Ascesa della nuova versione del Ransomware Knight negli ospedali

Il mondo è allarmato da una serie di Attacchi ransomware portati avanti da Ransomware. Solo nel mese di aprile, ci sono state 26 segnalazioni di attacchi a ospedali e ad altre organizzazioni, come la casa d'aste Christie's. Gli ospedali di Londra hanno dovuto interrompere le trasfusioni di sangue e gli interventi chirurgici a causa di questi attacchi.

Che cos'è Ransomhub? Si tratta di una versione aggiornata del programma ransomware Knight. All'inizio del 2024, il codice sorgente di Knight è stato messo in vendita sul dark web. Il nuovo proprietario(o forse lo stesso proprietario) ha migliorato il programma e ora lo offre come Ransomware-as-a-Service (RaaS). Questo servizio attira attivamente gli affiliati. Molti ex utenti di Lockbit stanno passando a Ransomhub, perché l'attività di Lockbit è stata di recente fortemente colpita dalle forze dell'ordine. La persona dietro Lockbit rimane latitante e attiva.

Settore dell'assistenza sanitaria sotto tiro

In passato, diverse operazioni RaaS hanno dichiarato che gli attacchi al settore sanitario erano inaccettabili, soprattutto durante la pandemia. Tuttavia, recentemente, Ransomhub ha preso di mira le istituzioni sanitarie e i loro fornitori.

Doppia estorsione: Oltre al tradizionale modello di business del Ransomware, in cui viene richiesto un riscatto per ripristinare l'accesso ai dati crittografati, i criminali ora utilizzano anche il metodo della "doppia estorsione". Prima rubano i dati e poi minacciano di venderli o renderli pubblici.

Più veloce di prima: La rapida crescita e lo sviluppo di questo nuovo servizio RaaS suggeriscono che Ransomhub giocherà un ruolo significativo nel mondo dei cybercriminali. Questo è preoccupante perché il tempo che intercorre tra l'accesso iniziale e la distribuzione del Ransomware sta diventando sempre più breve.

Laricerca mostra che dal 2023, in più della metà dei casi il ransomware viene distribuito entro una settimana. In un terzo dei casi, avviene entro 48 ore. La maggior parte dei ransomware viene attivata al di fuori dell'orario di lavoro, spesso la mattina presto.

Metodi utilizzati

Come è comune negli Attacchi ransomware, l'accesso iniziale avviene spesso attraverso credenziali ottenute tramite phishing o spearphishing. Pertanto, è essenziale che la sua organizzazione si concentri costantemente sulla consapevolezza della cybersecurity dei suoi dipendenti, ad esempio attraverso il programma SAFE.

Gli hacker installano malware e sempre più spesso anche software di accesso remoto. Si pensi a programmi come TeamViewer, VNC, Atera e Splashtop. Inoltre, sfruttano spesso le vulnerabilità note della rete interna.

Quali vulnerabilità note?

Non possiamo mai sapere esattamente cosa stanno cercando di fare gli affiliati del Ransomware. Ma in base alla nostra ricerca, possiamo indicare cosa va regolarmente storto nella Cybersecurity nell'assistenza sanitaria. Gli stessi attaccanti a volte forniscono consigli, come si vede nell'immagine qui sotto.