Set 29, 2023 Marina Londei Attacchi, In evidenza, Malware, Minacce, News, RSS 0

Un’indagine congiunta di Group-IB e Bridewell ha individuato ShadowSyndicate, un gruppo finora sconosciuto nel panorama delle minacce ransomware.

Da più di un anno a questa parte, molti ricercatori hanno segnalato lo stesso fingerprint SSH in più di 85 server, dei quali 52 usati per le comunicazioni coi dispositivi infetti. Il fingerprint è stato trovato per la prima volta il 16 luglio 2022 ed è ancora in uso.

I team di Group-IB e Bridewell hanno attribuito il fingerprint a un unico gruppo, soprannominato appunto ShadowSyndicate; i ricercatori hanno formulato diverse ipotesi riguardo l’attività dei cybercriminali, e quella più plausibile è che il gruppo sia un affiliato ransomware-as-a-service che sta attivamente collaborando con diversi gruppi per sferrare attacchi in tutto il mondo.

Tra i malware e i tool usati dal gruppo spiccano Cobalt Strike, strumento di Adversary Simulation; Sliver, un tool open-source di penetration testing; IcedID, un malware nato come trojan bancario e ora utilizzato per diffondere payload di altri malware; e Matanbuchus, un loader di malware-as-a-service.

Pixabay

Il gruppo usa server dislocati in 13 diversi Paesi; la maggior parte dei server si trova a Panama (13), a Cipro (11), in Russia (9) e nelle Seychelles (8).

Le attività dei server del gruppo si legano a quelle di almeno sette gruppi ransomware. Tra i principali ci sono Nokoyama, attivo dal 2022, e a ALPHV – BlackCat, uno dei gruppi ransomware più attivi nel mondo del cybercrimine. In passato il gruppo ha avuto rapporti anche col gruppo dietro Quantum, un ransomware particolarmente attivo tra il 2021 e il 2022.

I ricercatori hanno inoltre individuato alcune connessioni con l’infrastruttura di Cl0p: diversi indirizzi IP inizialmente di proprietà di Cl0p sono passati sotto il dominio di ShadowSyndicate.

I ricercatori non sono ancora riusciti a confermare del tutto l’ipotesi dell’affiliato ransomware-as-a-service, ma al momento resta la più attendibile. Nessun indizio anche sull’identità del gruppo; è probabile che ShadowSyndicate sia un’affiliazione di cybercriminali provenienti da diversi gruppi ransomware conosciuti.