Da Minaccia Emergente a Leader del Ransomware-as-a-Service: L’Evoluzione del Ransomware INC

Sommario

INC ransomware è cresciuto fino a diventare una grande operazione di ransomware-as-a-service, rivendicando più di 800 vittime dal 2023. Il gruppo utilizza encryptors basati su Rust per sistemi Windows e Linux/ESXi, il che aumenta la difficoltà dell’analisi del malware. I suoi operatori si affidano a tattiche di doppia estorsione e si concentrano su settori di alto valore come la sanità e i servizi legali.

Indagine

L’Unità di Ricerca sulle Minacce di Acronis ha analizzato la catena di intrusione INC e ha osservato una transizione verso lo sfruttamento di dispositivi edge non patchati e attacchi ai server di backup Veeam. L’analisi tecnica ha mostrato che il payload di Windows è protetto con VMProtect 3.X, mentre la versione Linux prende di mira ambienti VMware attraverso comandi come vim-cmd. L’indagine ha anche trovato somiglianze nel codice con famiglie di ransomware correlati, tra cui Lynx e Sinobi.

Mitigazione

Le organizzazioni dovrebbero adottare la strategia di backup 3-2-1 e assicurarsi che i backup includano copie immutabili o offline per supportare il recupero. Distribuire EDR o XDR con protezioni anti-manomissione e imporre l’autenticazione a più fattori è essenziale. Dare priorità alla patching delle applicazioni rivolte a Internet e segmentare le reti critiche può anche ridurre l’impatto di un compromesso.

Risposta

Se viene rilevata attività di ransomware INC, i responder dovrebbero isolare immediatamente i sistemi colpiti per fermare il movimento laterale e arrestare la crittografia. L’integrità del backup dovrebbe essere verificata prima di iniziare il ripristino e le procedure di risposta agli incidenti dovrebbero concentrarsi sull’identificazione del vettore di accesso iniziale. I team dovrebbero anche monitorare i tentativi di esfiltrazione dei dati che coinvolgono strumenti come rclone.

Esecuzione di Simulazione

Prerequisito: Il Controllo Pre-Volare di Telemetria & Baseline deve essere superato.

Motivazione: Questa sezione dettaglia l’esecuzione precisa della tecnica avversaria (TTP) progettata per attivare la regola di rilevamento. I comandi e la narrazione DEVONO riflettere direttamente i TTP identificati e mirano a generare la telemetria esatta prevista dalla logica di rilevamento. Esempi astratti o non correlati condurranno a errori di diagnosi.

• Narrazione & Comandi dell’Attacco: L’avversario intende eseguire il dump delle credenziali dal Local Security Authority Subsystem Service (lsass.exe). Per evitare il rilevamento da parte della sicurezza endpoint, tentano prima di terminare un processo correlato alla sicurezza usando taskkill.exe per interrompere il monitoraggio. Successivamente, tentano di utilizzare una tecnica di iniezione di thread remoto per eseguire il codice all’interno dello lsass.exe spazio di memoria. Questo approccio diretto è destinato ad attivare la logica specifica della regola riguardo alla taskkill.exe and lsass.exe creazione del thread.

• Script del Test di Regressione:

  # Script di Simulazione per la Validazione dei Rilevamenti
  # Step 1: Trigger della terminazione_selezione (EventID 4689)
  Write-Host "[*] Attivare la Terminazione del Processo tramite taskkill..."
  Start-Process calc.exe
  Start-Sleep -Seconds 1
  taskkill /F /IM calc.exe
  
  # Step 2: Trigger della selezione_thread_remoto (Sysmon EventID 8)
  # Nota: Questo richiede privilegi amministrativi.
  # Usiamo un'iniezione basata su PowerShell per simulare la creazione di un thread remoto in lsass.exe.
  Write-Host "[*] Tentativo di Iniezione di Thread Remoto in lsass.exe..."
  $DllPath = "C:WindowsSystem32user32.dll"
  $DllFunction = "LoadLibraryA"
  $ProcessName = "lsass"
  
  $TargetProcess = Get-Process $ProcessName -ErrorAction SilentlyContinue
  if ($TargetProcess) {
      $Handle = [Runtime.InteropServices.Marshal]::GetComObject(New-Object -ComObject WScript.Shell).Exec("powershell -Command `"[DllImport('kernel32.dll')] public static extern IntPtr OpenProcess(int dwDesiredAccess, bool bInheritHandle, int dwProcessId); ...`"")
      # Per garantire uno script pulito e riproducibile senza complessa compilazione C# in un unico blocco,
      # utilizziamo un metodo noto per attivare un Evento Sysmon 8 tramite un pattern di iniezione leggero.
      $Code = @"
      using System;
      using System.Runtime.InteropServices;
      public class Injector {
          [DllImport("kernel32.dll")]
          public static extern IntPtr OpenProcess(int dwDesiredAccess, bool bInheritHandle, int dwProcessId);
          [DllImport("kernel32.dll")]
          public static extern IntPtr VirtualAllocEx(IntPtr hProcess, IntPtr lpAddress, uint dwSize, uint flAllocationType, uint flProtect);
          [DllImport("kernel32.dll")]
          public static extern bool WriteProcessMemory(IntPtr hProcess, IntPtr lpBaseAddress, byte[] lpBuffer, uint nSize, out IntPtr lpNumberOfBytesWritten);
          [DllImport("kernel32.dll")]
          public static extern IntPtr CreateRemoteThread(IntPtr hProcess, IntPtr lpThreadAttributes, uint dwStackSize, IntPtr lpStartAddress, IntPtr lpParameter, uint dwCreationFlags, IntPtr lpThreadId);
  
          public static void Run() {
              IntPtr hProcess = OpenProcess(0x001F0FFF, false, 644); // lsass PID is usually 644 in this context or found via Get-Process
              // This is a simplified representation to trigger the Sysmon Event 8
          }
      }
  "@
      # Per garantire che lo script sia eseguibile e non distruttivo per uno strumento BAS,
      # chiamiamo un comando che il driver di Sysmon rileverà come un tentativo di creazione di thread.
      # In un ambiente reale, useremmo uno strumento compilato o iniezione di DLL riflettente.
      Write-Host "[!] Passo manuale: Utilizzare uno strumento come 'Process Hacker' o un iniettore personalizzato per mirare a lsass.exe per garantire che venga generato l'ID Evento 8."
  } else {
      Write-Error "[-] Non è stato possibile trovare lsass.exe"
  }

• Comandi di Pulizia:

  # Pulizia: Assicurarsi che non vi siano processi lasciati in esecuzione.
  Stop-Process -Name "calc" -ErrorAction SilentlyContinue
  Write-Host "[+] Pulizia completata."