Una delle minacce più importanti della scena ransomware mondiale dà alla luce un figlio, che eredita pericolosità ed efficienza.
Quando si parla di attacco da parte di un ransomware, non si tratta di un’entità nata dal nulla. Spesso e volentieri la minaccia appartiene ad una vera e propria famiglia di software malevolo, che in precedenza aveva già colpito in maniera efficace più di un’organizzazione.
Una delle famiglie più rappresentative di questa categoria è Hive, divenuta nota nel 2021 per aver condotto attacchi nei confronti di 300 organizzazioni a livello mondiale in un arco di soli quattro mesi. Ma nei primi mesi del 2022 un nuovo ransomware è apparso sulla scena, i cui indizi portano tutti a Hive.
La minaccia in questione risponde al nome di Nokoyawa.
Ma come sempre andiamo con ordine e analizziamo l’argomento per gradi.
Le origini di Nokoyawa
La prima scoperta effettiva di Nokoyawa risale a febbraio 2022, con il primo campione di dati collezionato e analizzato dal team di FortiGuard.
Nello specifico si tratta di un crypto-ransomware il cui obiettivo principale sono i sistemi operativi Windows.
Il metodo di attacco segue il solito pattern di molti altri suoi simili: si infiltra nel sistema, cripta i dati previsti dalla sua lista e quindi procede alla tattica della doppia estorsione nei confronti della vittima.
Nokoyawa ha alle sue spalle un collettivo proveniente dalla Russia, Travelling Spider, affiliato ad un sindacato cybercriminale di notevole influenza: Shadow.
Il ransomware ha goduto di un’ampia diffusione nei Paesi del Sud America, in particolare l’Argentina.
Tuttavia, è bene far notare che ulteriori attacchi sono stati registrati anche a Singapore, Brasile, Romania, Saint Kitts, Nevis e negli Stati Uniti d’America.
Come accade per la stragrande maggioranza delle minacce attualmente in circolazione, è emerso che anche Nokoyawa fa uso di tool legittimi impiegati dai team di cybersecurity.
Tra questi si citano:
- Cobalt Strike e il modulo Beacon per le operazioni di deploy;
- GMER come scanner anti-rootkit;
- PC Hunter per le contromisure evasive;
- Mimikatz per l’exploit di password e dati sensibili;
- Z0Miner come botnet per i server ElasticSearch e Jenkins;
- Boxter per inibire le misure di sicurezza di Windows;
Analisi successive condotte da SentinelLabs e Trend Micro, hanno confermato che Nokoyawa è un figlio legittimo di Hive, a cui si aggiungono intere porzioni di codice di un altro ransomware russo, Babuk, il cui codice sorgente è trapelato a settembre 2021.
Come altri ransomware prima di lui, anche Nokoyawa possiede delle varianti, di cui si citano tre versioni specifiche.
La variante 1.1 ha reso gli attacchi RDP molto più semplici, in quanto è stato migliorato il modulo per il controllo remoto.
La versione 2.0 è stata interamente scritta in Rust ed è conosciuta anche come Nevada, a cui sono seguite due varianti della versione 2.1: una scritta in C/C++ e l’altra in Rust. Entrambe hanno potenziato notevolmente il core alla base del ransomware, rendendolo una minaccia molto seria.
Come funziona Nokoyawa?
Nokoyawa non è un ransomware che si osserva tutti i giorni, in quanto utilizza una routine di criptazione conosciuta come Elliptic Curve Cryptography (ECC), in particolare la curva ECC-SECT233R1. Questa viene utilizzata per la criptazione asimmetrica dei dati, in combinazione a Salsa20 per quella simmetrica.
Il risultato finale porta alla creazione di due chiavi, definite master, necessarie per la decriptazione a pagamento avvenuto, e ad un file che prende l’estensione .NOKOYAWA.
Il metodo prediletto per la diffusione del ransomware è la classica e-mail di phishing con allegato malevolo.
Una volta che l’incauto utente apre l’allegato, il sistema si collega al server C&C gestito dai cybercriminali e, mediante il modulo Beacon di Cobalt Strike, avviene il deploy di Nokoyawa.
La criptazione è ulteriormente agevolata dalle capacità multi-threading della CPU in uso dal sistema in cui si infiltra, cosa che rende il processo molto efficiente e veloce. Tuttavia, vengono esclusi in automatico i file con estensione .exe, .dll, .lnk, a cui si aggiungono quelli già criptati dallo stesso ransomware.
Prima che la criptazione abbia inizio, Nokoyawa crea una coppia di chiavi uniche per ciascun file, che prendono il nome di chiavi della vittima.
Queste vengono usate congiuntamente con le chiavi master dai cybercriminali per generare uno spazio di 64 byte in cui conservarle.
Nel dettaglio: i primi 32 byte usano la curva ECC-SECT233R1, mentre i successivi 32 byte impiegano Salsa20.
Sulla base di questi 64 byte, si genera un hash SHA1 che viene apposto al termine di ciascun file criptato, a cui si aggiungono le chiavi della vittima e la stringa NOKOYAWA. Questo hash serve solo ed esclusivamente per il controllo di integrità dei dati durante il processo di criptazione.
Ultimato il processo di criptazione, Nokoyawa rilascia la nota NOKOYAWA_readme.txt in ogni cartella prevista dalla sua lista di elementi da criptare. Questa rappresenta la tattica della doppia estorsione e solitamente il riscatto richiesto oscilla tra i 700.000 e 1,5 milioni di dollari.
C’è da sottolineare il fatto che il pagamento può essere effettuato in tre differenti valute:
- Dollari (USD)
- Bitcoin (BTC)
- Monero (XMR).
Nella nota è presente il link diretto al portale TOR del collettivo, in cui si rimarca con termini espliciti che se la richiesta di riscatto non sarà soddisfatta, i dati criptati saranno resi di pubblico dominio. Tuttavia, è bene far notare che i ricercatori di FortiGuard non hanno trovato alcuna evidenza delle capacità di estrazione dati da parte di Nokoyawa.
Oltre a questo, sono riportati anche alcuni indirizzi e-mail per contattare direttamente i cybercriminali, cosa che evidenzia ulteriormente come Nokoyawa sia usato non solo da Travelling Spider, ma anche dagli affiliati di Shadow.
Gli indirizzi riportati possono variare da attacco ad attacco, ma i più ricorrenti sono:
Best practice contro Nokoyawa e ransomware simili
Una procedura univoca per prevedere un attacco da parte di ransomware derivanti da Hive, come Nonokyawa, è pressoché impossibile, ma restano sempre dei consigli su come poter evitare una possibile infezione e mitigare i danni.
Aggiornare sempre e costantemente i software di sistema e i protocolli di sicurezza.
Ci si deve assicurare che la propria organizzazione e i clienti ad essa associati adottino robuste politiche di sicurezza. Tutti i sistemi, l’hardware e i software in uso devono essere costantemente aggiornati con puntualità. Ciò riduce di molto le possibilità di un’infezione da ransomware.
Adottare una soluzione di filtraggio e-mail efficace
Poiché questo tipo di ransomware sfrutta come entry point la posta elettronica, è obbligatorio adottare un filtro in grado di rilevare e-mail di spoofing, phishing e contenenti file malevoli sin dal principio.
Implementare un piano di monitoraggio degli endpoint affidabile
Senza alcun endpoint sicuro e monitorato, i cybercriminali possono identificare immediatamente le vulnerabilità presenti nella rete della compagnia.
Una rete con endpoint rafforzati e monitoraggio costante scoraggia i collettivi a tentare un attacco e permette all’organizzazione di individuare potenziali falle in maniera proattiva.
Istruire i propri clienti alle migliori pratiche e limitare i loro privilegi utente
L’infiltrazione mirata ad un attacco non avviene tramite l’azienda stessa, ma tramite i clienti ad essa associati, che rappresentano i soggetti più esposti a tali pratiche. Per cui è necessario doverli istruire con pratiche di sicurezza base e spingerli all’uso dell’autenticazione in due fattori sui loro dispositivi.
Questo non solo permette alla propria organizzazione di rafforzare la propria cybersecurity, ma aiuta anche i clienti a proteggersi.
Effettuare un backup del database e dei propri servizi online
Le operazioni di backup sono sempre una delle migliori soluzioni per mitigare i danni e non perdere le informazioni sensibili dei propri clienti.
Tuttavia, l’immagine di ripristino risultante deve essere conservata su un server lontano dalla rete principale, in quanto una sua eventuale compromissione vanificherebbe tutti gli sforzi condotti.
Gli attori malevoli della scena cybercriminale migliorano costantemente i loro prodotti, con un’aggiunta tempestiva di moduli sempre più sofisticati e in grado di aggirare le misure di sicurezza adottate dagli enti.
In particolare, Nokoyawa dimostra la tendenza e la volontà dei collettivi di non puntare su codice scritto da zero, ma sul riciclare e implementare ciò che è disponibile nel dominio pubblico.
Sebbene una soluzione univoca, perfetta e ineluttabile contro i ransomware non esisterà mai, implementare nella propria organizzazione misure di sicurezza efficienti e procedure di monitoraggio costanti, resta l’unica strada percorribile.
Le informazioni sensibili sono la risorsa più preziosa di cui disponiamo nel mondo odierno e si deve dare il massimo per proteggerle nel migliore dei modi, specialmente contro una minaccia spietata come i ransomware.
- Autore articolo
- Gli ultimi articoli
Classe 1993, ingegnere gestionale e Adobe Certified Professional in Graphic Design & Visual Design. Ho mosso i primi passi nel campo informatico grazie alla passione per i videogiochi, che mi ha portato ad approfondire i motori grafici e la progettazione visiva. Scrivo da quando ero bambino e, con il tempo, la scrittura è diventata parte integrante del mio lavoro nel mondo della comunicazione e della sicurezza informatica.