BRUTED: Il Tool di Black Basta che Apre le Porte ai Ransomware

Sandro Sana : 20 Marzo 2025 07:12

Nel contesto della cybersecurity, l’evoluzione delle minacce legate ai ransomware continua a rappresentare una delle sfide più complesse per le aziende e gli esperti di sicurezza. Uno dei gruppi più attivi e pericolosi del panorama attuale è Black Basta, che dal 2022 ha affermato la sua presenza nel settore del crimine informatico attraverso attacchi mirati a infrastrutture aziendali critiche. La sua peculiarità non risiede solo nell’uso del modello Ransomware-as-a-Service (RaaS), ma anche nell’adozione di strumenti sofisticati per il compromissione iniziale dei sistemi bersaglio.

Uno di questi strumenti è BRUTED, un framework automatizzato di brute forcing e credential stuffing, progettato per compromettere dispositivi di rete periferici esposti su Internet, come firewall, VPN e altri servizi di accesso remoto. La sua efficienza e capacità di adattamento lo rendono un’arma particolarmente insidiosa nelle mani di cybercriminali esperti.

Questa analisi approfondisce il funzionamento di BRUTED, il modus operandi di Black Basta e le implicazioni per la sicurezza informatica.

Black Basta: Un’Organizzazione Cybercriminale in Crescita

Vorresti toccare con mano la Cybersecurity e la tecnologia? Iscriviti GRATIS ai WorkShop Hands-On della RHC Conference 2025 (Giovedì 8 maggio 2025)

Se sei un ragazzo delle scuole medie, superiori o frequenti l'università, oppure se solamente un curioso, il giorno giovedì 8 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terranno i workshop "hands-on", creati per far avvicinare i ragazzi alla sicurezza informatica e alla tecnologia. Questo anno i workshop saranno:

Creare Un Sistema Ai Di Visual Object Tracking (Hands on)

Social Engineering 2.0: Alla Scoperta Delle Minacce DeepFake

Doxing Con Langflow: Stiamo Costruendo La Fine Della Privacy?

Come Hackerare Un Sito WordPress (Hands on)

Il Cyberbullismo Tra Virtuale E Reale

Come Entrare Nel Dark Web In Sicurezza (Hands on)

Potete iscrivervi gratuitamente all'evento, che è stato creato per poter ispirare i ragazzi verso la sicurezza informatica e la tecnologia.
Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765

Supporta RHC attraverso:

• L'acquisto del fumetto sul Cybersecurity Awareness
• Ascoltando i nostri Podcast
• Seguendo RHC su WhatsApp
• Seguendo RHC su Telegram
• Scarica gratuitamente "Dark Mirror", il report sul ransomware di Dark Lab

Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.

Black Basta si è imposto come uno dei gruppi ransomware più attivi e letali degli ultimi anni. Operando come Ransomware-as-a-Service (RaaS), offre agli affiliati strumenti per eseguire attacchi altamente mirati, condividendo con essi una parte dei profitti derivanti dai riscatti. Le principali caratteristiche della loro strategia includono:

• Doppia Estorsione: Dopo aver criptato i dati della vittima, il gruppo minaccia la pubblicazione delle informazioni rubate, aumentando la pressione per ottenere il pagamento.
• Targetizzazione di Settori Critici: I settori più colpiti dagli attacchi di Black Basta includono:
  • Servizi aziendali (Business Services), per il loro elevato valore commerciale.
  • Industria manifatturiera (Manufacturing), dove l’interruzione operativa può causare perdite economiche enormi.
  • Infrastrutture critiche, spesso caratterizzate da scarsa resilienza agli attacchi cyber.
• Utilizzo di strumenti avanzati come Cobalt Strike, Brute Ratel e, più recentemente, BRUTED, per massimizzare l’efficacia degli attacchi.

L’introduzione di BRUTED ha permesso a Black Basta di automatizzare e scalare gli attacchi di accesso iniziale, rendendo ancora più difficile per le aziende difendersi.

BRUTED: Come Funziona e Quali Sono i Suoi Obiettivi?

BRUTED è un framework di attacco altamente avanzato che automatizza il processo di brute forcing e credential stuffing. Il suo scopo principale è quello di individuare dispositivi di rete vulnerabili e ottenere l’accesso iniziale ai sistemi aziendali.

Le sue principali funzionalità includono:

• Scansione automatizzata di Internet per identificare dispositivi esposti e potenzialmente vulnerabili.
• Tentativi di accesso tramite brute force sfruttando database di credenziali rubate o deboli.
• Adattabilità multi-vendor, con supporto specifico per diversi tipi di firewall, VPN e gateway di accesso remoto.
• Persistenza e movimento laterale, facilitando l’accesso ai sistemi interni una volta compromesso il perimetro di sicurezza.

Una volta ottenuto l’accesso iniziale, gli attaccanti sfruttano il framework per:

1. Compromettere dispositivi chiave come firewall e VPN.
2. Eseguire movimenti laterali all’interno della rete per ottenere privilegi più elevati.
3. Distribuire il ransomware Black Basta, crittografando sistemi critici e bloccando l’operatività aziendale.

BRUTED rappresenta quindi un passo in avanti nell’automazione degli attacchi, permettendo agli affiliati di Black Basta di operare con maggiore efficienza e su scala più ampia.

Analisi della Mappa di Attacco: Una Visione Dettagliata

L’immagine allegata fornisce una rappresentazione grafica estremamente dettagliata dell’infrastruttura di attacco basata su BRUTED e utilizzata da Black Basta. Analizzandola, emergono diversi livelli chiave dell’operazione:

1. Origine dell’Attacco (Lato Sinistro)

• Connessioni con la Russia: L’immagine suggerisce un legame con attori malevoli operanti dalla Federazione Russa.
• Settori maggiormente colpiti: Business Services e Manufacturing risultano tra i principali obiettivi.
• Strumenti di attacco: Oltre a BRUTED, vengono utilizzati strumenti di post-exploitation come Cobalt Strike e Brute Ratel.

2. Host Compromessi e Tecniche di Attacco (Centro)

• Il cluster centrale dell’immagine mostra un insieme di dispositivi esposti su Internet.
• Ogni nodo rappresenta un host vulnerabile, probabilmente identificato tramite scansioni automatizzate.
• Le connessioni tra i nodi indicano attacchi mirati, con utilizzo di brute force e credential stuffing su larga scala.

3. Indicatori di Compromissione (Lato Destro)

• L’elenco di domini e IP compromessi mostra le infrastrutture usate da Black Basta per il comando e controllo (C2).
• I colori distinti rappresentano il livello di criticità e l’associazione con specifici attacchi.
• IP e DNS evidenziati in rosso corrispondono a infrastrutture attualmente attive e pericolose.

Questa analisi grafica fornisce un quadro chiaro delle tecniche di attacco e permette agli esperti di cybersecurity di identificare gli indicatori chiave di compromissione (IoC).

Come Difendersi da BRUTED e Black Basta

Per mitigare il rischio di compromissione da parte di BRUTED e Black Basta, le aziende devono adottare strategie di sicurezza avanzate, tra cui:

1. Protezione degli Endpoint di Rete:
   • Bloccare l’accesso remoto non necessario.
   • Configurare firewall per limitare accessi sospetti.
2. Gestione Sicura delle Credenziali:
   • Forzare l’uso dell’autenticazione multi-fattore (MFA).
   • Evitare il riutilizzo di password deboli.
3. Monitoraggio Attivo degli Indicatori di Compromissione:
   • Aggiornare costantemente le blacklist di IP e domini malevoli.
   • Analizzare tentativi di accesso anomali e bloccare gli indirizzi sospetti.
4. Patch Management:
   • Mantenere aggiornati firmware e software di firewall e VPN.
   • Applicare patch di sicurezza contro vulnerabilità note.

L’integrazione di BRUTED nel modello di attacco di Black Basta rappresenta un’evoluzione nella criminalità informatica, aumentando la velocità e la scalabilità degli attacchi. Le aziende devono adottare misure proattive e strategie difensive solide per contrastare questa minaccia in crescita.

Un approccio basato su zero-trust, MFA e monitoraggio attivo è fondamentale per difendersi efficacemente da queste minacce in continua evoluzione.

Sandro Sana
Membro del gruppo di Red Hot Cyber Dark Lab e direttore del Red Hot Cyber PodCast. Si occupa d'Information Technology dal 1990 e di Cybersecurity dal 2014 (CEH - CIH - CISSP - CSIRT Manager - CTI Expert), relatore a SMAU 2017 e SMAU 2018, docente SMAU Academy & ITS, membro ISACA.
Visita il sito web dell'autore