Analisi di Lynx, la minaccia RaaS che mette a rischio aziende e infrastrutture critiche

Scopri Lynx, il ransomware RaaS che prende di mira aziende e MSP. Tecniche, diffusione globale, cifratura e impatto sulle infrastrutture.

Negli ultimi anni il modello Ransomware-as-a-Service (RaaS) ha trasformato radicalmente lo scenario degli attacchi informatici, diventando il punto di riferimento per gran parte delle campagne ransomware. In questo ecosistema, gli sviluppatori forniscono il loro malware a una rete di affiliati, i quali si occupano di distribuirlo ai sistemi bersaglio. Il modello RaaS amplia la portata degli attacchi e garantisce profitti costanti a entrambe le parti.

1. Caratteristiche tecniche di Lynx
2. Modalità di attacco
3. Il pannello di controllo
4. Diffusione e impatto di Lynx
5. Prevenzione e difesa

In tale contesto si inserisce Lynx, uno dei ransomware più aggressivi di recente identificazione. Scoperto per la prima volta nel 2024 dai ricercatori di Palo Alto Networks – Unit 42, Lynx è in grado di compromettere infrastrutture digitali con tecniche mirate e sofisticate.

Nel corso di questo articolo analizzeremo nel dettaglio il funzionamento di Lynx, dalle tecniche di cifratura alle modalità di diffusione. Approfondiremo inoltre il pannello di controllo del ransomware, l’impatto sulle vittime e le misure di difesa più efficaci per mitigare questa minaccia.

Caratteristiche tecniche di Lynx

Lynx nasce come evoluzione del ransomware INC, da cui eredita gran parte delle sue funzionalità. Le analisi del codice hanno infatti evidenziato forti somiglianze, a conferma della stretta correlazione tra le due famiglie.

Sviluppato in C++ e inizialmente progettato per colpire i sistemi Windows, Lynx è stato successivamente adattato anche agli ambienti Linux ed ESXi. Proprio su questi ultimi, Lynx adotta tattiche particolarmente distruttive, poiché forza la terminazione delle macchine virtuali in esecuzione e rimuove tutti gli snapshot, impedendo qualsiasi tentativo di ripristino. Ciò rende Lynx una minaccia temuta soprattutto all’interno di scenari aziendali, dove l’utilizzo di macchine virtuali è diventato ampiamente diffuso.

Le principali funzionalità di Lynx comprendono:

• Selezione mirata di file o directory da colpire;
• Terminazione di processi e servizi attivi, compresi quelli di backup;
• Eliminazione delle shadow copies per impedire il ripristino rapido dei dati;
• Cifratura di unità di rete e dischi nascosti;

Come vengono crittografati i dati

Lynx esegue la cifratura completa dei dati, rinominando i file con l’estensione .lynx e generando un file README.txt come ransomnote. In alcuni campioni analizzati i ricercatori hanno osservato anche un comportamento insolito: al termine del processo, il ransomware tenta di stampare tramite Microsoft OneNote un report contenente le stesse istruzioni del riscatto. Si suppone possa trattarsi di una tecnica pensata per aumentare le possibilità che la vittima legga il messaggio degli attaccanti.

La cifratura adottata da Lynx si basa sull’impiego ibrido di due algoritmi:

• AES-128 in modalità CTR: la modalità Counter consente di trattare i dati come un flusso continuo, garantendo prestazioni elevate anche su grandi volumi di informazioni.
• Curve25519 Donna: algoritmo a chiave pubblica utilizzato per proteggere la chiave AES. Anche se i file cifrati vengono copiati o analizzati, la chiave rimane al sicuro nelle mani degli attaccanti.

La combinazione di questi due meccanismi rende i dati di fatto irrecuperabili senza le chiavi fornite dal gruppo criminale.

Modalità di attacco

Il ransowmare Lynx viene distribuito principalmente tramite campagne di phishing, che permettono agli attaccanti di sottrarre credenziali, disattivare le difese di sicurezza e avviare la successiva cifratura dei dati. Oltre al phishing, sono stati osservati anche attacchi brute force contro servizi online privi di autenticazione multifattore (MFA). In altri casi, gli aggressori hanno sfruttato vulnerabilità note ma non patchate per ottenere l’accesso ai sistemi.

Una volta dentro la rete, Lynx adotta un comportamento particolarmente aggressivo. Analizza il dispositivo compromesso alla ricerca di nuove risorse accessibili, ad esempio tramite scansioni SMB, protocollo comunemente utilizzato per la condivisione di file e cartelle. Inoltre, sfrutta credenziali amministrative compromesse per effettuare movimenti laterali e utilizza strumenti legittimi, come software di desktop remoto o servizi cloud, per esfiltrare grandi quantità di dati senza destare sospetti immediati.

Il pannello di controllo di Lynx

Gli affiliati al gruppo criminale, che richiedono l’impiego del ransomware, dispongono un pannello di controllo dedicato suddiviso in diverse aree operative. Tra quelle osservate, si citano:

• Notizie;
• Aziende;
• Chat;
• Dati trapelati;
• Affiliati secondari;

Queste sezioni permettono di gestire l’intero ciclo dell’attacco: dall’inserimento dei dati della vittima, alla negoziazione del riscatto, fino alla divulgazione dei file sottratti in caso di mancato pagamento. Gli affiliati di Lynx possono scegliere la modalità di cifratura contro il bersaglio tra quattro differenti opzioni: fast, medium, slow ed entire. In più, in caso di riuscita dell’attacco, possono arrivare a ottenere fino all’80% dei proventi generati dal riscatto.

A differenza di altri gruppi RaaS, il reclutamento nel programma Lynx non è aperto a chiunque, poiché vengono selezionati utenti con competenze tecniche avanzate e una solida igiene operativa. Questa è la conferma della natura strutturata e professionale del gruppo, in quanto amministrato e gestito da un nucleo ristretto di operatori esperti.

Diffusione e impatto di Lynx

Lynx si è diffuso rapidamente a livello globale, con vittime individuate in Europa, Asia e Nord America. I settori più colpiti sono:

• Manifatturiero;
• Energetico;
• Retail;
• Finanziario;

Particolarmente presi di mira sono stati i Managed Service Provider (MSP), considerati un entry point privilegiato a un’ampia rete di clienti. Gli attacchi condotti con Lynx hanno conseguenze particolarmente gravi per le organizzazioni che li subiscono. La combinazione tra cifratura completa dei dati e l’eliminazione dei meccanismi di ripristino negli ambienti ESXi aumenta notevolmente il rischio di interruzione dei servizi aziendali.

A ciò si aggiunge la minaccia della doppia estorsione, poiché i dati esfiltrati vengono utilizzati come per forzare il pagamento del riscatto. In caso di rifiuto da parte della vittima, questi vengono pubblicati sui canali del gruppo. Le conseguenze non riguardano quindi solo la perdita di disponibilità dei sistemi, ma anche l’esposizione di informazioni sensibili di clienti, partner e dipendenti, con ricadute economiche e reputazionali difficili da quantificare.

Prevenzione e difesa

La complessità con cui opera Lynx conferma come i ransomware siano ormai minacce altamente organizzate e difficili da contrastare. Per ridurre il rischio di compromissione è fondamentale adottare buone pratiche di sicurezza che includano misure preventive, capacità di rilevamento e strategie di risposta. In particolare, si consiglia di:

• Eseguire regolarmente backup dei dati.
  Le operazioni di backup rappresentano il primo passo per mitigare i danni di un attacco ransomware e consentono un ripristino rapido in caso di compromissione.
• Aggiornare software e sistemi.
  Molte infezioni sfruttano vulnerabilità note e non ancora corrette; applicare gli aggiornamenti riduce drasticamente la superficie d’attacco.
• Formare il personale aziendale.
  Dipendenti consapevoli e istruiti nel riconoscere tentativi di phishing e comportamenti sospetti riducono sensibilmente il rischio di compromissione.
• Evitare di salvare informazioni sensibili su dispositivi non protetti.
  Dati critici archiviati in sistemi privi di adeguate misure di sicurezza aumentano la probabilità di esposizione in caso di attacco o furto di credenziali.