di Sergio Restelli
Nel secondo trimestre 2023, il fenomeno del ransomware (furto di dati sensibili con richiesta di riscatto) è cresciuto del +34,6% in Italia e del +62% a livello globale rispetto al trimestre precedente. A rilevarlo è l’ultimo report “Threatland” curato dal Security Operation Center (SOC) e dal Team di Cyber Threat Intelligence di Swascan, azienda di Cybersecurity del Polo Cyber del Gruppo Tinexta. Il numero delle aziende vittime delle gang ransomware è aumentato del 185% dall’inizio dell’anno e del 105% rispetto al secondo trimestre del 2022. In Italia, l’80% delle vittime colpite sono PMI e il 91% sono aziende con fatturato inferiore ai 250 milioni di euro. Secondo il report che analizza i principali rischi informatici (ransomware, phishing e malware) tra aprile e giugno scorsi in Italia si sono registrati numerosi attacchi informatici che hanno coinvolto soprattutto aziende di servizi. Circa 190 mila i dispositivi compromessi in Italia. La cyber-gang “Monti” quella più attiva nel nostro Paese.
Questi attacchi sembrano avere un obiettivo preciso, le aziende. In particolare, quelle statunitensi sono state le più bersagliate, con 636 attacchi, seguite da quelle del Regno Unito (69) e del Canada (60). In Italia l’80% di questi ha colpito le PMI, dimostrando come i cybercriminali le ritengono più vulnerabili rispetto alle grandi aziende. Il 91% delle aziende italiane vittime ha un fatturato al di sotto dei €250 milioni.Anche la geografia del fenomeno si sta espandendo: mentre nel primo trimestre del 2023 erano 79 i Paesi colpiti, nel secondo sono diventati 89. Dall’inizio dell’anno, sono stati registrati complessivamente 2.349 attacchi, con un picco di attività a maggio dove sono avvenuti il 25% (575) degli attacchi totali.Le aziende di servizi sono state le più colpite, rappresentando il 47% degli attacchi, seguite da quelle del settore manufatturiero (16%) e tecnologico (6%). La convergenza tra diverse tipologie di minacce è una dimostrazione della complessità e dell’adattabilità del panorama degli attacchi – commenta Pierguido Iezzi, Cyber Security Director e Ceo di Swascan. Attacchi come phishing, ransomware e malware stanno seguendo una curva di crescita che supera le spiegazioni legate a fenomeni casuali. Questa tendenza sottolinea l’urgenza di adottare strategie di difesa avanzate nell’era digitale per proteggere il patrimonio, l’economia e i cittadini. Ora più che mai – conclude Iezzi – è imperativo garantire la sicurezza della rete per salvaguardare aspetti che ci riguardano da vicino, come il prestigio del “Made in Italy”, oltre che proteggere le persone da minacce dirette e indirette».
Ransomware, una minaccia globale crescente. Stando ai dati raccolti da Swascan, sono state 1451 le vittime (colpite e soggette a pubblicazione di dati rubati) a livello globale di questi attacchi, caratterizzati dalla diffusione di software malevoli che criptano dati per il cui ripristino si chiede il pagamento di un riscatto. Si registra anche un incremento delle gang di cybercriminali dietro questi attacchi il cui numero di è salito da 36 a 43 (+19,4%). Lockbit si distingue come la più attiva, avendo orchestrato ben 245 attacchi nel corso del trimestre.
La nuova fase di “Weaponization” rappresenta una parte cruciale della Cyber Kill Chain, che è un modello che descrive le fasi di un attacco informatico. Durante questa fase, gli aggressori prendono un payload malevolo (come un virus o un malware) e lo trasformano in un’arma pronta per essere utilizzata contro il sistema target. Questo processo coinvolge spesso la preparazione di diversi tipi di malware, tra cui botnet, info stealer e RAT (Trojan di accesso remoto).
Botnet: Le botnet sono reti di computer compromessi e controllati da remoto dagli aggressori. Questi computer compromessi, chiamati “bot,” possono essere utilizzati per condurre attacchi distribuiti di denial of service (DDoS), inviare spam o diffondere ulteriormente il malware. Gli aggressori sfruttano le botnet per inviare comandi ai bot compromessi e per raccogliere informazioni da essi.
Info Stealer: Gli info stealer sono tipi di malware progettati per rubare informazioni sensibili dai sistemi infettati. Questi malware possono raccogliere dati come credenziali di accesso, informazioni bancarie, dati di carte di credito o altre informazioni personali. Una volta raccolte, le informazioni vengono inviate al comando e controllo (C2) dell’attaccante per essere sfruttate o utilizzate per scopi illeciti.
RAT (Trojan di accesso remoto): I RAT consentono agli aggressori di prendere il controllo completo di un sistema compromesso da remoto. Gli attaccanti possono accedere al sistema, eseguire comandi, scaricare ulteriori malware, estrarre dati o compiere altre azioni dannose. Questi strumenti offrono agli aggressori un controllo furtivo e persistente sul sistema compromesso.
La fase di weaponization è fondamentale per gli aggressori poiché rappresenta il momento in cui il payload malevolo viene trasformato in uno strumento di attacco funzionante. Gli aggressori utilizzano queste forme di malware, come botnet, info stealer e RAT, per ottenere e mantenere l’accesso non autorizzato al sistema bersaglio e per condurre ulteriori fasi dell’attacco.
Per proteggersi efficacemente dalla fase di Reconnaissance (la fase precedente nella Cyber Kill Chain), le organizzazioni devono adottare diverse misure di sicurezza. Queste includono la vigilanza costante dei mercati nel dark web per monitorare eventuali violazioni dei dati aziendali, l’implementazione di soluzioni di rilevamento delle vulnerabilità per identificare e mitigare le nuove CVE (Common Vulnerabilities and Exposures), nonché la formazione e la consapevolezza degli utenti per riconoscere e resistere alle tattiche di social engineering. È importante mantenere sistemi e applicazioni aggiornati con le ultime patch di sicurezza e adottare buone pratiche di sicurezza informatica, come l’utilizzo di password robuste e l’autenticazione a multi-fattori.
Inoltre, il report sottolinea che nel secondo trimestre del 2023 sono stati registrati aumenti significativi degli attacchi di ransomware e phishing. Gli aggressori stanno utilizzando metodi sempre più sofisticati per condurre questi attacchi, mirando principalmente alle aziende, e il commercio di credenziali rubate è in crescita, rappresentando una minaccia per la sicurezza delle informazioni e la reputazione delle organizzazioni. La collaborazione tra varie gang ransomware sta aumentando, rendendo il panorama delle minacce ancora più complesso e pericoloso.
Infine, è importante notare che gli attacchi di phishing sono diventati sempre più sofisticati, con gli aggressori che cercano di ingannare gli utenti attraverso e-mail, siti web e messaggi di testo ingannevoli. Questi attacchi mirano a ottenere informazioni sensibili come password e dati finanziari.
Il report evidenzia la crescente importanza della sicurezza informatica nell’era digitale e l’urgenza di adottare strategie di difesa avanzate per proteggere le aziende e le persone dai crescenti rischi informatici.
Continuando riguardo alle informazioni relative alle minacce informatiche, alle fasi della Cyber Kill Chain e ai dati specifici sull’andamento degli attacchi nel secondo trimestre del 2023. Ecco un riassunto delle informazioni principali.
Nel secondo trimestre del 2023, le minacce informatiche hanno continuato a rappresentare una sfida crescente per le organizzazioni in tutto il mondo. In particolare, i ransomware, il phishing e i malware hanno dominato il panorama delle minacce.Ransomware: Gli attacchi di ransomware sono cresciuti significativamente sia in Italia che a livello globale. Le gang ransomware hanno incrementato il numero di attacchi, richiedendo riscatti in cambio del ripristino dei dati crittografati. Le PMI sono risultate essere le vittime più frequenti in Italia, con l’80% delle aziende colpite appartenenti a questa categoria. Le aziende di servizi sono state le più bersagliate, rappresentando il 47% degli attacchi.
Phishing: Le campagne di phishing hanno costituito una minaccia diffusa, con quasi 160.000 campagne segnalate. Il settore bancario è stato il principale obiettivo degli attacchi di phishing, mirati a esfiltrare credenziali di accesso e informazioni di pagamento.
Malware “Infostealer”: I malware specializzati nel rubare informazioni confidenziali dagli host infettati, noti come “infostealer,” sono diventati la famiglia di malware più diffusa nel secondo trimestre del 2023. Questi malware mettono a rischio la sicurezza delle informazioni e la continuità operativa.
Cyber Kill Chain: l
a metodologia della Cyber Kill Chain è stata utilizzata per identificare e affrontare le minacce informatiche. Questo modello suddivide l’attacco informatico in sette fasi, dalla Reconnaissance all’Actions on Objectives, consentendo alle organizzazioni di comprendere il modus operandi degli aggressori e mettere in atto le necessarie contromisure.
Credenziali Rubate: Un’analisi dei marketplace di credenziali rubate ha rivelato che nel secondo trimestre del 2023, quasi 8 milioni di dispositivi sono stati compromessi su scala globale, con l’Italia che ha contribuito con oltre 189.000 dispositivi compromessi. Questo ha reso disponibili dati sensibili e informazioni personali sul mercato nero.Infine, è importante notare che la convergenza di diverse minacce informatiche, come phishing, ransomware e malware, evidenzia la complessità e l’adattabilità del panorama degli attacchi. Questa tendenza sottolinea l’importanza di adottare strategie di difesa avanzate per proteggere l’economia, il patrimonio e la sicurezza delle persone.
