Analisi di Khonsari Ransomware

La vulnerabilità di Log4j esposta per eseguire attacchi devastanti.
Un ransomware di nuova generazione che combina tecniche crittografiche avanzate e doppia estorsione.

1. Le origini di Khonsari.
2. Come funziona Khonsari?
3. Varianti e versioni successive di Khonsari
4. Come difendersi da un ransomware come Khonsari?

Nel panorama dei ransomware non è difficile assistere all’ascesa di minacce che prendono di mira determinate vulnerabilità intrinseche a determinati sistemi.
Uno di loro ha sferrato un duro colpo ad aziende e organizzazioni in tutto il mondo, sfruttando a proprio vantaggio le vulnerabilità di Apache Log4j.
Questo vettore d’attacco risponde al nome di Khonsari ed è in breve divenuto noto per aver popolarizzato attacchi basati su Log4Shell.

Le tecnologie informatiche e la sicurezza informatica continuano a evolversi, ma la comparsa di Khonsari ha sollevato un allarme globale.
Questo perché si tratta di una minaccia che incarna la sofisticazione e la rapidità con cui i malintenzionati possono sfruttare vulnerabilità critiche.

Ma come sempre, andiamo con ordine e affrontiamo per gradi l’argomento.

Le origini di Khonsari

Identificato per la prima volta nel dicembre 2021, Khonsari è balzato agli onori della cronaca in quanto primo ransomware in grado di sfruttare l’allora appena emersa vulnerabilità CVE-2021-44228 con punteggio di 10 su 10 (CVSS v3.1). Nota anche come Log4Shell, si tratta di una vulnerabilità critica presente nella versione 2.14.1 di Apache Log4j, popolare utility di logging impiegata dalla stragrande maggioranza dei framework Java-based. Essa ha attirato sin dal principio le attenzioni degli attori malevoli, poiché permette l’esecuzione remota di codice arbitrario (RCE) su server e applicazioni vulnerabili.

Poiché la stragrande maggioranza delle applicazioni aziendali e dei sistemi cloud si basano su microservizi realizzati mediante framework come Spring (Java-based), quindi contententi al loro interno Log4j, Khonsari ha conosciuto una diffusione molto ampia e decisamente semplificata. Infatti, il ransomware si è distinto per la semplicità del suo approccio iniziale, ma anche per l’efficacia delle sue azioni. Questo perché ha dimostrato come le vulnerabilità software, specialmente quelle presenti in utility di backend, possono trasformarsi in porte d’ingresso per attacchi devastanti.

Sebbene le sue origini non siano conosciute in maniera del tutto chiara, si sospetta che Khonsari sia opera di un collettivo addentrato nell’ambito dello sviluppo Java. Questo per via della rapidità con cui ha sfruttato la vulnerabilità Log4Shell, a cui si somma la pianificazione accurata degli attacchi.

Come funziona Khonsari?

Il modus operandi di Khonsari ransomware segue un percorso ben definito: sfruttare la vulnerabilità Log4Shell per infiltrarsi nei sistemi vulnerabili e, una volta all’interno, eseguire il suo payload.

L’attacco inizia con l’invio di una stringa malevola al sistema vulnerabile. Quando Log4j la processa, viene eseguito codice arbitrario nel sistema, che scarica ed esegue il payload del ransomware. Una volta attivato, Khonsari si installa nel sistema, spesso copiandosi in directory di sistema per garantirsi la persistenza. A questo punto, il ransomware instaura una connessione diretta con il server C2 controllato dai cybercriminali e da inizio all’esfiltrazione delle informazioni sensibili dal sistema della vittima. Quando questo giunge al termine, Khonsari passa alla criptazione dei file presenti sui drive del sistema infetto. Per far ciò, ricorre alla combinazione di due algoritmi crittografici:

• AES-256: l’algoritmo simmetrico è usato in fase di cifratura individuale dei singoli file, che passano al suo vaglio.
• RSA-4096: l’algoritmo asimettrico è, invece, impiegato per criptare la chiave simmetrica utilizzata dall’AES-256. In tal modo solo chi possiede la corrispondente chiave privata può decriptare il file criptato.

Tale strategia è studiato a tavolino, in modo da impedire alle vittime di poter ottenere per vie traverse i loro file originali. Anche se una di loro riuscisse a mettere le mani sulla chiave AES, sarebbe tagliata fuori dal possedimento della chiave privata RSA. Questo elemento è ciò che rende impossibile la decriptazione in loco dei dati.

A criptazione ultimata, Khonsari rilascia la sua ransom note, che si presenta come un file di testo intitolato: HOW TO GET YOUR FILES BACK.txt. In tal modo i cybercriminali possono comunicare con le vittime, fornendo loro il collegamento diretto al portale in host su rete Tor è l’importo del riscatto. Quest’ultimo varia a seconda dell’obiettivo preso di mira. Se il pagamento non è corrisposto entro il tempo prestabilito, la somma richiesta aumenta significativamente. Infine, se le vittime decidono di non soddisfare le richieste dei cybercriminali dopo un secondo avviso, allora i dati trafugati sono resi pubblici sul dark web.

La tattica della doppia estorsione è quindi completa e Khonsari finisce per esercitare una pressione notevole sulle proprie vittime, esattamente come accade con altri suoi illustri “colleghi”.

Varianti e versioni successive di Khonsari.

Nonostante l’emersione relativamente recente, Khonsari ha dimostrato di possedere già alcune versioni aggiornate e delle varianti.
Le prime versioni osservate tra la fine del 2021 e gli inizi del 2022, mostravano un ransomware dalla struttura molto basilare, il quale si limitava a criptare i dati locali mediante AES-256. Tuttavia, i suoi autori hanno provveduto ad aggiornarlo con rapidità, introducendo dapprima l’algoritmo asimettrico RSA-4096 e successivamente la capacità di connessione con il server C2.

Una versione successiva, osservata per la prima volta nei primi mesi del 2023, ha evidenziato l’implementazione di una feature molto preoccupante: la capacità di criptare anche i backup presenti nella rete aziendale. Tale elemento riduce notevolmente le possibilità di recupero dei propri dati da parte delle vittime. Infine, le varianti osservate nel corso del 2024 presentano delle tecniche di evasione molto efficaci. In tal modo Khonsari è divenuto perfino più difficile da rilevare da parte dei software antivirus e delle soluzioni di monitoraggio più avanzate.

Ciò porta alla luce un dettaglio preoccupante: il collettivo cybercriminale alle sue spalle sta investendo ingenti risorse nel suo miglioramento. Infatti, si stima che una futura variante potrebbe essere perfino più pericolosa e devastante contro i propri bersagli.

Come difendersi da un ransomware come Khonsari?

Una procedura univoca per prevedere un attacco da parte di un ransomware del genere, è pressoché impossibile. Tuttavia, esistono alcuni consigli e strategie da adottare per far fronte ad una sua possibile infezione.

• Aggiornare le versioni di Apache Log4j
  La vulnerabilità Log4Shell è stata corretta a partire dalla versione 2.15.0 di Log4j. Per cui è essenziale aggiornare immediatamente tutte le applicazioni e i sistemi che ne fanno uso, assicurandosi di applicare anche eventuali patch di sicurezza correlate.
• Isolare i sistemi esposti
  Si deve ridurre al minimo l’accesso ai sistemi esposti a Internet, configurando firewall e segmentando la rete. In tal modo si possono proteggere gli asset considerati critici.
• Implementare soluzioni EDR e SIEM
  Gli strumenti di rilevamento e risposta agli endpoint (EDR) e di gestione delle informazioni e degli eventi di sicurezza (SIEM) possono rilevare attività anomale legate a exploit come Log4Shell, consentendo di intervenire prima che si verifichino danni significativi.
• Eseguire backup regolari
  I backup devono essere sempre aggiornati e archiviati in ambienti isolati dalla rete principale. In caso di infezione, un backup integro è spesso l’unico modo per recuperare i dati senza pagare il riscatto.
• Formare il personale IT e gli utenti
  L’eduzcazione del personale sui rischi legati a Log4Shell e sulle migliori pratiche di sicurezza, deve essere imperativa. In tal modo, gli utenti, i clienti e i dipendenti acquisiscono le giuste competenze per identificare attività sospette e gestire al meglio i sistemi aziendali.

In conclusione

I cybercriminali evolvono costantemente i propri strumenti di attacco, integrando in essi funzionalità sempre più avanzate per aggirare le difese delle organizzazioni. Khonsari incarna questa tendenza, dimostrando come vulnerabilità pubblicamente divulgate, come Log4Shell, possano essere rapidamente trasformate in armi pericolose. Ecco perché si richiede espressamente l’adozione di politiche di sicurezza robuste, monitoraggio costante e aggiornamenti tempestivi. Il buon senso, unito ad una guardia sempre alta, rimane l’approccio più efficace.

In un’epoca in cui le informazioni sensibili rappresentano uno dei beni più preziosi, è fondamentale mettere in atto ogni misura possibile per proteggerle da minacce in continua evoluzione. Siamo noi a dover fare la differenza ed è nostro dovere rimanere vigili e uniti.