LockBit stringe una nuova alleanza: il malware Amadey Bot per distribuire il ransomware

C'è una novità per quanto riguarda il Ransomware As a Service LockBit: alcuni affiliati hanno iniziato ad utilizzare il malware Amadey Bot per distribuire il ransomware

Il malware Amadey Bot viaggia via email

I ricercatori di sicurezza lanciano l'allarme: affiliati del ransomware LockBit hanno iniziato ad utilizzare il malware Amadey Bot per distribuire il ransomware. Gli affiliati distribuiscono il malware tramite email di phishing personalizzate per le aziende target. Ad ora le campagne sono state di due tipi: false offerte di lavoro destinate ai dipendenti delle aziende target e presunte notifiche per violazione del copyright. 

Per saperne di più > Ransomware: LockBit 3.0 debutta anche in Italia

Amadey Bot è un malware piuttosto vecchio che presenta tre gruppi principali di funzionalità:

• riconoscimento del sistema bersaglio;
• esfiltrazione dei dati;
• loader di payload. 

I ricercatori hanno però notato come, dall'inizio del 2022, l'attività collegata a questo malware sia andata sempre più intensificandosi. Poi nel Luglio di quest'anno è stata intercettata in diffusione una nuova versione. Nella campagna di Luglio, Amadey ha funto da dropper di diversi malware per il furto dati, soprattutto RedLine. Poi la virata: le campagne recenti distribuiscono il payload di LockBit 3.0.

La catena di infezione

Ransomware: Lockbit 2.0 registra cifre da capogiro. Più di 12.000 vittime per oltre 1 miliardo di dollari di profitto

Lockbit 2.0 è ormai divenuto tragicamente popolare, nel mondo e in Italia. In Italia è stato protagonista di centinaia di attacchi contro aziende ed enti governativi (soprattutto sanitari), nel mondo colpisce aziende, governi, scuole, ospedali e chi più ne ha più ne metta. I numeri, vittime e guadagni, concretizzano quanto diciamo da un pò: LockBit 2.0 è uno dei principali cyber avversari col quale confrontarsi. 

Lockbit 2.0: le vittime italiane

ASP Messina, Ingew, Jannone, Farmacia Statuto, Basso srl, Progetto edile srl , Erediriva, Multimmobiliare Ticino, Rosa Group, Bazzi, Guazzini, Crich, Confindustria Caserta, Istituto di Servizi per il Mercato Agricolo Alimentare (ISMEA), Comune di Villafranca.... chiudiamo qui la lista. Queste sono le vittime italiane (di cui si è avuto notizia) di LockBit 2.0 da Marzo alla data di oggi, 10 maggio 2022. E non sono neppure tutte: la rivendicazione pubblica dell'attacco da parte del gruppo Lockbit avviene, tramite il leak site del ransomware, solo nel caso in cui ci sia bisogno di "dare una spintarella" ad una vittima titubante a pagare. Gli attaccanti concedono solitamente tre giorni alle vittime: se queste non pagano inizia la pubblicazione dei dati rubati. Altrimenti le notizie degli attacchi neppure fuoriescono, quindi c'è da aspettarsi che il numero di vittime (in Italia e nel mondo) sia sottostimato rispetto alla realtà.

L'attacco più recente, stando alla fonte Red Hot Cyber, risale ai primi giorni di Maggio: la vittima è l'azienda italiana Eredi di Riva Natale srl. Il countdown di tre giorni è stato pubblicato il 6 Maggio

Il countdown per Eredi Di Riva sul leak site di Lockbit 2.0

Lockbit 2.0: diamo i numeri...

Ransomware Lockbit 2.0 colpisce ancora in Italia: il manuale di difesa

Non servono presentazioni per Lockbit 2.0. E' utile invece dire che, in poco meno di una settimana,   ASP Messina, Ingew, Jannone sono divenute le tre vittime più recenti. Nell'ultimo mese però Lockbit 2.0 ha colpito altre aziende italiane: nel conto sono da aggiungere anche Farmacia Statuto, Basso srl, Progetto edile srl ed altri. 

 

Fonte: leak site Lockbit 2.0

Il sito di leak di LockBit 2.0 elenca poi infiniti altri attacchi in giro nel mondo a riconferma della vivace attività di questo ransomware. Nel sito, per ogni vittima, è visibile l'indirizzo del sito web di riferimento, una breve descrizione e il logo, quindi il conto alla rovescia (ovvero le ore che mancano alla pubblicazione di una parte dei file rubati). In verde sono evidenziate le vittime i cui dati sono già stati pubblicati, in rosso quelle con countdown ancora in corso.

Fonte: leak site Lockbit 2.0

Un caso particolare è quello di Atento, un provider di servizi CMR brasiliano che ha subito, nell'ottobre dello scorso anno, un attacco di Lockbit 2.0. I danni ammontano, stando a cifre pubblicate dall'azienda stessa, a una perdita di profitti per 34.8 milioni di dollari e ulteriori 7.3 milioni di dollari di costi tecnici per mitigare i danni dell'attacco.

D'altronde che Lockbit sia una minaccia reale è confermato anche dall'attenzione che le agenzie di sicurezza dei governi di mezzo mondo gli stanno riservando. Uno dei più recenti avvisi di sicurezza su questa minaccia viene dall'FBI, che ha pubblicato non solo una grande quantità di dettagli tecnici sul ransomware (indicatori di compromissione compresi), ma anche molte indicazioni su come prevenire attacchi. Visto il momento, è forse utile scorrere un pò i punti principali: per il report completo rimandiamo a questo link.

Lockbit 2.0: uno sguardo generale

Ransomware Lockbit: l'FBI fornisce dettagli tecnici e consigli di difesa grazie alle informazioni inviate dalle aziende colpite

L'FBI ha pubblicato una relazione tecnica e numerosi indicatori di compromissione associati a LockBit, il ransonmware del quale abbiamo spesso parlato perché sta mietendo molteplici vittime anche in Italia. La relazione contiene anche indicazioni su come le organizzazioni possono bloccare i tentativi del gruppo ransomware di irrompere nelle proprie reti. Non è il primo alert pubblicato sul rischio Lockbit: già nell'Agosto del 2021 l'agenzia di Cybersecurity australiana avvisava tutte le aziende e le organizzazioni della repentina crescita del numero di attacchi di LockBit. 

LockBit in breve

• è attivo dal Settembre 2019 come Ransomware as a Service (SaaS);
• nel Giugno 2021 i suoi sviluppatori annunciando l'avvento della nuova versione di LockBit, la 2.0, con molte nuove funzionalità;
• viene aggiunta la funzionalità di criptazione automatica dei dispositivi nei domini Windows tramite le policy di gruppo;
• membri del gruppo iniziano a cercare insider per violare le aziende per ottenere accessi alle VN e agli RDP senza bisogno di gruppi intermediari;
• nel Gennaio 2022 viene aggiunto un encryptor per Linux per colpire i server VMware ESXi. 

Per approfondire > Italia sotto attacco: ancora ransomware contro aziende italiane. Lockbit 2.0 protagonista

La relazione tecnica dell'FBI