Analisi di Phobos Ransomware

Una minaccia che predilige l’infiltrazione remota e il controllo diretto da parte degli attaccanti.

1. Cos’è Phobos ransomware?
2. Come agisce Phobos ransomware?
3. Come proteggersi da un ransomware come Phobos?

Negli ultimi anni, la sicurezza informatica è diventata una priorità crescente per organizzazioni e individui, a causa dell’escalation delle minacce digitali.
Tra queste, i ransomware continuano a occupare una posizione di rilievo, evolvendosi costantemente e colpendo vittime in tutto il mondo.

Ma non è sempre detto che una minaccia considerata debellata, possa non riapparire sotto una nuova veste e con un nuovo corredo di moduli malevoli potenziati. Di certo, la minaccia in esame quest’oggi, rappresenta uno dei tanti casi appena descritti. Un ransomware che, seguendo la scia di altri illustri predecessori, ripropone un modello di estorsione ampiamente collaudato. Il suo nome? Phobos.

Ma come sempre, andiamo con ordine e affrontiamo per gradi l’argomento.

Cos’è Phobos ransomware?

Phobos è un ransomware dai legami molto pericolosi.
Questo perché condivide dei tratti salienti con altri due illustri esponenti in termini di struttura e approccio: Crysis e Dharma. Apparso per la prima volta sul finire del 2018, Phobos non ci ha messo molto a distinguersi nel panorama informatico, proprio in virtù della sua natura subdola e distruttiva. Diffusosi rapidamente attraverso campagne di phishing con e-mail malevole e tattiche di violazione del protocollo RDP, Phobos si è dimostrato particolarmente remunerativo nell’ambiente del dark web, dove viene distribuito tramite il classico approccio ransomware-as-a-service.

Le analisi condotte dagli esperti di sicurezza informatica a inizio 2019, hanno messo in luce le peculiarità distintive di Phobos.
Tra queste spicca l’uso di estensioni uniche per i file crittografati, comprendenti perfino il nome della vittima presa di mira e il contatto e-mail per negoziare il riscatto. Ciò rende molto difficile, se non addirittura impossibile, il recupero dei dati criptati in assenza della chiave di decriptazione.

Ciò che manca ancora all’appello è un nome.
Il collettivo criminale, o il singolo autore malevolo autore di Phobos ransomware, resta tutt’oggi avvolto nel completo anonimato.
Per diverso tempo si è speculato che possa trattarsi dello stesso collettivo responsabile di Dharma, viste le caratteristiche comuni o che possa trattarsi dell’unione dei membri autori sia di questo, che di un altro collettivo autore del ransomware Crysis. Tuttavia, si tratta prettamente di speculazioni.

Come agisce Phobos ransomware?

Diffusione tramite RDP e altri metodi di attacco

Phobos predilige diffondere la propria infezione attraverso il Protocollo di Desktop Remoto (RDP), un metodo estremamente efficace per accedere illecitamente ai server e alla rete interna delle organizzazioni. I cybercriminali sfruttano porte RDP esposte con protezioni deboli, utilizzando attacchi di brute force per violare il perimetro di sicurezza. Oltre a questo, Phobos utilizza approcci classici come il phishing tramite e-mail con allegati malevoli, sfruttamento di vulnerabilità attraverso exploit kit e attacchi drive-by-download da siti web compromessi.

Fase di infiltrazione e criptazione dei file

Una volta che Phobos riesce a infiltrarsi nel sistema, gli attaccanti esplorano la rete per garantire che il ransomware possa agire indisturbato.
Questo ransomware richiede l’interazione umana diretta: i criminali monitorano attivamente le comunicazioni con le vittime, adattando il riscatto in base alla gravità dell’attacco e alla capacità di pagamento della vittima. Dopo l’infiltrazione, Phobos avvia la scansione degli hard drive, identificando i file critici e avviando la criptazione. Non è prevista esfiltrazione di dati, poiché non applica la doppia estorsione tipica di altri ransomware.
La criptazione dei file avviene con algoritmi AES-256 e RSA-2048.

Gestione manuale e richiesta di riscatto

Phobos rinomina i file crittografati con un’estensione che include un identificatore unico della vittima e un indirizzo e-mail per il contatto con gli attaccanti. Ad esempio, un file chiamato “bilanci.xlsx” diventa “bilanci.xlsx.id[id_vittima].[email_pro_criminali]“.
Alla fine della criptazione, Phobos genera una nota di riscatto in formato .txt, accompagnata da un’immagine in formato bitmap che viene impostata come sfondo del desktop. Questa nota contiene l’ID della vittima, l’indirizzo e-mail per contattare gli attaccanti, le istruzioni per il pagamento del riscatto (solitamente in Bitcoin), e la possibilità di decriptare gratuitamente fino a 5 file non critici per dimostrare l’efficacia della decriptazione.

Settori colpiti e distribuzione geografica

Le vittime di Phobos appartengono principalmente ai settori sanitario, educativo, ai servizi di emergenza e alla pubblica amministrazione.
La maggior parte degli attacchi è stata registrata negli Stati Uniti, ma Phobos ha colpito anche organizzazioni in Paesi in via di sviluppo, come la Nigeria.

Come proteggersi da un ransomware come Phobos?

Nel caso di attacchi ransomware, sfortunatamente non esiste una soluzione univoca per potersi difendere. Esistono però una serie di strategie e metodologie per prevenire e mitigare i danni da minacce del genere.

Effettuare aggiornamenti regolari e applicare le patch di sicurezza

Ci si deve assicurare che i sistemi operativi e il software applicativo siano sempre aggiornati, riducendo così le vulnerabilità sfruttabili da Phobos. Le patch tempestive proteggono contro l’uso di exploit noti.

Adottare una soluzione di filtraggio e-mail efficace

Poiché Phobos può infiltrarsi nei sistemi tramite la casella di posta elettronica, è imperativo adottare un filtro in grado di rilevare e-mail di spoofing, phishing e contenenti file malevoli sin dal principio.

Limitare l’accesso RDP

Dato che Phobos predilige la propria infiltrazione attraverso il protocollo RDP, bisogna ridurre l’esposizione delle porte e adottare misure cautelari basate su VPN, unite alla classica autenticazione a più fattori (MFA). In tal modo si possono prevenire accessi non autorizzati alla rete interna della propria organizzazione.

Effettuare un backup del database e dei propri servizi online

Le operazioni di backup sono sempre una delle migliori soluzioni per mitigare i danni e non perdere le informazioni sensibili dei propri clienti. Tuttavia, l’immagine di ripristino risultante deve essere conservata su un server lontano dalla rete principale, in quanto una sua eventuale compromissione vanificherebbe tutti gli sforzi condotti.

Istruire i propri clienti alle migliori pratiche e limitare i loro privilegi utente

L’infiltrazione mirata ad un attacco non avviene tramite l’azienda stessa, ma tramite i clienti ad essa associati, che rappresentano i soggetti più esposti a tali pratiche. Per cui è necessario doverli istruire con pratiche di sicurezza base e spingerli all’uso dell’autenticazione a due fattori sui loro dispositivi. Questo non solo permette alla propria organizzazione di rafforzare la propria cybersecurity, ma aiuta anche i clienti a proteggersi.

Affidarsi ad una soluzione antivirus professionale ed efficace

L’impiego di una suite di protezione completa permette di tenere al sicuro l’intera rete di sistemi connessi alla propria infrastruttura. I moduli anti-phishing integrati, il monitoraggio costante e la possibilità di isolare potenziali minacce in una sandbox permettono di mantenere costantemente al sicuro i propri dati da minacce indesiderate come Phobos.

In conclusione, la minaccia rappresentata da Phobos ransomware è tangibile, in quanto ancora libera di proliferare indisturbata.
In questo campo di battaglia, conosciuto come sicurezza informatica, in cui ogni decisione deve essere presa tempestivamente, la vera differenza la facciamo noi: gli utenti comuni. Una rete difensiva avanzata è certamente essenziale, ma la prevenzione parte dalla nostra capacità di adottare buone pratiche di sicurezza. Dalla protezione delle credenziali, all’aggiornamento costante dei sistemi. Siamo noi a dover riconoscere e bloccare le minacce prima che possano agire, grazie alla formazione, alla consapevolezza e a un atteggiamento proattivo.

Ecco perché resta sempre lo stesso imperativo: mai abbassare la guardia e mai sottovalutare il nostro nemico comune.