Sommario
Scattered Spider, noto anche come Octo Tempest, UNC3944 e 0ktapus, è un gruppo di criminali informatici che ha recentemente ampliato il suo arsenale includendo i ransomware RansomHub e Qilin. Questo sviluppo indica un possibile spostamento di potere tra i gruppi di hacker, con Scattered Spider che continua a rappresentare una minaccia significativa nel panorama della sicurezza informatica. Microsoft ha recentemente evidenziato l’adozione di questi nuovi strumenti da parte del gruppo, sottolineando la loro crescente pericolosità.
Attacchi Recenti e Metodologia
Nel secondo trimestre del 2024, Microsoft ha rilevato che Scattered Spider ha utilizzato RansomHub e Qilin nei suoi attacchi. In passato, il gruppo si affidava al payload di ransomware ALPHV/BlackCat, ma la transizione verso RansomHub e Qilin dimostra l’importanza crescente di queste nuove varianti nel mondo del cybercrime. RansomHub, in particolare, è emerso come una delle famiglie di ransomware più diffuse e viene adottato da un numero crescente di criminali informatici.
Scattered Spider ha ottenuto notorietà con la campagna 0ktapus, che ha colpito oltre 130 organizzazioni di alto profilo, tra cui Microsoft, Binance, CoinBase, T-Mobile, Verizon Wireless, AT&T, Slack, Twitter, Epic Games, Riot Games e Best Buy. Il gruppo è stato coinvolto anche nell’attacco ai sistemi di MGM Resorts, utilizzando ALPHV/BlackCat come affiliato a metà del 2023.
RansomHub e Qilin: Nuovi Strumenti di Attacco
RansomHub
RansomHub è emerso per la prima volta nel febbraio 2024 come una ribrandizzazione del team di ransomware Knight. Ha rivendicato attacchi di alto profilo contro aziende come Christie’s, Frontier Communications e la catena di farmacie americana Rite Aid. Questo ransomware è stato utilizzato in attività post-compromissione da gruppi come Manatee Tempest, dopo l’accesso iniziale ottenuto tramite infezioni FakeUpdates/Socgholish.
Qilin
Qilin, noto anche come Agenda, è emerso nell’agosto 2022 e ha subito una rapida crescita. La gang ha rivendicato attacchi contro oltre 130 aziende e ha sviluppato uno degli encryptor Linux più avanzati e personalizzabili per colpire le macchine virtuali VMware ESXi. Le richieste di riscatto di Qilin variano da $25.000 a milioni di dollari, a seconda delle dimensioni della vittima. Gli operatori di Qilin infiltrano le reti aziendali, estraggono dati sensibili e distribuiscono il payload di ransomware per eseguire attacchi di doppia estorsione.
Impatti e risposta delle autorità
Il gruppo Scattered Spider è noto per utilizzare tattiche come il phishing, il bombardamento MFA (noto anche come MFA fatigue) e lo swapping di SIM per ottenere l’accesso iniziale alle reti. L’FBI e la CISA hanno emesso un avviso evidenziando le tecniche e le procedure del gruppo, inclusa l’imitazione dei dipendenti IT per ingannare il personale di assistenza clienti e ottenere credenziali.
L’adozione di RansomHub e Qilin da parte di Scattered Spider segna un’evoluzione significativa nel panorama del ransomware. Questi sviluppi sottolineano la necessità di misure di sicurezza avanzate e una vigilanza costante per proteggere le reti aziendali da minacce sempre più sofisticate.
