Che cos’è e come funziona il ransomware as a service, che ha bloccato il più grande oleodotto americano

Cinque milioni di dollari. È questa la cifra pagata da Colonial Pipeline come riscatto per “liberare” l’impianto di trasporto del greggio “preso in ostaggio” dagli hacker di Darkside. Si tratta del più grande oleodotto americano, quello che trasporta il carburante per auto e aerei dal Golfo del Messico a New York, circa il 45% del totale della costa orientale degli Stati Uniti, la più popolata della nazione. Il blocco dell’infrastruttura ha fatto schizzare la benzina alle stelle (oltre tre dollari al gallone, quasi 3,8 litri) e causato lunghe code nelle stazioni di servizio, 17 mila delle quali sono rimaste a secco. La magnitudo del danno è stata tale da indurre i governatori di Florida, Virginia, North Carolina e Georgia a dichiarare lo stato di emergenza. La compagnia, che inizialmente aveva negato il versamento di qualsiasi somma mostrando di non volersi piegare alla gang con base in Europa orientale, ha pagato in criptovaluta, per non rendere tracciabile il pagamento, nelle ore successive all’attacco. Una circostanza che evidenzia l'immensa pressione subita dall'operatore per garantire il vitale flusso di carburante. Una volta ricevuto il denaro, gli hacker hanno fornito alla società gli strumenti informatici per ripristinare l'operatività del network dei suoi computer. Ma gli strumenti erano così lenti che Colonial Pipeline avrebbe continuato ad usare i suoi backup per ripristinare il sistema. Cerchiamo di esplorare più da vicino il mondo oscuro di Darkside grazie agli esperti di FireEye Mandiant i quali ci spiegano che i cyber criminali operano con un programma di affiliazione "ransomware-as-a-service" (RaaS). È un modello di business utilizzato dagli sviluppatori di ransomware, in cui noleggiano varianti di ransomware nello stesso modo in cui gli sviluppatori di software legittimi noleggiano prodotti SaaS. RaaS offre a tutti, anche a persone senza molte conoscenze tecniche, la possibilità di lanciare attacchi ransomware semplicemente registrandosi a un servizio. Un ransomware è un tipo di malware (applicazione informatica di disturbo) che limita l'accesso del dispositivo che infetta, richiedendo un riscatto da pagare per rimuovere la limitazione. I paradigmi "as a service" indicano risorse, asset, attività che potessero essere fruite in forma di servizio liberandosi spesso da oneri e costi ingombranti. E' il caso per esempio di Saa (Software as a Service), IaaS (Infrastructure as a Service), PaaS (Plataform as a Service) o DBaaA (Database as a Service). Secondo i dati di Mandiant i creatori di Darkside e i loro affiliati hanno colpito organizzazioni in più di 15 paesi e diversi settori. Come molti altri attori di ransomware, conducono estorsioni sfaccettate - esfiltrano i dati delle vittime, crittografano istantaneamente, distribuiscono ransomware e minacciano di pubblicare i dati rubati sul loro blog. L’obiettivo è costringere le vittime a pagare il riscatto al fine di ottenere lo sblocco e la non divulgazione dei dati rubati. Le origini di questi incidenti non sono sempre le stesse. Darkside ransomware opera come un ransomware-as-a-service (RaaS) in cui il profitto viene condiviso tra i suoi proprietari e partner, o affiliati, che forniscono l'accesso alle organizzazioni e distribuiscono il ransomware. Mandiant attualmente tiene traccia di più cluster di minacce che hanno distribuito questo ransomware, che è coerente con più affiliati che utilizzano Darkside. La maggior parte delle vittime si trova negli Stati Uniti e opera in più settori, inclusi servizi finanziari, legali, produzione, servizi professionali, vendita al dettaglio e tecnologia. Il numero di entità finite nel mirino della cyber gang è cresciuto dall'agosto 2020, a eccezione di un calo registrato a gennaio e marzo 2021, che dimostra l’impiego sempre più massiccio della tecnologia RaaS divenuta ad ora l’arma più agile ed efficace attualmente in possesso dei bucanieri della dimensione cyber.