Mag 14, 2024 Marina Londei Approfondimenti, Attacchi, Campagne malware, In evidenza, News 0

Dalla sua prima identificazione nell’aprile 2022 a oggi, il gruppo ransomware Black Basta e i suoi affiliati hanno colpito più di 500 organizzazioni in tutto il mondo: a dirlo è un report congiunto dell’FBI, della CISA, del Dipartimento della Salute e dei Servizi Umani U.S.A. e del Multi-State Information Sharing and Analysis Center (MS-ISAC), un centro di raccolta e condivisione di informazioni di cybersecurity sul territorio statunitense.

Il report spiega che il ransomware e le sue varianti hanno colpito almeno 12 settori critici su 16, incluso quello sanitario, nel Nord America, in Europa e in Australia.

Black Basta e gli affiliati utilizzano il phishing e l’exploit di vulnerabilità note per ottenere l’accesso iniziale ai sistemi e poi seguono un modello a doppia estorsione, esfiltrando e cifrando i dati. Per spostarsi lateralmente, gli attaccanti usano tool come BITSAdmin e PsExec, e in alcuni casi strumenti come Splashtop, Screen Connect e Cobalt Strike per l’accesso remoto.

In seguito gli affiliati usano tool per lo scraping di credenziali come Mimikatz e procedono con l’escalation dei privilegi. Il report evidenzia che in alcuni casi gli attaccanti hanno sfruttato anche le vulnerabilità ZeroLogon, NoPac e PrintNightmare per l’escalation dei privilegi locale e di Windows Active Domain.

Pixabay

I dati vengono cifrati con algoritmo ChaCha20 con chiave pubblica RS-4096, risultando in un file con estensione .basta. Nel sistema viene inoltra lasciata una nota di riscatto chiamata readme.txt.

Nella nota del riscatto non viene specificata la quota da inviare né le istruzioni di pagamento, ma un codice univoco e le indicazioni per contattare il gruppo tramite un URL .onion e ricevere dettagli sul pagamento. Generalmente le aziende devono pagare il riscatto entro 10-12 giorni prima che il gruppo pubblichi i dati ottenuti su Basta news, il sito TOR del gruppo.

Per proteggersi da Black Basta e in generale dagli attacchi ransomware, il report ricorda l’importanza di mantenere aggiornati i sistemi e le applicazioni con gli ultimi aggiornamenti dei vendor, implementare l’autenticazione multi-fattore, avere dei piani di backup solidi e istruire la forza lavoro sui tentativi di phishing per rafforzare la prima linea di difesa.