Operazione ransomware ALPHV/BlackCat dei federali

Dopo quasi due settimane di speculazioni, il Dipartimento di Giustizia degli Stati Uniti ha rivendicato il merito della rimozione dei siti di fuga di ALPHV/BlackCat e dell'infiltrazione nella rete del gruppo ransomware.

Gli esperti ipotizzano che questa potrebbe essere una conclusione per il gruppo ransomware giusto in tempo per le vacanze, mandando in pensione la sua leadership e gli affiliati per cercare di trovare un nuovo operatore.

Anche l'FBI lo è offrendo un decryptor gratuito che è stato sviluppato per aiutare le oltre 500 vittime di ALPHV/BlackCat identificate a ripristinare i propri sistemi.

Secondo il mandato dell'FBI per perquisire la proprietà di BlackCat, svelato oggi insieme a un annuncio del Dipartimento di Giustizia sulla rimozione, le forze dell'ordine sono riuscite a infiltrarsi nel Operazione BlackCat con l'aiuto di una fonte umana riservata che ha presentato domanda al gruppo per diventare un affiliato. All’informatore sono state concesse le credenziali per accedere alla dashboard del gruppo ransomware utilizzata per gestire violazioni, richieste di estorsione e pagamenti, consentendo alle forze dell’ordine di entrare nell’operazione, afferma il mandato.

Scattered Spider ha rinunciato a BlackCat?

Solo poche settimane fa, l'FBI ricevuto critiche per non aver agito più rapidamente per arrestare lo sfrontato Ragno sparso gruppo. Ma potrebbe darsi che i poliziotti stessero lavorando da un'altra prospettiva.

Yelisey Bohuslavskiy, responsabile della ricerca presso RedSense, è stato tra i primi a confermare pubblicamente che le interruzioni del sistema BlackCat erano il risultato degli sforzi delle forze dell'ordine, già l'8 dicembre. Dice a Dark Reading che le voci sull'ecosistema del ransomware indicano che sono membri di Scattered Spider che lavorava all'interno con l'FBI.

"Sembra interessante, poiché l'unica cosa necessaria per tale operazione è l'accesso al blog e ai server di dati che potrebbe aver avuto un membro di Scattered Spider", afferma Bohuslavskiy.

Le operazioni "Hack the Hacker" intendevano inviare un messaggio

"Questa azione da parte delle forze dell'ordine invia un messaggio molto forte agli affiliati ALPHV e ad altri autori di minacce", ha spiegato a Dark Reading Charles Carmakal, CTO consulente di Mandiant per Google Cloud. “Tuttavia, alcuni degli affiliati ALPHV sono ancora attivi, incluso UNC3944 (Scattered Spider). Ci aspettiamo che alcuni affiliati continuino le loro intrusioni normalmente, ma probabilmente proveranno a stabilire rapporti con altri programmi ransomware-as-a-service (RaaS) per la crittografia, l’estorsione e il supporto allo shaming delle vittime”.

Il DoJ fa riferimento a questi tipi di azioni di contrasto alla sicurezza informatica come operazioni di "hacking the hacker" e, secondo Michael McPherson, un ex agente speciale dell'FBI attualmente con ReliaQuest, hanno lo scopo di inviare il messaggio ai criminali informatici ovunque che potrebbero essere i prossimi.

“L’effetto desiderato di un’interruzione è quello di tenere i criminali a guardarsi alle spalle”, afferma McPherson. “Sono i prossimi? Sono già infiltrati dalle forze dell’ordine?”

C’è anche l’obiettivo di minare la redditività delle bande di criminali informatici. McPherson ha aggiunto che le forze dell'ordine accettano che potrebbe non essere realistico aspettarsi un rimozione per smantellare completamente le sofisticate reti di criminalità informatica come Gatto Nero. Attraverso questi sofisticati interventi “hack the hacker” sperano almeno di rallentarli e di aumentare i costi per commettere crimini informatici.

Il successo dello smantellamento di un gruppo come BlackCat segnala anche alle vittime attuali e potenziali che, quando vengono violate dal ransomware, esistono alternative praticabili al pagamento dell’estorsione, afferma McPherson.

"Si spera che aiutare 500 vittime con uno strumento di decrittazione in questo caso dimostri alle organizzazioni che collaborare con le forze dell'ordine è un'opzione di gran lunga migliore che pagare i criminali", spiega. “Detto questo, il ransomware rimane altamente redditizio e non impedirà ai criminali di tentare la fortuna finché la dinamica rischio-ricompensa non cambierà”.

Il futuro del ransomware di BlackCat è desolante

Se la storia è un indicatore, Bohuslavskiy dubita che l’operazione ALPHV/BlackCat sarà in grado di riprendersi da questa rimozione in modo significativo.

"Sulla base dei casi precedenti delle forze dell'ordine, i gruppi criminali organizzati non si riprendono da un colpo a un'infrastruttura critica come la rimozione di un blog, poiché ciò porta al loro fallimento esistenziale", spiega. "Il blog ha tutto, dalle chiavi di crittografia, ai mezzi verificati di comunicazione tra i membri del gruppo." Bohuslavskiy prevede che la leadership di ALPHV si ritirerà dal gioco del ransomware dopo l'interruzione dell'FBI.

“AlphV disponeva di un gruppo molto ristretto di pen tester di alto livello. Adesso hanno guadagnato abbastanza soldi per andare in pensione, e ci sono pochissimi collettivi criminali che hanno una reputazione sufficiente per attrarre persone con tali competenze – vale a dire collettivi di ex Conti come BlackSuit o BlackBasta," lui spiega. “Dal momento che non avranno nessun posto dove andare (Lockbit è percepito come un governo estremamente inadeguato, con un amministratore instabile e un comico gruppo di supporto; Alveare è stato smantellato, e i gruppi più piccoli non avranno abbastanza soldi per pagare i pentester di questo livello), la loro strada logica è quella di ritirarsi”.

Rendere più facile andare in pensione piuttosto che continuare l’operazione ransomware è esattamente ciò che l’FBI sperava di ottenere con l’operazione BlackCat/ALPHV. “Questo è esattamente il motivo per cui LEA è efficace: utilizza come arma la stanchezza del gruppo al punto da spingerlo a dimettersi”, aggiunge Bohuslavskiy. "E poiché ci sono pochissime persone capaci nel settore dei ransomware, quando se ne vanno, l'ecosistema del ransomware si degrada."

• Distribuzione di contenuti basati su SEO e PR. Ricevi amplificazione oggi.
• PlatoData.Network Generativo verticale Ai. Potenzia te stesso. Accedi qui.
• PlatoAiStream. Intelligenza Web3. Conoscenza amplificata. Accedi qui.
• PlatoneESG. Carbonio, Tecnologia pulita, Energia, Ambiente, Solare, Gestione dei rifiuti. Accedi qui.
• Platone Salute. Intelligence sulle biotecnologie e sulle sperimentazioni cliniche. Accedi qui.
• Fonte: https://www.darkreading.com/cybersecurity-operations/feds-snarl-alphv-blackcat-ransomware-operation