Il ransomware è ampiamente utilizzato dai criminali informatici, causando danni significativi alle imprese e alle pubbliche amministrazioni. Mentre il 2022 ha visto per la prima volta in cinque anni un calo degli attacchi riusciti, il 2023 è tornato in linea con la tendenza generale, con una rinnovata crescita degli attacchi riusciti, sia in Italia che nel mondo.

Comprendere il modus operandi, le pratiche e le motivazioni degli aggressori è fondamentale per una migliore protezione.

Ecco alcuni approfondimenti dai team Advens CERT e Advens SOC.

Gli aggressori cercano efficienza e profitti rapidi

Gli highlight risultanti dalla ricerca dell’efficienza negli attacchi evidenziano:

1. Tempi di implementazione sempre più brevi. Infatti, il tempo medio necessario per distribuire il ransomware è sceso da 2 mesi nel 2019 a meno di 4 giorni. Secondo il CERT Advens, il 10% dei ransomware viene distribuito entro 5 ore dalla riuscita della prima violazione di accesso. Questa tendenza di fondo continua a progredire.
2. Le strategie di monetizzazione impiegate dagli autori malintenzionati si sono evolute: sono ancora alla ricerca del ritorno sull’investimento più elevato e, soprattutto, più rapido. Questa ricerca si riflette innanzitutto nello “spruzzamento” degli obiettivi, che consiste nell’attaccare le zone più facili da compromettere.
3. A livello globale, il riscatto medio pagato nel quarto trimestre del 2023 è stimato a circa 200.000 dollari. Tuttavia, poiché i pagamenti di riscatto stanno diventando sempre più rari (secondo Coveware, il 41% delle vittime di ransomware ha pagato il riscatto nel 2022, rispetto al 76% nel 2019) e l’implementazione degli EDR (Endpoint Detection and Response) è sempre più diffusa, gli aggressori informatici stanno cambiando il modo in cui monetizzano i loro attacchi.
4. C’è stato un calo significativo nel tasso di crittografia. Gli obiettivi degli aggressori informatici si concentrano sempre più sullo spionaggio e sul furto di dati per venderli in massa. Gli aggressori informatici esercitano una pressione psicologica sulle aziende esfiltrando dati ed esercitando pressioni sugli amministratori e sulle loro famiglie.

Strumenti legittimi dirottati per causare danni

Il sempre più frequente dirottamento di strumenti legittimi dimostra anche un cambiamento nel modus operandi degli aggressori. L’obiettivo è raggiungere un’efficacia sempre maggiore lasciando meno tracce possibili. Secondo Crowdstrike, il 70% degli incidenti indagati nel 2023 non coinvolgevano malware.

Gli strumenti legittimi che vengono regolarmente violati includono:

1. Strumenti di comunicazione e gestione dei dati (servizi Cloud, Teams, Telegram, Discord), dirottati per attività dannose a causa della loro versatilità, discrezione e facilità di implementazione. Forniscono infrastrutture chiavi in mano di facile smaltimento.
2. Sfruttare gli strumenti di controllo remoto utilizzando quelli già presenti, per una maggiore discrezione.
3. Strumenti legittimi presenti su workstation e server, che consentono azioni illegittime come LOLBIN, LOLBAS e GTFO.

Gli aggressori già utilizzano l’intelligenza artificiale

Lo sfruttamento dell’intelligenza artificiale è destinato a diventare l’elemento più centrale in questo contesto di accelerazione.

L’uso dell’intelligenza artificiale per generare strumenti, procedure e processi di attacco è già una realtà. Ci sono molti esempi di questo. Di conseguenza, il furto di identità diventerà sempre più difficile da individuare e i fondamenti della sicurezza (“Cosa so, cosa ho, cosa sono”) dovranno essere rigorosamente applicati e combinati per evitare formidabili truffe “presidenti” (con l’impressione di avere la persona di fronte), autorizzazioni di accesso illecite e via dicendo.

Quali lezioni possiamo apprendere per i difensori?

Ci sono altri fattori da tenere in considerazione da parte dei difensori:

Affrontare le numerose vulnerabilità. Il 2023 ha visto un’esplosione nel numero di vulnerabilità pubbliche (29.000 nel 2023 rispetto a 25.000 nel 2022). Le principali CVE (Common Vulnerabilities and Exposures) scoperte nel 2023 riguardano quasi sistematicamente vulnerabilità perimetrali, a causa di un’eccessiva dipendenza da pochi elementi tecnologici che creano un’elevata concentrazione di vulnerabilità. È importante adottare un approccio strategico a questo problema, in modo da non esporre l’intera organizzazione con una singola vulnerabilità in un dispositivo di accesso.

Integrazione dell’intelligence sulle minacce informatiche. Inoltre, poiché l’intelligenza artificiale induce un apprendimento continuo e automatico, nonché la capacità di essere polimorfica, il suo utilizzo offensivo richiederà alle aziende di collaborare più strettamente nella condivisione delle informazioni. Il ruolo della Cyber Threat Intelligence (CTI) diventerà sempre più strategico per potersi adattare più rapidamente alle modalità di attacco. La collaborazione tra i team di sicurezza e di intelligence dovrà trovare modi di lavorare per anticipare le minacce in rapido movimento.

Non aspettare un incidente. Infine, i nostri team hanno anche osservato che il momento in cui le organizzazioni riescono davvero a potenziare la propria strategia e architettura di difesa è dopo un grave incidente di sicurezza. Un attacco riuscito è un vero e proprio acceleratore della trasformazione informatica. Ma è qualcosa da festeggiare?

Contributo editoriale sviluppato in collaborazione con Advens