Sarcoma Ransomware: Anatomia di una Minaccia Spietata

Il ransomware Sarcoma, individuato per la prima volta nell'ottobre 2024, si è rapidamente affermato come una delle minacce più attive e pericolose nel panorama cyber. Questo gruppo criminale informatico, caratterizzato da tattiche sofisticate e un'aggressiva strategia di doppia estorsione, ha colpito aziende di alto profilo in diversi settori, causando gravi interruzioni operative e perdite finanziarie.

Tattiche e Tecniche:

Sarcoma impiega tattiche avanzate per infiltrarsi nelle reti aziendali, tra cui:

• Exploit zero-day: Sfruttamento di vulnerabilità sconosciute ai produttori di software, garantendo un accesso iniziale ai sistemi.

• Strumenti RMM (Remote Monitoring and Management): Utilizzo di software legittimi per la gestione remota dei sistemi, trasformandoli in strumenti di spionaggio e controllo.

• Doppia estorsione: Oltre a crittografare i file, Sarcoma esfiltra anche i dati sensibili, minacciando di pubblicarli se il riscatto non viene pagato.

Obiettivi:

Sarcoma non si concentra su un singolo settore, ma prende di mira aziende di alto valore in diversi ambiti, tra cui:

• Manifatturiero

• Trasporti

• Sistemi di controllo industriale (ICS)

• Ingegneria

• Enti governativi

• Retail

Impatto:

Gli attacchi di Sarcoma possono avere conseguenze devastanti per le aziende colpite, tra cui:

• Interruzione delle operazioni

• Perdita di dati sensibili

• Danni alla reputazione

• Perdite finanziarie significative

Esempio di Attacco:

Un esempio significativo dell'attività di Sarcoma è l'attacco a Smart Media Group Bulgaria nell'ottobre 2024, in cui sono stati esfiltrati 40 GB di dati sensibili.

Analisi Tecnica:

Il ransomware Sarcoma è scritto in C++ e utilizza la libreria CryptoPP per crittografare i file. Un'interessante tecnica di evasione utilizzata dal malware è il controllo della presenza del layout di tastiera uzbeko (LANGID 0x0443) sul sistema infetto. Questo suggerisce un tentativo di evitare l'infezione di sistemi in specifiche regioni geografiche, indicando una possibile origine del gruppo criminale in quel paese.

Contromisure:

Per difendersi da Sarcoma e da altri ransomware, le aziende dovrebbero:

• Implementare una strategia di sicurezza a più livelli.

• Mantenere i sistemi operativi e il software aggiornati.

• Eseguire backup regolari dei dati.

• Formare i dipendenti sulla sicurezza informatica.

• Monitorare attentamente le reti per attività sospette.

La minaccia rappresentata da Sarcoma è in continua evoluzione. Le aziende devono rimanere vigili e adattare costantemente le proprie strategie di sicurezza per proteggere le proprie reti e i dati dei propri clienti.