Che cos'è il ransomware-as-a-Service (RaaS)?
Trend Micro: riduzione del rischio di ransomware con una gestione proattiva della superficie di attacco
Ransomware as a Service (RaaS)
Il ransomware as a service (RaaS) è un modello di business per il crimine informatico che prevede la vendita o il noleggio di ransomware agli acquirenti, chiamati affiliati. La RaaS può essere accreditata come uno dei motivi principali della rapida proliferazione degli attacchi ransomware, poiché ha reso più facile per una varietà di attori delle minacce, anche quelli che hanno scarse competenze tecniche e conoscenze con le munizioni per distribuire il ransomware contro i loro obiettivi.
Come funziona la RaaS?
Il Ransomware-as-a-Service (RaaS) funziona come il modello Software-as-a-Service (SaaS) in cui è possibile accedere al software online in abbonamento. Tuttavia, anche il modello RaaS continua a evolversi a modo suo e questo ecosistema completamente funzionale e indipendente prospera nel mondo sotterraneo. Uno degli attori chiave di questo modello di business è chiamato operatori, che sviluppano e distribuiscono ransomware, spesso lavorando in gruppi strutturati con e hanno ruoli designati come leader, sviluppatori e amministratori di sistema. I gruppi più avanzati possono anche avere altri ruoli, come i tester di penetrazione, gli analisti delle vittime e i negoziatori per perfezionare i loro attacchi.
Alcune attività vengono esternalizzate o ottenute tramite programmi di affiliazione, come Access-as-a-Service (AaaS), che fornisce punti di ingresso nelle organizzazioni target. I tester di penetrazione qualificati potrebbero non disporre di strumenti ransomware e operare invece come affiliati, utilizzando l'infrastruttura RaaS per eseguire gli attacchi.
Un gruppo criminale RaaS sviluppa o acquisisce prima software ransomware, quindi recluta affiliati tramite forum, Telegram o reti personali, a volte investendo fino a 1 milione di dollari in reclutamento. Una volta a bordo, le affiliate conducono gli attacchi in modo indipendente.
La RaaS è vantaggiosa per entrambe le parti: gli operatori traggono profitto dai pagamenti delle affiliate, mentre le affiliate ottengono l'accesso al ransomware senza costi di sviluppo. I modelli di fatturato variano, inclusi abbonamenti, commissioni una tantum, condivisione dei profitti o marketing affiliato. Ciò consente agli operatori di concentrarsi sul miglioramento del ransomware mentre le affiliate gestiscono l'esecuzione, rendendo RaaS un modello di crimine informatico altamente specializzato e redditizio.
Questo modello viene adottato anche dalla comunità dei crimini informatici e l'esempio più importante è "RaaS - Ransomware as a Service". In passato, gli attacchi ransomware venivano eseguiti principalmente dagli sviluppatori stessi. Al contrario, con RaaS, gli sviluppatori di ransomware non eseguono gli attacchi stessi, ma raccolgono le cosiddette "affiliate" per eseguire gli attacchi e fornire loro il ransomware. Se l'attacco da parte dell'affiliato ha successo e il riscatto viene pagato, i proventi vengono suddivisi tra lo sviluppatore del ransomware e l'affiliato come commissione di successo.
Esempi di RaaS
LockBit
LockBit è il gruppo ransomware più attivo al mondo. Dal 2022-2023 era responsabile di circa il 20-30% di tutti i rilevamenti ransomware. In un recente attacco importante, la domanda di riscatto è aumentata fino a 50 milioni di dollari.
LockBit 2.0 afferma di avere una delle tecniche di crittografia più veloci tra gli altri ransomware. Mostra anche somiglianze con importanti famiglie di ransomware, Ryuk ed Egregor.
Akira
Akira è un gruppo ransomware emergente apparso a marzo 2023. Si ritiene che sia correlato a Conti (che ora è inattivo), che un tempo era uno dei due principali gruppi ransomware insieme a LockBit.
Secondo un sondaggio di Trend Micro, Akira ha causato 107 incidenti nei cinque mesi successivi al 1° aprile 2023, con l'85,9% di questi incidenti che si sono verificati in Nord America.
BlackCat
Entro marzo 2022, BlackCat aveva compromesso con successo almeno 60 organizzazioni. Nel 2023, le vittime di alto profilo di BlackCat includevano Reddit e NextGen Healthcare. Ha acquisito la notorietà iniziale di essere la prima famiglia di ransomware professionali creata nel linguaggio di programmazione Rust, notoriamente sicuro e in grado di elaborare contemporaneamente.
Ora sono noti per la loro tecnica di tripla estorsione. Oltre a esporre i dati esfiltrati, gli attori del ransomware che utilizzano la tripla estorsione minacciano di lanciare attacchi DDos (Distributed Denial-of-Service) sull'infrastruttura delle loro vittime per costringerli a pagare il riscatto.
Catena di infezione del ransomware BlackCat osservata nel 2022
Black Basta
Black Basta è un gruppo ransomware che è stato identificato per la prima volta nell'aprile 2022 e, come Akira, si sospetta sia correlato a Conti. Oltre a RaaS, Black Basta sta sviluppando attivamente la divisione del lavoro negli attacchi, come la richiesta di informazioni di autenticazione per l'accesso alla rete aziendale su forum sotterranei in cambio di una quota dei profitti degli attacchi ransomware. Inoltre, Black Basta ha sviluppato build per Linux e si può notare che sta cercando di espandere l'ambito della crittografia.
Catena delle infezioni di Black Basta
In che modo il RaaS attrae le affiliate? - Un caso di studio di LockBit
Perché LockBit, il più grande gruppo di ransomware, è stato in grado di attrarre così tante affiliate e costruire una RaaS su larga scala? I motivi principali sono l'elevato rapporto di condivisione dei profitti e l'utilizzabilità.
Elevato rapporto di condivisione dei profitti
LockBit ha offerto alle affiliate una quota di fatturato molto interessante, con un ritorno dell'80% del denaro di riscatto che hanno acquisito. Secondo una dichiarazione di EUROPOL, l'importo totale dei danni causati da LockBit è equivalente a diversi miliardi di euro, quindi possiamo immaginare che anche gli utili delle affiliate coinvolte in LockBit siano stati enormi. In passato, ci sono stati casi in cui LockBit ha richiesto riscatti fino a 70 milioni di dollari e, se anche un attacco di questo tipo ha successo, l'affiliata sarà in grado di ottenere denaro che le persone ordinarie non possono ottenere.
Usabilità
LockBit era popolare tra le affiliate perché è stato progettato pensando al RaaS. Ad esempio, ha persino sviluppato e mantenuto un'"interfaccia intuitiva" che ha reso facile la scelta tra una varietà di opzioni durante l'assemblaggio del programma di attacco finale, riducendo gli ostacoli tecnici che gli utenti RaaS devono affrontare per commettere reati.
Armato di questi elementi, LockBit ha reclutato attivamente le affiliate e ha ampliato la sua influenza, ma ora ha raggiunto una sfida unica per RaaS. Ad esempio, abbiamo confermato che l'infrastruttura di LockBit è instabile e che non è possibile utilizzare i dati sul sito della perdita e, in tali casi, diventa difficile per le affiliate eseguire il ricatto necessario per un attacco riuscito. Inoltre, nel febbraio 2024, alcuni membri di LockBit sono stati arrestati e i loro server e altre infrastrutture sono stati soppressi, e incidenti come questo possono anche essere un fattore che ha causato l'uscita delle affiliate. In altre parole, la chiave per il successo del RaaS è ottenere la fiducia e l'affidabilità delle affiliate, ma se qualcosa dovesse danneggiarlo, il RaaS non sarà più fattibile.
Tempistica di LockBit delle attività più importanti
Come difendere i sistemi dai ransomware
Per le aziende che si proteggono dagli attacchi ransomware, sarebbe utile stabilire piani di difesa ransomware. Questi possono essere basati su framework di sicurezza, come quelli del Center of Internet Security (CIS) e del National Institute of Standards and Technology (NIST). Queste linee guida possono aiutare nella definizione delle priorità e nella gestione delle risorse per la prevenzione, la difesa e il ripristino dai ransomware
Alcune delle best practice di questi framework sono le seguenti:
Controlla gli eventi e fai l'inventario
- Risorse e dati disponibili
- Dispositivi e software autorizzati e non autorizzati
- Eventi e incidenti di sicurezza
Gestisci e tieni traccia di quanto segue
- Configurazioni hardware e software
- Privilegi di amministratore e accesso
- Attività su porte, protocolli e servizi di rete
- Dispositivi di infrastruttura di rete, come firewall e router, e relative configurazioni di sicurezza
Patch e aggiornamento, eseguire regolarmente le seguenti operazioni per software e applicazioni
- Valutazioni delle vulnerabilità
- Patching o patching virtuale
- Aggiornamento della versione
Proteggi i sistemi e recupera i dati implementando quanto segue
- Misure di protezione, backup e ripristino dei dati
- Autenticazione a più fattori (MFA)
Proteggi e difendi i livelli
- Il principio della difesa in profondità (DiD). Ciò avviene creando più livelli di difesa contro potenziali minacce. Un esempio è il blocco dei servizi inutilizzati non solo su un firewall ma anche su server reali.
- Segmentazione della rete e principio dei privilegi minimi. È fondamentale seguirli quando si concedono autorizzazioni a utenti, servizi e ruoli del sistema.
- Analisi statica e dinamica delle email. Entrambi questi elementi servono a esaminare e bloccare le email dannose.
- L'ultima versione delle soluzioni di sicurezza per tutti i livelli del sistema. Questi livelli includono email, endpoint, web e rete.
- Monitoraggio dei primi segni di un attacco. L'identificazione della presenza discutibile di vari strumenti nel sistema può far risparmiare alle organizzazioni molto tempo e fatica per prevenire possibili attacchi.
- Tecnologie di rilevamento avanzate. Le tecnologie basate sull'intelligenza artificiale e sul machine learning offrono una protezione rafforzata.
Formazione e test
- Valutazione e formazione sulle competenze di sicurezza
- Esercizi Red Team e test di penetrazione
Protezione ransomware Trend Micro
L'anno scorso, l'83% delle aziende ha affrontato più violazioni per un costo di 4,4 milioni di dollari ciascuna, mentre la riduzione dell'esposizione al rischio ha portato a un risparmio medio di 1,3 milioni di dollari.
Trend Vision One™ – Attack Surface Risk Management (ASRM) riduce drasticamente il rischio informatico con rilevamento continuo, valutazioni in tempo reale e mitigazione automatizzata in ambienti cloud, ibridi o locali.