la struttura. Ogni elemento viene protetto con una chiave AES-128 generata individualmente, successivamente incapsulata attraverso una chiave pubblica ECDH basata sulla curva P-256 controllata dagli aggressori. La separazione delle chiavi per file limita la possibilità di recuperare l’intero archivio partendo da una singola informazione crittografica e impedisce la decifratura senza il materiale privato posseduto dall’operatore. Il messaggio di riscatto viene salvato in C:\RECOVERY_SECTION.log, concede sei giorni per avviare il pagamento e indirizza la vittima verso un portale Tor. Alla cifratura si aggiunge la minaccia di divulgare i dati esfiltrati, secondo il modello della double extortion ormai centrale nell’economia ransomware e approfondito nella guida di Matrice Digitale al cybercrime e alle sue filiere operative.

L’attacco parte da una web shell ASP.NET su un server IIS esposto

La compromissione iniziale è stata osservata il 16 giugno 2026 alle 22:21, quando gli aggressori hanno ottenuto accesso a un server Microsoft IIS raggiungibile da Internet attraverso una web shell ASP.NET. Non è stata indicata la vulnerabilità o la tecnica precisa utilizzata per installare la shell, ma la sua presenza ha fornito un’interfaccia remota per eseguire comandi nel contesto del server web. Entro circa tre ore, l’attore ha trasformato questo accesso iniziale in una sessione interattiva persistente, dimostrando che la fase di ricognizione e preparazione era stata pianificata in anticipo oppure condotta con procedure già consolidate. Il server IIS non è rimasto un bersaglio isolato: è diventato il punto di ingresso da cui esplorare il dominio, recuperare credenziali e distribuire strumenti nella rete interna.

La rapidità della progressione mostra perché i server pubblici debbano essere considerati sistemi ad alto rischio anche quando non custodiscono direttamente dati sensibili. Un’applicazione web compromessa può offrire agli aggressori identità di servizio, connettività verso segmenti interni e una posizione legittima dalla quale avviare il movimento laterale. Patch tempestive, segmentazione e controllo dell’integrità delle directory web risultano quindi essenziali, insieme al monitoraggio dei processi figli generati da w3wp.exe, tipico segnale di esecuzione anomala attraverso IIS.

Gli aggressori elevano i privilegi e smantellano le difese dell’endpoint

Dopo l’accesso iniziale, l’operatore ha utilizzato un bypass UAC per aumentare i privilegi, ha abilitato RDP, creato account locali e rimosso il software di sicurezza installato sull’host. Comandi eseguiti mediante wmic e MpCmdRun.exe hanno consentito di interagire con componenti amministrativi nativi, riducendo la necessità di introdurre immediatamente strumenti personalizzati. Questo uso di utility legittime rientra nelle tecniche living-off-the-land, attraverso le quali attività ostili vengono nascoste tra operazioni compatibili con la normale amministrazione Windows. Gli aggressori hanno inoltre estratto il database SAM e lo hanno compresso all’interno di un archivio protetto da password, presumibilmente per trasferirlo o conservarlo riducendo il rischio di rilevamento automatico. Il SAM può contenere hash degli account locali e facilitare cracking offline, pass-the-hash e riutilizzo delle credenziali su altri sistemi. L’operazione non si è limitata alla ricerca di un accesso amministrativo immediato: ha costruito più modalità di persistenza, affinché la rimozione della web shell o la chiusura di una sessione non interrompessero il controllo della rete.

LSASS, WMI e PsExec trasformano una macchina compromessa in un attacco di dominio

Durante il movimento laterale, gli aggressori hanno eseguito dump della memoria di LSASS su più sistemi attraverso rundll32.exe e comsvcs.dll. Questa tecnica sfrutta componenti nativi di Windows per acquisire il contenuto del processo che gestisce credenziali, token e sessioni di autenticazione. Una volta ottenute password, hash o ticket validi, l’operatore ha abusato di account amministrativi di dominio per raggiungere oltre una dozzina di macchine. WMI è stato impiegato per l’esecuzione remota e la ricognizione, mentre PsExec, eseguito con privilegi SYSTEM, ha distribuito Spirals su domain controller, file server, server applicativi, macchine virtuali e workstation. Il payload è stato collocato in directory di sistema, desktop degli utenti e condivisioni di rete, adattando il percorso alla raggiungibilità dei diversi host. Questa fase evidenzia il ruolo decisivo delle credenziali privilegiate: la cifratura non si diffonde attraverso una capacità worm autonoma, ma grazie a strumenti amministrativi che operano correttamente sotto il controllo dell’attaccante. Limitare gli account di dominio, applicare tier amministrativi distinti e impedire l’uso indiscriminato di PsExec e WMI riduce quindi la possibilità che un singolo server compromesso diventi il punto di lancio verso l’intera infrastruttura.

Revsocks e Cloudflare Tunnel garantiscono accesso remoto persistente

Il controllo dell’ambiente è stato mantenuto attraverso un proxy SOCKS inverso basato su revsocks, collegato a un indirizzo esterno sulla porta 443, e mediante Cloudflare Tunnel per esporre il servizio RDP locale. Gli aggressori hanno rinominato Chisel come chrome.exe e utilizzato nomi apparentemente ordinari per altri strumenti, cercando di confondere inventari e controlli basati esclusivamente sul filename. Cloudflare Tunnel consente di pubblicare un servizio interno senza aprire direttamente una porta in ingresso sul firewall, instaurando una connessione uscente verso l’infrastruttura Cloudflare. È una funzione legittima utile per l’amministrazione e lo sviluppo, ma diventa un canale di persistenza efficace quando viene avviata da un host compromesso. Il traffico può confondersi con connessioni HTTPS autorizzate e aggirare parte dei controlli perimetrali. Matrice Digitale aveva già analizzato questo vettore nell’approfondimento sugli attacchi SerpentineCloud e sull’abuso dei Cloudflare Tunnel. La presenza di eseguibili rinominati, tunnel avviati da server che non ne hanno una necessità operativa e connessioni SOCKS verso indirizzi esterni deve essere trattata come un indicatore ad alta priorità.

Il sabotaggio di 23 servizi prepara la cifratura e ostacola il ripristino

Prima di avviare Spirals, gli aggressori hanno fermato 23 servizi collegati a backup, database, posta elettronica e virtualizzazione. Tra i prodotti interessati figurano Veeam, Acronis, Veritas e Commvault, insieme a Exchange, Hyper-V, VMware, SQL Server, Oracle, MySQL e PostgreSQL. L’obiettivo è duplice. Da una parte, arrestare database e macchine virtuali riduce i blocchi sui file e consente al ransomware di cifrare contenuti che altrimenti rimarrebbero aperti o protetti dal sistema. Dall’altra, disattivare agenti e servizi di backup impedisce l’esecuzione dei job, elimina snapshot accessibili e rende più difficile recuperare i dati senza negoziare. Le piattaforme di backup sono diventate un obiettivo prioritario delle operazioni ransomware proprio perché rappresentano l’ultima difesa della vittima. Il caso ricorda le attività di Fog ransomware contro Veeam, con backdoor persistenti e modalità operative simili a un APT. Una strategia resiliente deve separare l’amministrazione dei backup dal dominio principale, mantenere copie offline o immutabili e impedire che le stesse credenziali utilizzate sui server di produzione possano cancellare o modificare i punti di ripristino.

I domini di staging e i file mascherati sostengono una catena discreta

Gli strumenti sono stati scaricati da un indirizzo IP esterno e da due domini di staging, talvolta utilizzando l’estensione .jpg per presentare eseguibili o archivi come immagini. L’estensione non cambia la natura effettiva del file, ma può ingannare utenti, log semplificati e controlli basati sul nome anziché sul formato reale. L’uso di più sorgenti di delivery consente inoltre agli operatori di sostituire rapidamente un’infrastruttura bloccata e distribuire componenti differenti in base alla fase della compromissione. Symantec ha pubblicato hash SHA-256 relativi a Spirals, revsocks.exe, tunn.exe e altri strumenti, oltre agli indirizzi e ai domini osservati nell’incidente. Questi indicatori permettono una ricerca immediata, ma non devono diventare l’unica forma di difesa: file ricompilati, nomi modificati e nuovi server renderebbero rapidamente obsoleti gli IoC statici. Le organizzazioni devono correlare comportamenti come dump di LSASS tramite comsvcs.dll, creazione improvvisa di account, esecuzione remota WMI, lancio di PsExec come SYSTEM, disabilitazione di Defender e arresto simultaneo dei servizi di backup.

La difesa deve interrompere la catena prima della fase di cifratura

L’intervallo inferiore a 24 ore tra la compromissione del server IIS e la distribuzione del ransomware lascia poco spazio a procedure di risposta lente. La prima priorità consiste nel ridurre l’esposizione dei server web, applicare le patch, eliminare applicazioni non necessarie e isolare IIS dai domain controller e dalle reti di gestione. Gli alert devono identificare web shell, modifiche anomale ai file ASP.NET e processi amministrativi avviati dal worker del web server. Credential Guard, protezione LSASS, MFA resistente al phishing e separazione degli account privilegiati possono ostacolare il passaggio verso il dominio. WMI e PsExec devono essere consentiti soltanto da workstation amministrative autorizzate, mentre i tunnel verso servizi cloud richiedono policy e monitoraggio specifici. I backup devono usare credenziali indipendenti, repository immutabili e copie non raggiungibili dalle identità del dominio. Spirals non introduce una singola tecnica rivoluzionaria: combina rapidamente web shell, strumenti legittimi, furto di credenziali, tunneling e crittografia robusta. È proprio questa integrazione disciplinata a trasformare una compromissione perimetrale in un’interruzione estesa, dimostrando che la difesa dal ransomware si decide molto prima della comparsa della nota di riscatto.