Economia basata sull'estorsione

Proprio come molti settori sono passati ai gig worker per una maggiore efficienza, anche i criminali informatici stanno noleggiando o vendendo i propri strumenti di ransomware per una porzione dei profitti, invece che compiere gli attacchi personalmente.

Il modello Ransomware-as-a-Service consente ai criminali informatici di acquisire l'accesso ai payload ransomware e alle fuoriuscite di dati oltre che all'infrastruttura di pagamento. Le "gang" ransomware sono in realtà programmi RaaS come Conti, o REvil, usati da diversi attori che passano da un programma e payload RaaS all'altro.

Il modello RaaS riduce le barriere all'ingresso e offusca l'identità degli utenti malintenzionati dietro il ransoming. Alcuni programmi hanno più di 50 "affiliati", come raccontano agli utenti del servizio, con diversi strumenti, tecniche commerciali e obiettivi. Proprio come chiunque abbia una macchina possa guidare per un servizio di ridesharing, chiunque con un portatile e una carta di credito può cercare nel dark web strumenti di test di penetrazione o malware pronto all'uso ed entrare in questa economia.

L'industrializzazione del crimine informatico ha creato ruoli specializzati, come broker di accesso che vendono l'accesso alle reti. Una singola compromissione spesso coinvolge più criminali informatici in diverse fasi dell'intrusione.

I kit RaaS sono facili da trovare nel dark web e sono pubblicizzati proprio come avviene con gli articoli pubblicizzati su Internet.

Un kit RaaS può includere supporto dell'assistenza clienti, offerte, recensioni degli utenti, forum e altre funzionalità. I criminali informatici possono pagare un prezzo stabilito per un kit RaaS mentre altri gruppi che vendono questi kit all'interno di un modello affiliato prendono una percentuale dei profitti.

Gli attacchi ransomware prevedono decisioni basate sulle configurazioni di rete e differiscono per ogni vittima anche se il payload del ransomware è lo stesso. Il ransomware culmina in un attacco che può includere esfiltrazione di dati e altri tipi di impatto. Data la natura interconnessa dell'economia del crimine informatico, allo stesso modo intrusioni correlate possono basarsi le une sulle altre. Il malware Infostealer che ruba password e cookie viene trattato con meno gravità, ma i criminali informatici vendono queste password per rendere possibili altri attacchi.

Questi attacchi seguono un modello di accesso iniziale attraverso un'infezione malware o sfruttamento di una vulnerabilità seguiti da un furto di credenziali per elevare i privilegi e spostarsi lateralmente. L'industrializzazione consente a utenti malintenzionati senza particolari competenze avanzate di portare a termine attacchi ransomware prolifici e di impatto. Dalla chiusura di Conti abbiamo osservato cambiamenti nel panorama ransomware. Alcuni affiliati che distribuivano Conti sono passati a payload di ecosistemi RaaS consolidati come LockBit e Hive, mentre altri distribuiscono contemporaneamente payload di più ecosistemi RaaS.

Nuovi RaaS come QuantumLocker e Black Basta stanno riempiendo il vuoto lasciato dalla chiusura di Conti. Poiché la maggior parte della copertura Ransomware si concentra sui payload invece che sugli attori, questo passaggio di payload può confondere i governi, le forze dell'ordine, i media, i ricercatori nel campo della sicurezza e i difensori in merito a chi può esserci dietro gli attacchi.

La creazione di report sul ransomware potrebbe sembrare un problema di dimensionamento infinito; tuttavia, la realtà è che si tratta di un insieme finito di attori che usano il set di tecniche.