La cifratura post-quantistica è già in uso... per il ransomware

Si sa che i criminali informatici sono tra i primi a sfruttare nuove tecniche e tecnologie per superare le difese delle proprie vittime: abbiamo assistito a questo fenomeno con l'IA e ora è il turno della crittografia post-quantistica. Un nuovo gruppo ransomware, noto come Kyber, si è infatti fatto notare per via del suo uso del cifrario Kyber1024 nelle sue attività.

La crittografia post-quantistica usata per il crimine

La società di cybersicurezza Rapid7 ha pubblicato un'analisi delle attività di Kyber, un nuovo gruppo di criminali che fa dell'uso della crittografia post-quantistica il suo principale elemento di distinzione.

Il gruppo ha sviluppato un ransomware in due varianti, una per Windows e una per Linux ed ESXi. Se quest'ultima usa in realtà sistemi tradizionali (ChaCha8 e AES) per portare a termine il proprio compito, la versione per Windows usa AES per cifrare i file e Kyber1024, che è tra i cifrari post-quantistici approvati dal NIST nel 2022, per cifrare la chiave simmetrica usata per AES.

L'approccio del gruppo Kyber è dunque doppiamente interessante, perché sfrutta un sistema a doppio cifrario (a chiave simmetrica per la cifratura effettiva, e a chiave pubblica per proteggere la chiave simmetrica) e perché uno di questi cifrari è post-quantistico. Va notato che questo non viene impiegato direttamente per la cifratura dei file.

Il ransomware sfrutta molte funzionalità fornite dai sistemi operativi vittima: ad esempio, nel caso di ESXi sfrutta gli strumenti integrati per ottenere una lista delle VM in esecuzione e cifrarne i dischi; nel caso di Windows, sfrutta PowerShell per disabilitare funzionalità come le copie shadow e il Windows Recovery Environment, così da precludere la possibilità di un ripristino.

Attualmente il gruppo ha nominato solo una vittima sul suo sito Tor, un'azienda statunitense impegnata nel ramo della difesa. Le attività di Kyber, tuttavia, sembrano febbrili: Rapid7 ha rilevato più di 900 attacchi nel solo mese di marzo.