Nel panorama delle minacce informatiche, il gruppo criminale Ransomhub ha dimostrato una pericolosa evoluzione nelle tattiche di attacco, sfruttando un software legittimo come TDSSKiller di Kaspersky per disabilitare le difese critiche delle aziende.
In particolare, l’uso di TDSSKiller consente ai criminali di disattivare i sistemi di Endpoint Detection and Response (EDR), che rappresentano una delle prime linee di difesa contro il ransomware.
Questo approccio non solo sfrutta le vulnerabilità tecnologiche, ma capitalizza anche su strumenti di sicurezza esistenti, rendendo gli attacchi più difficili da rilevare e contrastare.
Indice degli argomenti
Il ruolo di TDSSKiller
TDSSKiller è uno strumento originariamente sviluppato per rilevare e rimuovere rootkit e bootkit, tipi di malware avanzati che possono nascondersi nelle profondità di un sistema operativo.
Tuttavia, i criminali informatici hanno iniziato a utilizzare questo strumento in modo improprio per disabilitare le difese EDR presenti su sistemi aziendali.
Poiché TDSSKiller è firmato digitalmente con un certificato legittimo, riesce spesso a superare i controlli di sicurezza standard senza sollevare sospetti immediati.
Una volta lanciato, il software viene eseguito da una directory temporanea con un nome di file generato dinamicamente, un ulteriore stratagemma che riduce la possibilità di essere individuato dai sistemi di sicurezza.
Disabilitare l’EDR: un attacco strategico
La capacità di disabilitare i sistemi EDR offre al gruppo Ransomhub un vantaggio significativo durante gli attacchi. Le soluzioni EDR fungono da scudo protettivo, analizzando il comportamento delle applicazioni e rilevando attività sospette che potrebbero indicare la presenza di malware o ransomware.
Senza EDR attivo, il ransomware può diffondersi liberamente nella rete aziendale.
Una volta disabilitati i sistemi di difesa, Ransomhub procede con l’installazione di ulteriori strumenti malevoli, come LaZagne, un programma di estrazione di credenziali. LaZagne permette agli attaccanti di raccogliere le credenziali di accesso memorizzate in diverse applicazioni, ampliando il loro raggio d’azione all’interno della rete.
Metodologie di evasione avanzata
Un ulteriore aspetto distintivo degli attacchi di Ransomhub è l’uso di TDSSKiller in modalità di evasione avanzata.
Gli esperti di sicurezza hanno osservato che il tool viene lanciato con parametri specifici, come l’opzione `-dcsvc`, che viene utilizzata per disabilitare o eliminare servizi di sicurezza.
Questo approccio, unito alla firma legittima del software e alla sua esecuzione da percorsi temporanei, rende difficile per le soluzioni di sicurezza rilevare immediatamente l’attività malevola.
Inoltre, una volta compromessi i sistemi di sicurezza, Ransomhub utilizza tecniche di persistenza per mantenere il controllo dei dispositivi infetti.
Questo permette loro di eseguire operazioni di raccolta dati a lungo termine e preparare il terreno per la fase finale dell’attacco: la distribuzione del ransomware.
Come viene sfruttato il tool LaZagne
Un altro elemento chiave nelle strategie di attacco del gruppo Ransomhub, come dicevamo, è l’uso del tool LaZagne, un programma open source sviluppato per l’estrazione di credenziali memorizzate localmente. Questo strumento, originariamente progettato per aiutare i professionisti della sicurezza a testare la vulnerabilità dei propri sistemi, è diventato un’arma potente nelle mani dei criminali informatici.
LaZagne opera raccogliendo password da una vasta gamma di applicazioni, tra cui browser, software di messaggistica, database, client di posta elettronica e strumenti di gestione delle password.
Il programma utilizza diverse tecniche, come il dump della memoria o l’analisi di file di configurazione locali, per recuperare informazioni sensibili.
Una volta raccolte queste credenziali, gli attaccanti possono utilizzarle per espandere l’accesso ai sistemi aziendali, muovendosi lateralmente all’interno della rete e compromettendo ulteriori risorse.
In contesti come quelli degli attacchi di Ransomhub, LaZagne viene sfruttato dopo che gli EDR sono stati disattivati, consentendo agli attaccanti di operare senza restrizioni e raccogliere preziosi dati di autenticazione.
L’efficacia di LaZagne risiede nella sua capacità di operare senza lasciare evidenti tracce, rendendo più difficile per le vittime identificare rapidamente la compromissione.
L’utilizzo combinato di TDSSKiller e LaZagne sottolinea quanto siano sofisticati questi attacchi, che non si limitano a bloccare i sistemi ma mirano a sfruttare le vulnerabilità e massimizzare i danni alle reti aziendali.
Raccomandazioni di sicurezza
Per proteggersi da attacchi come quelli di Ransomhub, gli esperti di sicurezza consigliano di adottare una serie di contromisure avanzate:
- Tamper Protection: abilitare la protezione contro le manomissioni sugli strumenti EDR per impedire che vengano disabilitati da software esterni.
- Monitoraggio di parametri specifici: analizzare costantemente i parametri dei comandi come `-dcsvc`, che possono indicare tentativi di disattivare servizi critici.
- Aggiornamento dei sistemi di sicurezza: implementare soluzioni di sicurezza che vadano oltre la semplice firma digitale, utilizzando algoritmi di intelligenza artificiale per rilevare comportamenti anomali anche in software apparentemente legittimi.
- Segmentazione della rete: limitare il movimento laterale del ransomware all’interno della rete attraverso una segmentazione adeguata, riducendo la possibilità che gli attaccanti compromettano più sistemi.
Conclusione
L’attacco di Ransomhub evidenzia quanto sia fondamentale per le aziende mantenere aggiornate e ben protette le loro soluzioni di sicurezza.
L’uso improprio di strumenti legittimi come TDSSKiller rappresenta una minaccia crescente e richiede una risposta attiva e adattiva da parte delle organizzazioni.
La chiave per prevenire attacchi di questo tipo risiede nell’adozione di tecnologie avanzate che possano riconoscere comportamenti anomali, anche quando sembrano provenire da strumenti affidabili.
