Che cos'è il ransomware Play?

Play, detto anche Playcrypt, è un gruppo ransomware attivo da giugno 2022. CISA, FBI e Australian Cyber Security Centre lo hanno descritto nell'avviso congiunto AA23-352A del 18 dicembre 2023, che contava allora circa 300 organizzazioni colpite; un aggiornamento di giugno 2025 ha indicato che all'FBI ne risultavano circa 900 a maggio 2025. Play usa la doppia estorsione, ma la nota di riscatto non indica alcun importo: le vittime devono prendere contatto via e-mail, e l'aggiornamento segnala che alcune sono state anche minacciate per telefono. L'accesso iniziale avviene di solito tramite account validi rubati o acquistati e vulnerabilità di sistemi esposti su internet, come servizi di desktop remoto e firewall. Il gruppo ricompila il malware per ogni attacco, quindi gli hash dei file servono a poco. Il comportamento è più affidabile: furto di credenziali, spostamenti tra macchine interne e dati raccolti e inviati all'esterno prima della cifratura, cose che il monitoraggio di rete può vedere.

← Tutte le 25 domande su Gruppi e famiglie di ransomwareTutti i temi