Masterchef e Grande Fratello hacked: il ransomware DoppelPaymer colpisce la Endemol

La multinazionale francese Banijay Grousp SAS è stata colpita da un attacco ransomware da parte del noto gruppo ransomware DopplePaymer: sicuro anche il data breach, dato che ci sono già riscontri del fatto che gli attaccanti hanno avuto accesso e rubato informazioni sensibili durante l'incidente. 

Banijay è divenuto uno dei più grandi, se no il più grande, gruppo internazionale per la produzione e distribuzione di contenuti audiovisivi dopo aver proceduto all'acquisto di Endemol Shine Group per oltre 2.2 miliardi di dollari nel Luglio 2020. L'elenco dei marchi acquisiti da Banijay è molto lungo, ma tra i più famosi troviamo MasterChef, Survivor, il Grande Fratello, Black Mirror, Mr.Bean, Extreme Makeover: Home Edition ecc...

L'attacco ha colpito solo la rete di Endemol
La nota ufficiale pubblicata dal gruppo rivela che i tecnici e gli esperti di cybersecurity di Banijay "stanno gestendo un cyber incidente che ha colpito le reti dei preesistenti Endemol Shine Group e Endemol Shine International". "Abbiamo ragione di credere che alcuni dati personali di dipendenti ed alcuni ex dipendenti possano essere stati compromessi, così come le informazioni commerciali riservate" prosegue la nota. 

L'incidente è già stato notificato alle autorità competenti nel Regno Unito e nei Paesi Bassi, dove sono fisicamente locati gli asset riguardati dall'incidente e alcuni consulenti esperti in cybersecurity di terze parti sono stati assunti per aiutare nelle indagini. 

"Stiano continuando a prendere tutte le precauzioni e le misure necessarie per proteggere i nostri dipendenti, quelli attuali e quelli passati: stiamo monitorando qualsiasi uso illegittimo o illegale dei dati rubati, così da poter contattare direttamente gli individui interessati", chiude la nota. 

Dietro l'attacco il ransomware DoppelPaymer

Ancora novità nel mondo dei ransomware: il backup in cloud usato contro le vittime

Che il mondo dei ransomware stia cambiando è ormai un'evidenza da mesi: dal furto e pubblicazione dei dati delle vittime che non pagano il riscatto allo spostamento dell'obiettivo sulle aziende ed enti pubblici più che sugli utenti home, passando per l'ondata di attacchi mirati che ormai prosegue incessante negli Stati Uniti, i cambiamenti sono molti e i cyber attaccanti dimostrano di "sapere stare al passo coi tempi".

Il backup resta però il vero ostacolo degli sviluppatori di ransomware. Questa è indubbiamente la difesa più efficace, ma se non è correttamente configurato questo strumento può diventare un vero e proprio boomerang. E' quanto dimostra il ransomware DoppelPaymer, il cui autore, appena qualche giorno fa, ha pubblicato sul proprio sito allestito appositamente per il leak dei dati delle vittime non paganti, username e password del software di backup di una vittima che ha deciso di non cedere al ricatto. 

L'alert dell'InterPol: gli attacchi ransomware contro gli ospedali sono in crescita

L'InterPol lancia l'allarme riguardo la crescita dei tentativi di attacco contro gli ospedali: in aumento infatti i tentativi di diffusione di malware nelle reti ospedaliere, nonostante la pandemia in corso. Avevamo trattato il problema pochi giorni fa, rilevando come nel mondo dei ransomware, gli attori dietro a questi malware avessero reagito in fila sparsa, tra chi aveva annunciato il "cessate il fuoco" contro strutture ospedaliere e chi invece non si è fatto alcuno scrupolo a proseguire nell'attività. 

Ora il problema ha assunto dimensioni piuttosto allarmanti, tanto da spingere l'InterPol ad occuparsene direttamente. Ad esempio il ransomware Ryuk ha continuato a colpire gli ospedali, nonostante il quotidiano impegno nella gestione della pandemia. Gli attori del ransomware Maze invece, non solo non hanno cessato gli attacchi, ma hanno anche pubblicato alcuni dati rubati prima della criptazione: questo nonostante gli sviluppatori di questo ransomware avessero annunciato lo stop agli attacchi contro strutture sanitarie. Risultano anche attacchi contro due grandi compagnie farmaceutiche europee, si presume ad opera di attaccanti di lingua russa. Ma la scorsa settimana si è registrato un vero e proprio picco di attacchi, che ha visto perfino un tentativo di attacco contro l'Ospedale Spallanzani di Roma, in prima fila nella gestione dell'emergenza Covid, fortunatamente non arrivato a compimento.

Attacco ransomware contro un ospedale in Germania porta alla morte di un paziente

Non che i ricercatori di sicurezza non avessero esplicitamente allertato rispetto a questo rischio, ma a tutt'oggi era ritenuta una possibilità piuttosto remota e comunque ancora non verificatasi: la realtà però, come spesso accade, supera anche le peggiori fantasie e, qualche giorno fa, si è registrato il primo morto "di ransomware". 

L'attacco e la vulnerabilità di Citrix
L'University Hospital Düsseldorf (UKD), in Germania, ha subito un attacco ransomware dopo che alcuni attaccanti sono riusciti a fare irruzione nella sua rete a causa di una vulnerabilità presente in un software add-on commerciale comunemente usato a livello globale. Stando all'agenzia di cybersecurity Bundesamt für Sicherheit in der Informationstechnik (BSI), gli attaccanti hanno sfruttato la vulnerabilità CVE-2019-19781 di Citrix ADC, già conosciuta e risolta nel Gennaio 2020. 

A seguito dell'attacco la rete interna è andata in down e la direzione ospedaliera si è trovata costretta a comunicare, nella tarda mattinata del 10 Settembre, la decisione di sospendere tutti i trattamenti programmati e ambulatoriali e di dirottare tutti i pazienti in condizioni gravi e critiche verso altri ospedali. I media tedeschi riferiscono anche che la polizia postale locale si è messa in contatto con gli attaccanti seguendo le indicazioni contenute nella nota di riscatto: hanno spiegato loro che l'obiettivo del cyber attacco era un ospedale e che la cosa stava pregiudicando e mettendo a rischio la salute e la vita di molte persone. La polizia infatti ha inizialmente pensato ad un errore, dato che le note di riscatto rilasciate su tutti i server criptati erano indirizzate alla Heinrich Heine University. Dopo i contatti con la polizia, gli attaccanti hanno ritirato la richiesta di riscatto (ammontante a circa 900.000 euro in Bitcoin) e fornito la chiave di decriptazione, cosa che ha permesso all'ospedale di tornare lentamente alla normalità. 

Una donna è morta: si può parlare di omicidio?

Una buona notizia: il ransomware Maze cessa le operazioni

I ransomware sono più numerosi e sempre più complessi, nel funzionamento dell'attacco e nella gestione dell'estorsione ma, ogni tanto, ci sono anche buone notizie e quella di oggi è davvero una Buona Notizia: il temibile ransomware Maze, capofila delle nuove tecniche di estorsione a doppio riscatto (uno per la chiave di decriptazione e uno per non vedere pubblicati online i dati rubati) sta sospendendo le operazioni di attacco. 

Maze ha rivoluzionato il mondo dei ransomware
E' significativo che Maze stia sospendendo le operazioni non solo per il livello raggiunto (in termini di importanza delle vittime e di ammontare dei riscatti), ma anche perchè Maze ha apportato modifiche così sostanziali alla metodologia di attacco ransomware da averla, nei fatti rivoluzionata. Ad esempio, prima del debutto di Maze sulla scena del cybercrime  nessun gruppo di cybercriminali aveva mai concesso interviste e risposto alle domande poste dai ricercatori di sicurezza e dei giornalisti: tutto è cambiato nel Novembre 2019, quando i gestori di Maze hanno deciso di contattare le redazioni di una serie di riviste online specializzate in cybersecurity, BleepingComputer su tutte, per diffondere la notizia che, per la prima volta, il loro attacco alla Allied Universal non aveva solo comportato la criptazione dei dati, ma anche il loro furto. Per la prima volta cioè, un gruppo di attaccanti ha spiegato alla stampa il proprio attacco, mettendone anche a conoscenza il mondo. In quel caso, da Maze spiegavano che la scelta di contattare le redazioni e informare dell'attacco dipendeva dalla volontà di aumentare la pressione estorsiva contro un'azienda che si stava rifiutando di partecipare alle trattative e pagare il riscatto.