AtomSilo: ascesa e declino di un crypto-ransomware

Nel panorama moderno si assiste in continuazione all’ascesa e alla scomparsa improvvisa di collettivi criminali e di ransomware molto violenti. Questi, sfruttando tecniche sempre più sofisticate e metodi ben rodati di criptazione, orchestrano attacchi devastanti contro organizzazioni e big tech mondiali.

Di sicuro uno degli attori che maggiormente ha rappresentato questa descrizione, è AtomSilo, una minaccia capace di paralizzare organizzazioni, estorcere ingenti somme di denaro e poi scomparso nel nulla nel giro di pochissimi mesi. Ma come sempre, andiamo con ordine e affrontiamo per gradi l’argomento.

1. Chi è AtomSilo?
2. Come funziona AtomSilo?
3. Best practice contro AtomSilo

Chi è AtomSilo?

Osservato per la prima volta nel settembre 2021, AtomSilo è un ransomware che prende di mira le reti aziendali e che segue la prassi della doppia estorsione: infezione, criptazione e richiesta di riscatto in cambio della chiave di decriptazione. Ciò che preoccupa principalmente è che il suo bersaglio è una vulnerabilità del software Confluence Collaboration di Atlassian, una suite di collaborazione aziendale cloud based.

La vulnerabilità scoperta, CVE-221-26084, funge da entry point per il ransomware, che, in assenza di una patch correttiva, è in grado di infiltrarsi nella rete aziendale presa di mira e di diffondersi fino ai server della compagnia.

Le cose si fanno ancora più interessanti nel momento in cui si va a scavare a fondo in tutta la faccenda, andando a rintracciare i suoi creatori.
Questi, identificati solo ed esclusivamente come AtomSilo Group, sono stati osservati solo per alcuni mesi e mai identificati. Le loro operazioni sono cominciate proprio a settembre 2021, in concomitanza con la prima osservazione certificata del ransomware, ma sono improvvisamente cessate nei mesi successivi, in prossimità della fine dello stesso anno.

Stando alle analisi riportate da WatchGuard, AtomSilo appartiene alla categoria di crypto-ransomware con un’origine accertata in Cina.
Il suo metodo di azione e le porzioni di codice analizzate, hanno fatto emergere alcune similitudini con altri ransomware di questo tipo, in particolare LockFile. Ciò fa presumere che il gruppo dietro la sua creazione appartenga ad un gruppo di attori malevoli sponsorizzati. Questi sono solitamente identificati come Bronze Starlight, sebbene siano apparsi altri alias a essi correlati, come:

• Cinnamon Tempest;
• DEV-0401;
• Emperor Dragonfly;
• SLIME34;

Questi in particolare si sono dimostrati le menti dietro altri attacchi ransomware, tutti mirati al furto di proprietà intellettuale di grandi aziende attive nel settore informatico cinese. Tra i ransomware impiegati dal team si citano:

1. Rook
2. Night Sky
3. Pandora

tutti derivati di LockFile. La speculazione degli esperti è avvalorata dalla scoperta che tutti i ransomware e i gruppi citati, hanno fatto uso di HUI Loader, il loader prediletto dal team di Bronze Starlight.

Come funziona AtomSilo?

Essendo un derivato diretto di LockFile, questo ransomware condivide molte similarità con il suo codice e perfino con Cerber, un altro crypto-ransomware.
Ciò è avvalorato dall’interfaccia con cui sono realizzare le note ransomware lasciate nel sistema infettato, facenti riferimento alla versione 6 di quest’ultimo.

AtomSilo, come detto in fase di apertura, sfrutta la vulnerabilità CVE-221-26084 di Confluence creato da Atlassian. In particolare, si è osservato che gli attori malevoli hanno preso di mira le vulnerabilità presenti in Confluence Server e Data Center, al fine di effettuare il deploy del ransomware. Le loro azioni non sono passate inosservate, infatti Atlassian passò al contrattacco, rilasciando una patch correttiva per i loro prodotti tre settimane dopo la prima osservazione di AtomSilo.

Nel momento in cui AtomSilo veniva rilasciato nel Confluence Server, mediante l’iniezione diretta con attacco di tipo OGNL (Object-Graph Navigation Language), il suo codice gli permetteva di aprire una backdoor nel sistema e permettere l’inserimento degli attori malevoli nella rete aziendale, mediante movimenti laterali. Così facendo, il gruppo poteva liberamente muoversi inosservato in tutta la rete, rilasciare ed eseguire software non autorizzato e perfino aprire ulteriori backdoor.

Quest’ultima azione è cruciale, in quanto la seconda backdoor di sistema permetteva loro di caricare il payload vero e proprio, consistente di tre file. Uno di questi era l’eseguibile di un software genuino e legittimo, con tanto di firma di un provider di terze parti autorizzato, ma vulnerabile ad un attacco sideload con DLL non firmate. Come sempre AtomSilo riusciva a mimetizzarsi agli strumenti di rilevamento, agendo direttamente con gli strumenti legittimi di Windows.

Una volta ottenuto il controllo della rete e del server della compagnia vittima, il ransomware dava inizio alle operazioni di esfiltrazione dei dati sensibili. Veniva effettuata una scansione completa di tutti i volumi presenti sui sistemi, compresi quelli appartenenti alle sessioni di desktop remoto. Con l’uso di RDP, i cybercriminali potevano ottenere l’accesso alle tastiere collegate, in modo da carpire gli input immessi attraverso lo storico di sessione, oltre che eseguire comandi diretti per il drop di RClone, una utility per copiare i dati presenti sul server ed esportarli verso un account Dropbox sotto il loro controllo.

Il processo di criptazione iniziava immediatamente dopo l’esfiltrazione dei dati sensibili, impiegando l’azione combinata di due differenti algoritmi di criptazione: AES 256 per i file e RSA-4096 per la chiave di decriptazione. Ciò garantiva la quasi impossibilità da parte della vittima di riottenere i file criptati al di fuori del pagamento del riscatto. Il file risultante era di tipo ibrido tra le due criptazioni e il ransomware appendeva al suo termine l’estensione .ATOMSILO.

Completato il processo di criptazione, AtomSilo rilasciava la sua nota ransomware in tutte le cartelle di sistema in cui aveva agito, appendendo alla fine l’estensione .hta. Il file finale si presentava come README-FILE-#COMPUTER#-#TIME#.hta. In questa nota, mostrata a schermo all’avvio stesso del sistema, il gruppo comunicava all’azienda l’avvenuta infezione e intimava loro di corrispondergli la somma richiesta entro e non oltre le successive 48 ore.
Pena la diffusione sul deepweb dei dati sensibili trafugati. Le cifre del riscatto ammontavano tra i 100.000 e il milione di dollari.

Attualmente si sono identificate solo quattro aziende vittima di AtomSilo, di cui due localizzate in Brasile, una in Lituania e un’altra in Giappone.
Gli attacchi sono avvenuti tra l’11 settembre 2021 e il 21 dicembre 2021, data in cui gruppo e rispettivo ransomware sono scomparsi dai radar.
Delle quattro vittime solo la prima ha pagato il riscatto ammontante a 500.000 dollari: una società brasiliana attiva in campo medico.

Tuttavia, sulla base delle note ransomware rilasciate e i metodi di comunicazioni molto simili a quelli del collettivo BlackMatter, emerge che potrebbero esserci state altre due vittime colpite da AtomSilo, le quali restano tutt’oggi non identificate.

Best practice contro AtomSilo e altri crypto-ransomware

Una procedura univoca per prevedere un attacco da parte di un crypto-ransomware del genere, è pressoché impossibile, ma restano sempre dei consigli su come poter evitare una possibile infezione e mitigare i danni.

• Aggiornare sempre e costantemente i software di sistema e i protocolli di sicurezza
  Poiché questo tipo di ransomware sfrutta delle vulnerabilità intrinseche ad un software, ci si deve assicurare che la propria organizzazione e i clienti ad essa associati adottino robuste politiche di sicurezza. Tutti i sistemi, l’hardware e i software in uso devono essere costantemente aggiornati con puntualità. Ciò riduce di molto le possibilità di un’infezione da ransomware.
• Adottare una soluzione di filtraggio e-mail efficace
  Molto spesso alcuni crypto-ransomware giungono nei sistemi mediante le classiche e-mail di phishing, per cui è obbligatorio adottare un filtro di posta in grado di rilevare sin dal principio allegati malevoli.
• Implementare un piano di monitoraggio degli endpoint affidabile
  Senza alcun endpoint sicuro e monitorato, i cybercriminali possono identificare immediatamente le vulnerabilità presenti nella rete della compagnia. Una rete con endpoint rafforzati e monitoraggio costante scoraggia i collettivi a tentare un attacco e permette all’organizzazione di individuare potenziali falle in maniera proattiva.
• Istruire i propri clienti alle migliori pratiche e limitare i loro privilegi utente
  L’infiltrazione mirata ad un attacco non avviene tramite l’azienda stessa, ma tramite i clienti ad essa associati, che rappresentano i soggetti più esposti a tali pratiche. Per cui è necessario doverli istruire con pratiche di sicurezza base e spingerli all’uso dell’autenticazione in due fattori sui loro dispositivi. Questo non solo permette alla propria organizzazione di rafforzare la propria cybersecurity, ma aiuta anche i clienti a proteggersi.
• Effettuare un backup del database e dei propri servizi online
  Le operazioni di backup sono sempre una delle migliori soluzioni per mitigare i danni e non perdere le informazioni sensibili dei propri clienti. Tuttavia, l’immagine di ripristino risultante deve essere conservata su un server lontano dalla rete principale, in quanto una sua eventuale compromissione vanificherebbe tutti gli sforzi condotti.

Si deve inoltre evidenziare la presenza di due software decryptor sviluppati da Avast e da Aypex per recuperare i propri file criptati da AtomSilo. Questi sono completamente gratuiti e disponibili al download sui siti ufficiali delle due compagnie.

In conclusione

Sebbene AtomSilo abbia cessato le proprie operazioni a fine 2021, resta comunque il timore dell’emergere di una minaccia derivata dal suo codice.
Nel panorama moderno di Internet, è bene sottolineare ancora una volta che la miglior difesa contro i collettivi criminali, siamo noi stessi.

La sicurezza informatica non può esistere se tutti noi abbassiamo la guardia, permettendo agli attori malevoli di appropriarsi dei nostri dati e delle nostre identità. La tecnologia ci fornisce, oggi più che mai, degli strumenti potentissimi. Sta a noi usarli nella maniera corretta.