L’Osservatorio sulla Cybersecurity di Netgroup ha rilevato la pubblicazione di un post da parte del gruppo denominato “Cactus”, che rivendica il furto di dati ai danni dell’azienda IsoMetrix.
L’azienda IsoMetrix, fondata in Sudafrica, sviluppa software per la gestione integrata dei rischi, fornendo soluzioni all’avanguardia per la gestione ambientale, sociale e della governance (ESG), nonché per la gestione dell’ambiente, della salute e della sicurezza (EHS). Il loro obiettivo è consentire alle imprese di migliorare la sicurezza sul luogo di lavoro per i dipendenti, creare ambienti fisici e sociali più sostenibili e ridurre il rischio aziendale.
Secondo quanto affermato da Cactus nel loro ultimo post, il gruppo sarebbe riuscito ad ottenere circa 126 GB di dati sensibili appartenenti all’azienda, divulgandone già l’1%. I dati compromessi includerebbero informazioni estremamente delicate, come informazioni personali, file dei dipendenti e dirigenti, dati finanziari, informazioni sui clienti, contratti e NDA, corrispondenza aziendale e dati sullo sviluppo software.
Cactus: un Ransomware pungente
Si tratta di un Ransomware identificato per la prima volta nel marzo del 2023, affermandosi come uno dei principali avversari informatici che utilizza tecniche di crittografia avanzate, strategie di evasione e diversi metodi di attacco. Cactus non si ferma solo alla crittografia, ma garantisce che la propria presenza sia profondamente radicata nel sistema compromesso, impiegando una complessa infection chain e utilizzando più livelli di offuscamento per nascondere le proprie attività. Ecco alcune delle sue peculiarità:
- Persistenza: sfrutta le vulnerabilità dei dispositivi VPN per infiltrarsi nell’infrastruttura della vittima. Una volta ottenuto l’accesso iniziale attraverso queste vulnerabilità, crea una backdoor SSH. Questa backdoor permette un accesso non autorizzato continuo, assicurando una presenza persistente all’interno della rete compromessa;
- Infection chain: utilizza strumenti di accesso remoto come Splashtop o AnyDesk, gestisce le operazioni con il software SuperOps RMM, simula attacchi con Cobalt Strike, stabilisce comunicazioni crittografate con Chisel ed esfiltra le credenziali;
- Offuscamento ed evasione: sfruttando uno script batch per eseguire il campione di ransomware utilizzando 7-Zip, Cactus si crittografa, eludendo i meccanismi di rilevamento e incorporandosi nel sistema;
- Reconnaissance: Cactus utilizza comandi di PowerShell per enumerare gli endpoint, individuare gli account utente tramite gli accessi riusciti nel Windows Event Viewer ed eseguire il ping degli host remoti;
- Estensione dei file crittografati: i file crittografati vengono rinominati con l’estensione .CTS, utilizzando algoritmi di crittografia AES-256-GCM e RSA-4096.
Notizia in aggiornamento.
