Leakware: un’analisi della variante ransomware più pericolosa

L’evoluzione dei ransomware comuni in veicoli di attacco capaci di esercitare una notevole pressione psicologica sulle loro vittime.

Gli attacchi informatici sono divenuti sempre più sofisticati e subdoli.
Il panorama delle minacce informatiche ha raggiunto il suo picco con la comparsa dei ransomware, la variante più pericolosa dei comuni malware. Sfruttando i suoi algoritmi di criptazione e le capacità di camuffamento, questo è in grado di condurre attacchi su larga scala, con conseguenze devastanti. Di certo la sua variante più pericolosa è quella denominata Leakware, in quanto non solo si limita alla criptazione dei dati utente, ma incorpora anche la minaccia psicologica.

Per via di queste sue capacità, non è un caso che sia divenuta l’arma prediletta dei collettivi cybercriminali da usare contro utenti comuni, aziende e organizzazioni mondiali. Il danno non si limita al solo riscatto monetario, ma esercita una pressione psicologica non indifferente, in quanto legata alla divulgazione dei dati sensibili della vittima. Ma come sempre, andiamo con ordine e affrontiamo per gradi l’argomento.

1. Cos’è il Leakware?
2. Come si svolge un attacco da parte di un Leakware?
3. Come proteggersi da un’infezione Leakware?

Cos’è il Leakware?

Conosciuto anche come Doxware, il Leakware è una variante più evoluta e violenta del ransomware comune.
Il suo nome deriva dal termine inglese leak (“fuga”) e non si tratta di un caso. Infatti, un suo attacco non è limitato alla singola criptazione dei dati, ma si occupa anche di esfiltrare i dati sensibili dal sistema della vittima, con lo scopo di chiedere subito dopo un riscatto. Tale tattica prende il nome di doppia estorsione, in quanto viene esercitato un ricatto psicologico non indifferente su chi subisce un attacco da parte del Leakware. Questo perché i dati sensibili, se le richieste di riscatto non sono soddisfatte, finiscono inevitabilmente pubblicate o rivendute sui forum di hacking e nei black market che proliferano nel dark web.

Le vittime, spesso aziende e enti che gestiscono dati sensibili, sono costrette a scegliere tra pagare il riscatto per evitare sia la pubblicazione delle informazioni, sia la compromissione operativa dovuta alla crittografia dei file. In molti casi, per dimostrare la serietà della minaccia, gli attaccanti divulgano piccoli campioni dei dati trafugati, aumentando il senso di urgenza e il timore di danni irreversibili. In altri termini, il Leakware non solo paralizza le attività delle proprie vittime, ma finisce con l’esporre significativamente l’organizzazione a cui queste appartengono a conseguenze gravissime. Non parliamo solo in termini economici e di immagine, ma soprattutto legali, specialmente in contesti regolati da normative stringenti sulla protezione dei dati.

Tra i Leakware divenuti tristemente famosi per i loro attacchi, si citano:

• Maze: il capostipite dei Leakware. Apparso nel 2019, è stato il primo del suo genere ed è divenuto noto per l’attacco a Canon, Xerox e LG Electronics, con la sottrazione di oltre 10 TB di dati.
• Ryuk: nato come malware ucraino nel 2018, è divenuto un Leakware solo nel 2020. I suoi attacchi hanno colpito brutalmente il Los Angeles Times, alcuni ospedali californiani e l’agenzia di consulenza digitale Sopra Steria.
• DoppelPaymer: apparso nel 2019, questo Leakware è un figlio spirituale di Maze. Infatti, non ci ha messo molto a farsi notare per le sue capacità di esfiltrazione dei dati sensibili e di ricatto psicologico contro le sue vittime. Queste erano per la maggior parte aziende ospedaliere e farmaceutiche.
• Sodikinobi: conosciuto anche come REvil, si tratta di un Leakware rivenduto sul dark web come pacchetto ransomware-as-a-service. È stato responsabile di attacchi a giganti come JBS Foods e Quanta, chiedendo riscatti milionari.
• Conti: sebbene sia nato come classico cryptoransomware, in seguito è stato trasformato in un Leakware, integrando la minaccia di pubblicazione di dati trafugati. Ha causato interruzioni significative ai servizi ospedalieri e alle operazioni di contenimento durante la pandemia di Covid-19, tanto da divenire la minaccia informatica più temuta al mondo.

Come si svolge un attacco di un Leakware?

Come tutte le minacce presenti sulla scena informatica odierna, anche il Leakware non è esente dallo sfruttare tecniche piuttosto comuni e ben rodate per dare inizio al suo attacco.
Il primo passo dell’attore malevolo, o del collettivo che decide di dare vita ad un attacco Leakware, è quello di individuare i punti deboli nella rete della vittima.
Molto spesso l’infiltrazione avviene mediante le sempreverdi campagne di phishing, credenziali sottratte con tattiche di ingegneria sociale o attacchi diretti con exploit di vulnerabilità software. In tal modo, gli attaccanti sono in grado di ottenere un accesso ai sistemi della vittima e, mediante movimenti laterali nella rete, possono anche esercitarvi una certa persistenza.

Una volta che il Leakware è stato scaricato al suo interno, questo attiva il proprio modulo di offuscamento e si camuffa da software innocuo, in modo da superare indenne le scansioni degli antivirus e dei firewall di sistema. Quindi effettua una scansione di tutti gli hard drives presenti nella rete, generando una lista di elementi da criptare ed esfiltrare. Quando anche questa fase è completata, il Leakware da inizio alla criptazione vera e propria dei dati.

Solitamente viene usata la crittografia AES-256 in combinazione con una chiave RSA-4096, in modo da rendere il processo di decriptazione da parte della vittima quasi impossibile. Nel mentre, si collega al server C2 gestito dagli attori malevoli e su esso reindirizza i dati sensibili e gli assets aziendali non criptati.
Questi sono nello specifico:

• Proprietà intellettuali;
• Informazioni riservate su progetti in sviluppo;
• Versioni beta di progetti cancellati;
• Documenti e report finanziari;
• Informazioni personali dei clienti;
• Informazioni personali dei dipendenti;
• Liste di contatto di fornitori e collaboratori esterni;

Ma il Leakware non si occupa solo di criptare queste tipologie di dati, in quanto colpisce anche determinati file di sistema. In tal modo, la vittima subisce anche una paralisi operativa, in quanto resa impossibilitata ad usare normalmente il proprio computer. Nel momento in cui la criptazione e l’esfiltrazione dei dati sono ultimate, il Leakware rilascia la sua ransom note, mediante cui informa la vittima di aver subito un attacco. In questo modo viene attuata una pressione psicologica e reputazionale non indifferente.

La situazione è resa anche peggiore da un limite di tempo imposto dagli attaccanti per pagare il riscatto. Solitamente, se le loro richieste non sono soddisfatte entro 48 ore, l’ammontare del riscatto raddoppia. Nel caso di un’ulteriore inadempienza, i dati trafugati vengono resi di dominio pubblico sulla piattaforma degli attaccanti, oppure rivenduti al miglior offerente nei black market del dark web.

Come proteggersi da un’infezione Leakware?

Una procedura univoca contro un attacco da parte di un Leakware, è pressoché impossibile. Tuttavia, sono di seguito riportati alcuni consigli su come poter evitare una possibile infezione e mitigare i danni.

• Aggiornare sempre e costantemente i software di sistema e i protocolli di sicurezza.
  Ci si deve assicurare che la propria organizzazione e i clienti ad essa associati adottino robuste politiche di sicurezza. Tutti i sistemi, l’hardware e i software in uso devono essere costantemente aggiornati con puntualità. Ciò riduce di molto le possibilità di un’infezione da ransomware.
• Adottare una soluzione di filtraggio e-mail efficace.
  Poiché il Leakware, esattamente come altre minacce del genere, sfrutta come entry point la posta elettronica, è obbligatorio adottare un filtro in grado di rilevare e-mail di spoofing, phishing e contenenti file malevoli sin dal principio.
• Implementare un piano di monitoraggio degli endpoint affidabile.
  Senza alcun endpoint sicuro e monitorato, i cybercriminali possono identificare immediatamente le vulnerabilità presenti nella rete della compagnia. Una rete con endpoint rafforzati e monitoraggio costante scoraggia i collettivi a tentare un attacco e permette all’organizzazione di individuare potenziali falle in maniera proattiva.
• Istruire i propri clienti alle migliori pratiche e limitare i loro privilegi utente.
  L’infiltrazione mirata ad un attacco non avviene tramite l’azienda stessa, ma tramite i clienti ad essa associati, che rappresentano i soggetti più esposti a tali pratiche. Per cui è necessario doverli istruire con pratiche di sicurezza base e spingerli all’uso dell’autenticazione in due fattori sui loro dispositivi. Questo non solo permette alla propria organizzazione di rafforzare la propria cybersecurity, ma aiuta anche i clienti a proteggersi.
• Effettuare un backup del database e dei propri servizi online.
  Le operazioni di backup sono sempre una delle migliori soluzioni per mitigare i danni e non perdere le informazioni sensibili dei propri clienti. Tuttavia, l’immagine di ripristino risultante deve essere conservata su un server lontano dalla rete principale, in quanto una sua eventuale compromissione vanificherebbe tutti gli sforzi condotti.

In conclusione

Tirando le somme, il Leakware rappresenta un ulteriore passo avanti nell’evoluzione delle minacce informatiche.
Il ransomware viene portato ad un livello superiore, divenendo così uno strumento ancora più complesso e devastante. La collaborazione con esperti di cybersecurity è fondamentale per implementare strategie di difesa personalizzate e prevenire attacchi mirati. Con tecnologie sempre più accessibili e il crescente utilizzo dell’intelligenza artificiale, i cybercriminali sono in grado di sviluppare metodi di attacco sofisticati con maggiore rapidità e precisione. È quindi cruciale che le organizzazioni mantengano alta la guardia, aggiornando costantemente le proprie difese e incoraggiando una cultura della sicurezza.

La sensibilizzazione e la responsabilità condivisa sono alla base di una protezione efficace.
Al giorno d’oggi ogni utente gioca un ruolo cruciale nel mitigare le minacce, riducendo le opportunità di successo per i cybercriminali.
La sicurezza informatica non è un punto d’arrivo, ma un processo continuo. Rimanere vigili e non sottovalutare il nemico, è l’unico modo per essere sempre un passo avanti.