Gli esperti di Palo Alto Networks analizzano BlackCat, il ransomware del momento

Il gruppo ransomware BlackCat, noto anche come ALPHV, in un paio di mesi (è stato identificato a novembre del 2021) ha attirato l'attenzione dei ricercatori di sicurezza di tutto il mondo dopo aver realizzato una serie di exploit negli Stati Uniti, in Europa e nelle Filippine. Il gruppo si è distinto non solo per la sofisticazione e l'innovazione degli attacchi creati (attraverso il linguaggio di programmazione Rust) ma anche per il modello di business ransomware-as-a-service (RaaS) adottato. Gli esperti di cybersicurezza della Unit 42 di Palo Alto Networks hanno analizzato gli exploit di questo gruppo.

La "gang BlackCat" colpisce in diversi settori 

Nei forum frequentati dalla criminalità informatica (come "Ransomware Anonymous Market Place"), BlackCat ha cercato e trovato numerosi affiliati proponendo loro un'offerta difficile da rifiutare: usare il loro ransomware e mantenere l'80-90% del pagamento del riscatto. Il modello di business adottato e la sofisticazione degli attacchi creati ha permesso a BlackCat di entrare in poco più di un mese nella classifica di Unit 42 (piazzandosi al settimo posto nel mese di dicembre 2021) che monitora i gruppi informatici: il numero delle vittime colpite, purtroppo, continua a crescere. Il gruppo criminale opera in molteplici settori mentre gli affiliati di BlackCat hanno chiesto finora riscatti fino a 14 milioni di dollari (quasi tre volte la richiesta media di 5,3 milioni di dollari a inizio 2021).

La forza di BlackCat è da ricercare nella personalizzazione dei suoi attacchi e negli algoritmi che alimentano la crittografia. Il gruppo, poi, ha scelto una strategia mediatica aggressiva citando pubblicamente le vittime. BlackCat e i suoi affiliati hanno attaccato soprattutto organizzazioni statunitensi ma anche aziende in Europa, Filippine e altri paesi. Le vittime appartengono a diversi settori, tra cui edilizia e ingegneria, retail, trasporti, servizi commerciali, assicurazioni, servizi professionali, telecomunicazioni, componenti auto e prodotti farmaceutici.

Il malware è codificato nel linguaggio di programmazione Rust (è il primo ransomware a farlo) che permette agli autori di elaborarlo facilmente su varie architetture. Questa ampia possibiità di personalizzazione permette alla "gang BlackCat" di utilizzare molteplici tattiche. In particolare, tecniche di estorsione in alcuni casi, tra cui trafugare i dati delle vittime prima della distribuzione del ransomware, minacce di esporli se il riscatto non venisse pagato e attacchi DDoS (distributed denial-of-service).