Ransomware
Come rilevare il ransomware in rete
Rilevare il ransomware in rete significa cogliere l'attacco nelle fasi che precedono la cifratura del primo file. L'attaccante deve prima raggiungere una macchina, contattare il proprio server, trovare i file server e i backup, spostarsi su di essi e, nella maggior parte degli attacchi attuali, copiare i dati all'esterno per avere una seconda leva di ricatto. Ognuna di queste fasi attraversa la rete e lascia uno schema: connessioni regolari verso un server esterno, un host che scansiona molti altri, nuove sessioni di amministrazione, un grande caricamento di notte. La cifratura è l'ultima fase, e quella che la rete vede meno.
Il dato da cui partire
Nell'avviso congiunto AA24-131A, pubblicato per la prima volta il 10 maggio 2024, CISA, FBI e agenzie partner hanno riferito che gli affiliati di Black Basta avevano colpito oltre 500 organizzazioni nel mondo, adottavano un modello di doppia estorsione che cifra i sistemi ed esfiltra i dati, e usavano RClone per esfiltrare i dati prima della cifratura.
I segnali in rete, nell'ordine in cui di solito compaiono
Nessuno prova da solo un ransomware. Visti in quest'ordine, o insieme, meritano un'indagine in giornata.
01Un nuovo server esterno, contattato a intervalli regolari
Una postazione inizia a collegarsi a una destinazione che nessun altro usa, ogni pochi minuti, giorno e notte. Spesso è il canale di comando e controllo dell'attaccante o uno strumento di accesso remoto che nessuno ha approvato.
02Un host che scansiona la rete interna
La macchina compromessa sonda gli intervalli interni alla ricerca di porte SMB (445), RDP (3389) e di database aperte, per trovare file server, backup e controller di dominio.
03Nuove sessioni di amministrazione verso molti server
Sessioni remote SMB, RDP o WinRM da una postazione verso server che non ha mai usato, spesso fuori orario, mostrano che l'attaccante si avvicina ai dati.
04Un grande caricamento prima che qualcosa venga cifrato
La copia dei dati verso un archivio cloud, con strumenti come RClone, appare come un volume in uscita insolito da un server che di solito invia poco, spesso di notte.
05Letture e riscritture massicce sulle condivisioni
Quando inizia la cifratura, un client legge e riscrive in poco tempo grandi quantità di dati sulle condivisioni di rete. A questo punto il contenimento viene prima di tutto.
Corrispondenza con MITRE ATT&CK
Nomi e identificativi delle tecniche sono di MITRE. L'ultima colonna indica la categoria di rilevamento di NetSenX a cui appartiene quel traffico; non significa che venga rilevata ogni variante della tecnica.
| Tecnica | Come appare in rete | Rilevamento NetSenX |
|---|---|---|
| T1046 Network Service DiscoveryDiscovery | Un host che si collega in poco tempo a molti indirizzi interni su porte SMB, RDP o di database. | Scansione |
| T1021.002 Remote Services: SMB/Windows Admin SharesLateral Movement | Una postazione che apre sessioni SMB sulle condivisioni amministrative di server che non ha mai usato. | Movimento laterale |
| T1071 Application Layer ProtocolCommand and Control | Connessioni piccole e regolari verso la stessa destinazione esterna via HTTPS, giorno e notte. | Beaconing C2 |
| T1567.002 Exfiltration Over Web Service: Exfiltration to Cloud StorageExfiltration | Un server che carica su un servizio di archiviazione cloud molti più dati del solito. | Volume di dati in uscita insolito |
| T1486 Data Encrypted for ImpactImpact | La cifratura gira sugli host. Quando colpisce le condivisioni di rete, un client legge e riscrive grandi volumi via SMB. | Nessun rilevamento dedicato: NetSenX osserva le fasi che la precedono |
Che cosa fa oggi NetSenX
- Rileva scansioni, movimento laterale, beaconing C2 e volumi di dati in uscita insoliti dal comportamento in rete, in ogni piano, Free compreso.
- Spiega ogni avviso in linguaggio semplice, indicando le caratteristiche di rete che ne hanno determinato il punteggio, così un team piccolo distingue un'intrusione da un nuovo job di backup.
- Indica nell'avviso la tecnica MITRE ATT&CK quando un rilevamento corrisponde a una, e mostra in una vista di copertura quali tecniche coprono i rilevamenti attivi.
- Segue le scadenze dell'articolo 23 della NIS2 se un incidente si rivela significativo e prepara per il Suo DPO la notifica di violazione dell'articolo 33 del GDPR.
Che cosa NetSenX non fa
NetSenX non ferma la cifratura su un host, non ripristina i file e non ha un rilevamento dedicato alla fase di cifratura in sé: quello è il compito della protezione degli endpoint (EDR) e dei backup offline. Vede solo i segmenti che Lei monitora e non decifra mai il traffico. Un attacco che inizia e finisce su una sola macchina lascia poco da vedere alla rete, e un avviso è un motivo per indagare, non la prova di un ransomware.
Domande degli acquirenti
Quali sono i primi segnali di ransomware in una rete?
Connessioni regolari di una postazione verso un nuovo server esterno, un host che scansiona gli intervalli interni alla ricerca di porte SMB, RDP o di database, nuove sessioni di amministrazione verso molti server e un grande caricamento verso il cloud da un server che di solito invia poco. Di norma arrivano in quest'ordine, prima che venga cifrato qualsiasi file.
Il monitoraggio di rete può rilevare il ransomware prima della cifratura?
Spesso sì, perché le fasi che precedono la cifratura attraversano la rete: connessioni di comando e controllo, scansioni, movimento laterale e furto di dati. È la finestra in cui un attacco si può ancora fermare. Non tutti gli attacchi mostrano tutte queste fasi, e uno confinato a una sola macchina lascia poco da vedere alla rete.
NetSenX ferma il ransomware?
No. NetSenX segnala il comportamento di rete che di solito precede il ransomware, così il Suo team può agire finché c'è tempo. Isolare gli host, allontanare l'attaccante e ripristinare i dati restano compiti del Suo team, della protezione degli endpoint e dei backup.
Che cosa fare per primo se vediamo questi segnali?
Scollegare dalla rete gli host coinvolti, conservarne i log, reimpostare le credenziali usate su di essi e chiamare il Suo fornitore di incident response. Se la Sua organizzazione rientra nella NIS2, il termine di 24 ore per il preallarme decorre da quando viene a conoscenza di un incidente significativo.
Fonti
- CISA, FBI, HHS and MS-ISAC — Joint advisory AA24-131A, #StopRansomware: Black Basta, first published 10 May 2024
- MITRE ATT&CK — Data Encrypted for Impact (T1486)
- Directive (EU) 2022/2555 (NIS2), Articles 21, 23 and 41 — EUR-Lex
Questa pagina ha carattere informativo generale e non costituisce consulenza legale. Verifichi i Suoi obblighi con l'autorità nazionale competente o con il Suo consulente legale.
Pagine correlate
Provate NetSenX sulla vostra rete
Iniziate con il piano Free per un massimo di 3 dispositivi, oppure prenotate una demo di 20 minuti.