Red Hot Cyber
La cybersecurity è condivisione. Riconosci il rischio, combattilo, condividi le tue esperienze ed incentiva gli altri a fare meglio di te.
Redazione RHC : 19 Ottobre 2023 15:40
Con una mossa audace, inaspettata e coordinata, le forze dell’ordine internazionali – tra cui la nostra Polizia Postale – hanno chiuso il Data Leak Site (DLS) della nota cyber gang Ragnar Locker.
Questo DLS, precedentemente raggiungibile tramite la rete onion e TOR Browser, è stato utilizzato dalla cyber gang per rivendicare e pubblicare i dati di molte aziende, tra le quali anche aziende italiane.
Ragnar Locker ha colpito l’azienda ospedaliera di Alessandria in Piemonte, aziende private come la Dollmar Spa o il famoso aperitivo Campari.
Iscriviti GRATIS alla RHC Conference 2025 (Venerdì 9 maggio 2025)
Il giorno Venerdì 9 maggio 2025 presso il teatro Italia di Roma (a due passi dalla stazione termini e dalla metro B di Piazza Bologna), si terrà
la RHC Conference 2025. Si tratta dell’appuntamento annuale gratuito, creato dalla community di RHC, per far accrescere l’interesse verso le tecnologie digitali, l’innovazione digitale e la consapevolezza del rischio informatico.
La giornata inizierà alle 9:30 (con accoglienza dalle 9:00) e sarà interamente dedicata alla RHC Conference, un evento di spicco nel campo della sicurezza informatica. Il programma prevede un panel con ospiti istituzionali che si terrà all’inizio della conferenza. Successivamente, numerosi interventi di esperti nazionali nel campo della sicurezza informatica si susseguiranno sul palco fino alle ore 19:00 circa, quando termineranno le sessioni. Prima del termine della conferenza, ci sarà la premiazione dei vincitori della Capture The Flag prevista per le ore 18:00.
Potete iscrivervi gratuitamente all'evento utilizzando questo link.
Per ulteriori informazioni, scrivi a [email protected] oppure su Whatsapp al 379 163 8765
Supporta RHC attraverso:
Ti piacciono gli articoli di Red Hot Cyber? Non aspettare oltre, iscriviti alla newsletter settimanale per non perdere nessun articolo.
Accedendo al Data leak Site, oggi viene riportata l’immagine che abbiamo pubblicato in copertina che avverte che il sito è stato eliminato.
Scoperto inizialmente nell’aprile 2020, Ragnar Locker è sia un ransomware che una banda di ransomware che operava attraverso il modello Ransomware As A Service (RaaS).
La cyber gang è stata sul radar dell’FBI da quando sono state violate 52 organizzazioni in 10 settori diversi di infrastrutture critiche. I settori che Ragnar Locker ha violato includono energia, produzione, servizi finanziari, governi e tecnologia dell’informazione.
La gang è nota per cambiare costantemente le proprie tecniche di offuscamento per evitare il rilevamento e la prevenzione, oltre a scoraggiare le organizzazioni dal contattare le forze dell’ordine dopo una violazione.
La banda lavora con diverse varianti del ransomware e con diversi attori di minacce (Affiliati).
Ragnar Locker è noto per l’utilizzo della tattica della doppia estorsione, che coinvolge gli attori delle minacce che esfiltrano dati sensibili, quindi attivano l’attacco di crittografia. Infine, minacciano di far trapelare i dati se il riscatto richiesto non viene pagato.
Secondo i ricercatori di Acronis, per eludere il rilevamento, Ragnar Locker distribuisce una macchina virtuale (VM) VirtualBox con un’immagine di Windows XP, per eseguire l’attacco di crittografia ransomware (una tecnica adottata dagli operatori di ransomware Maze).
Ragnar Locker avvia i propri attacchi compromettendo le reti delle aziende tramite il servizio RDP, utilizzando la forza bruta per indovinare le password o utilizzando credenziali rubate acquistate sul dark web.
Dopo aver compromesso la rete del bersaglio, l’autore della minaccia eleva i propri privilegi che consente agli aggressori di eseguire codice arbitrario. Per sfruttare la vulnerabilità, l’autore dell’attacco esegue un’applicazione appositamente predisposta.
Successivamente, carica una VM VirtualBox che mappa tutte le unità locali come leggibili/scrivibili nella macchina virtuale. Di conseguenza, il processo ransomware è in grado di essere eseguito all’interno della VM per crittografare i file. I file host riconoscono la crittografia come un processo VirtualBox attendibile, il che significa che molti prodotti di sicurezza ignorano le attività del ransomware.
Successivamente, Ragnar Locker eliminava le copie shadow e disabilita le contromisure antivirus, quindi utilizza uno script PowerShell per passare da una rete aziendale a un’altra prima che il ransomware venga distribuito.
Ragnar Locker ruba i file e li carica sui server prima di pubblicarli, nel caso in cui la vittima si rifiuti di pagare il riscatto richiesto. Le tecniche di offuscamento proteggono il codice ransomware e tali tecniche includono l’aggiunta di codice spazzatura oltre alla crittografia. Le informazioni locali vengono controllate per evitare che i paesi della CSI vengano infettati.
Sebbene questa operazione sia stata un successo, la lotta contro il crimine informatico e al ransomware continua senza sosta. Ragnar Locker potrebbe non essere l’unico gruppo di ransomware attivo e potrebbe effettuare un “rebrand”, ma questo evento dimostra che, con la cooperazione internazionale e il duro lavoro delle forze dell’ordine, è possibile combattere queste minacce e proteggere le organizzazioni e i dati delle vittime.
Il ruolo della Polizia Postale nel contribuire a porre fine alle operazioni del DLS di Ragnar Locker sottolinea l’importanza della sicurezza informatica e della protezione dei dati sensibili. La collaborazione a livello globale è fondamentale per affrontare le sfide sempre crescenti del mondo digitale.
RedazioneIl 16 aprile 2025, Spotify ha subito un’interruzione del servizio che ha colpito numerosi utenti in Italia e nel mondo. A partire dalle ore 14:00, migliaia di segnalazioni sono state re...
Fourlis Group, il gestore dei negozi IKEA in Grecia, Cipro, Romania e Bulgaria, ha dichiarato di aver subito un attacco ransomware prima del Black Friday del 27 novembre 2024, che ha causato...
Noi di Red Hot Cyber lo diciamo da tempo: affidarsi esclusivamente a infrastrutture critiche gestite da enti statunitensi è un rischio per l’autonomia strategica europea. È anni che s...
A partire da poco dopo la mezzanotte del 15 aprile 2025, BreachForums – uno dei principali forum underground – risulta offline sia nella sua versione clearnet che nella controparte su re...
Un utente anonimo ha pubblicato nel forum underground chiuso Exploit un annuncio che ha subito attirato l’attenzione della comunità di cybersecurity: la vendita di un exploit zero-day...
Copyright @ REDHOTCYBER Srl
PIVA 17898011006
