Federali: attenzione agli attacchi ransomware AvosLocker contro infrastrutture critiche

Questa settimana le autorità statunitensi hanno emesso un avvertimento su potenziali attacchi informatici contro le infrastrutture critiche da parte dell'operazione ransomware-as-a-service (RaaS) AvosLocker.

In un avviso congiunto sulla sicurezza, la Cybersecurity Infrastructure and Security Agency (CISA) e l'FBI hanno avvertito che AvosLocker ha preso di mira diversi settori critici negli Stati Uniti di recente, a maggio, utilizzando un'ampia varietà di tattiche, tecniche e procedure (TTP), tra cui doppia estorsione e l'uso di software nativo e open source affidabile.

L'avviso AvosLocker è stato emesso in un contesto di aumento degli attacchi ransomware in più settori. In un rapporto pubblicato il 13 ottobre, la compagnia di assicurazioni informatiche Corvus ha riscontrato un aumento di quasi l'80% degli attacchi ransomware rispetto allo scorso anno, nonché un aumento di oltre il 5% dell'attività mese su mese a settembre.

Cosa devi sapere sul gruppo ransomware AvosLocker

AvosLocker non fa discriminazioni tra i sistemi operativi. Finora ha compromesso Windows, Linux, e ambienti VMWare ESXi nelle organizzazioni mirate.

È forse più degno di nota per il numero di strumenti legittimi e open source che utilizza per compromettere le vittime. Questi includono RMM come AnyDesk per l'accesso remoto, Chisel per il tunneling di rete, Cobalt Strike per il comando e controllo (C2), Mimikatz per il furto delle credenziali e l'archiviatore di file 7zip, tra molti altri.

Al gruppo piace anche utilizzare le tattiche Living-off-the-land (LotL), facendo uso di strumenti e funzioni nativi di Windows come Notepad++, PsExec e Nltest per eseguire azioni su host remoti.

L'FBI ha anche osservato gli affiliati di AvosLocker utilizzare shell Web personalizzate per consentire l'accesso alla rete ed eseguire script PowerShell e bash per lo spostamento laterale, l'escalation dei privilegi e la disattivazione del software antivirus. E solo poche settimane fa l’agenzia lo aveva avvertito gli hacker hanno fatto una doppia immersione: utilizzano AvosLocker e altri ceppi di ransomware in tandem per stupire le loro vittime.

Dopo il compromesso, AvosLocker blocca ed esfiltra i file per consentire successive estorsioni, nel caso in cui la vittima non fosse particolarmente collaborativa.

"A dire il vero, è tutto più o meno lo stesso di quello che abbiamo visto nell'ultimo anno o giù di lì", afferma Ryan Bell, responsabile dell'intelligence sulle minacce presso Corvus, dei TTP di AvosLocker e di altri gruppi RaaS. “Ma stanno diventando sempre più mortalmente efficienti. Col tempo stanno migliorando, sempre più velocemente."

Cosa possono fare le aziende per proteggersi dal ransomware

Per proteggersi da AvosLocker e simili, CISA ha fornito un lungo elenco di modi in cui i fornitori di infrastrutture critiche possono proteggersi, inclusa l’implementazione di best practice standard di sicurezza informatica, come la segmentazione della rete, l’autenticazione a più fattori e i piani di ripristino. CISA ha aggiunto restrizioni più specifiche, come la limitazione o la disabilitazione dei servizi desktop remoti, dei servizi di condivisione di file e stampanti e delle attività e autorizzazioni della riga di comando e di scripting.

Le organizzazioni farebbero bene ad agire adesso, come i gruppi di ransomware diventeranno sempre più prolifici nei mesi a venire.

“In genere, i gruppi di ransomware si prendono un po’ di vacanze estive. Dimentichiamo che anche loro sono persone", afferma Bell, citando i numeri di ransomware inferiori alla media negli ultimi mesi. L'aumento del 5.12% degli attacchi informatici ransomware registrato a settembre, sostiene, è il canarino nella miniera di carbone.

“Aumenteranno gli attacchi durante il quarto trimestre. Di solito è il valore più alto che vediamo durante tutto l’anno, come sia nel 2022 che nel 2021, e stiamo vedendo che è vero anche adesso”, avverte. "Le cose stanno decisamente migliorando su tutta la linea."

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• PlatoData.Network Generativo verticale Ai. Potenzia te stesso. Accedi qui.
• PlatoAiStream. Intelligenza Web3. Conoscenza amplificata. Accedi qui.
• PlatoneESG. Carbonio, Tecnologia pulita, Energia, Ambiente, Solare, Gestione dei rifiuti. Accedi qui.
• Platone Salute. Intelligence sulle biotecnologie e sulle sperimentazioni cliniche. Accedi qui.
• Fonte: https://www.darkreading.com/ics-ot/feds-beware-avoslocker-ransomware-attacks-critical-infrastructure