Cyber attacchi: uno scenario che evolve. Previsioni del GReAT di KASPERSKY

Considerazioni di Giampaolo Dedola del Global Research and Analysis Team (GReAT) di Kaspersky.

Come il Coronavirus ha cambiato lo scenario del cyber crime.
Dal punto di vista dell’espansione del cybercrime e della sofisticazione dei software dannosi – spiega Dedola del GReAT di Kaspersky – il Covid ha avuto un’importanza fondamentale. Le stime degli attacchi subiti dalle aziende nel corso dell’anno appena concluso ci permettono di affermare che i gruppi criminali hanno largamente sfruttato il tema del Coronavirus. Continueranno a farlo nel 2021 sull’onda dello sviluppo dei vaccini”.
Grazie al Covid, gli attaccanti hanno trovato nuovo terreno fertile. Frodi, phishing e malware generici sono aumentati esponenzialmente durante il lockdown e si è osservata anche una sofisticazione progressiva degli attacchi e dell’organizzazione tra gruppi criminali. Le ragioni di questi macro-trend sono diverse: innanzitutto la digitalizzazione ha aumentato l’esposizione degli utenti in rete, specialmente nei momenti di restrizione dei movimenti.
Il lockdown ha spinto in avanti l’e-commerce, la navigazione tra siti di informazione, l’utilizzo dei social network, le videochiamate per mantenere le relazioni personali, ecc… moltissimi utenti, spesso non particolarmente tecnologici, hanno esposto il fianco al cybercrime.
Per il 2021, allora, è prevista una presenza costante di minacce della tipologia banking trojan, poiché una più vasta platea di utenti ha preso confidenza con gli strumenti online. Carte di credito e accesso ai conti bancari, soprattutto in ambito mobile, saranno a rischio, se non adeguatamente protetti. Impattante si è rivelato anche l’incremento dello smartworking: l’aumento del numero di sistemi esposti dalle aziende ha determinato una parallela crescita di attacchi ai network appliance, dispositivi nel perimetro aziendale che permettono di comunicare da remoto con l’l’interno dell’azienda. Noi del GReAT di Kaspersky – specifica Dedola – abbiamo osservato un chiaro incremento di tentativi di accesso abusivo ai sistemi di gestione remota, come i server RDP ((Remote Desktop Protocol). Ciò dimostra che gli attaccanti hanno interesse ad accedere a quei sistemi, per poi penetrare nella rete aziendale.

“Ramsonware mirati”, temibili protagonisti nel 2021

Apparentemente slegati dal Covid, ma estremamente utilizzati proprio in concomitanza dell’epidemia, gli attacchi ransomware mirati rappresentano il fenomeno di questi ultimi anni. Comparsi nel 2016, hanno già goduto di diversi sviluppi e sofisticazioni. Ultima evoluzione: “ransomware con doppia estorsione”, in circolazione da gennaio 2020.
Si tratta di un sistema in due fasi: inizialmente gli attaccanti compromettono l’infrastruttura del target e prendono il controllo del sistema e rubano una grande quantità di dati sensibili.
In un secondo momento cifrano i dati e minacciano di pubblicare i dati sottratti nel caso non venga pagata la somma richiesta. La minaccia sulla quale fanno leva è la pubblicazione del nome dell’azienda e dei dati rubati. “Questa modalità di doppio attacco si è rivelata redditizia per i gruppi criminali, quindi certamente proseguirà”, assicura il ricercatore, che prosegue: “Nel corso del 2020, infatti, abbiamo osservato che i gruppi specializzati in attacchi ransomware mirati hanno sfruttato minacce generiche per penetrare nelle aziende prese di mira. Nello specifico, sappiamo che i criminali informatici che si occupano dell’infezione massiva di sistemi tramite minacce generiche, rivendono poi i dati sottratti e l’accesso ai sistemi a soggetti terzi. Tra questi ci sono i gruppi dediti agli attacchi ‘targeted ransomware’ che, piuttosto che compromettere i sistemi di prima persona, hanno preferito pagare altri criminali per ottenere l’accesso. Nel prossimo futuro ci aspettiamo che lo stesso approccio venga emulato da altri gruppi specializzati in attacchi sofisticati quali gli APT (Advanced Persistent Thread)”.
I gruppi specializzati in attacchi sofisticati, infatti, si stanno interessando ai ransomware targeted per via della loro redditività. Parliamo di gruppi molto organizzati, e a volte sponsorizzati dagli Stati, come Lazarus.
In un recente attacco, per esempio, proprio Lazarus ha utilizzato un nuovo tipo di ransomware, chiamato VHD che è stato distribuito usando tool e framework privati che normalmente venivano usati dal gruppo esclusivamente per effettuare attacchi APT. Ciò fa pensare che i ransomware mirati saranno ulteriormente sofisticati e usati anche dai cyber criminali più organizzati. A questo proposito, ci aspettiamo anche che il tema Covid continuerà ad essere centrale per gli attaccanti più sofisticati e presumibilmente dovremmo aspettarci attacchi ai danni delle organizzazioni che producono o distribuiranno i vaccini. Non sappiamo quali saranno le finalità, ma sappiamo che quel tipo di aziende sono nel mirino, basti pensare all’annuncio dell’Ema nel quale dichiara di aver subito un attacco, a novembre, che sembrava finalizzato al furto di informazioni legate al vaccino.
I ransomware, insomma, stanno passando di livello, diventando le armi sofisticate dei gruppi più organizzati e potenti del settore del Cybercrime. Il loro vettore iniziale, però, è spesso costituito da malware generici, anch’essi oggetto di studio e sofisticazione.

Alle aziende è consigliato un medio/alto livello di sicurezza informatica. Inoltre, è fondamentale formare il proprio personale, soprattutto se lavora da remoto. Gli argomenti sui quali non può più mancare la consapevolezza sono: phishing, mail anomale, come gestire la propria identità on line, come e perché utilizzare un password manager, come mantenere il sistema aggiornato, cosa fare se ha il sospetto che la macchina è stata compromessa.