L’Osservatorio sulla #Cybersecurity di Netgroup ha rilevato una nuova e delicata rivendicazione pubblicata sul portale onion del gruppo ransomware Everest. A finire nel mirino, questa volta, è Iberia Airlines, principale compagnia aerea spagnola e uno dei pilastri del trasporto aereo europeo.

La dichiarazione, diffusa nei circuiti del dark web, parla di un attacco su larga scala che avrebbe permesso l’accesso e l’esfiltrazione di una mole imponente di dati: 596 GB di database interni e ulteriori 430 GB di archivi legati alla gestione delle prenotazioni. Secondo gli attori coinvolti, si tratterebbe di informazioni estremamente sensibili che coinvolgono un bacino globale di passeggeri.

 
Secondo il messaggio rilasciato dal gruppo, i dati sottratti non riguarderebbero solo le classiche informazioni anagrafiche. L’inventario comprenderebbe identità complete dei passeggeri, saldi dei programmi fedeltà Avios, storici di viaggio dettagliati, numeri di biglietto, configurazioni delle prenotazioni e informazioni finanziarie legate al sistema IberiaPay.

Inoltre, Everest sostiene di aver avuto un accesso prolungato e silenzioso ai sistemi di Iberia, tale da consentire potenzialmente la modifica o la cancellazione delle prenotazioni, la variazione dei contatti d’emergenza, dei posti assegnati o dei servizi a bordo, in piena autonomia e senza segnalazioni da parte degli strumenti di monitoraggio aziendali.

Attualmente, Everest avrebbe concesso un tempo limitato alla compagnia per entrare in contatto e avviare una trattativa. In assenza di riscontri, il gruppo minaccia di pubblicare l’intero archivio esfiltrato o di venderlo al miglior offerente. Il rischio principale, come già avvenuto in precedenti campagne del gruppo, è che le informazioni finiscano in circuiti criminali, dando origine a campagne di phishing, frodi finanziarie, furti d’identità e tracciamenti illeciti. L’impatto potenziale di una simile violazione tocca milioni di utenti, in particolare nei mercati in cui Iberia ha una presenza dominante: Spagna, America Latina e Europa centrale, dove il vettore gestisce tratte ad alta intensità sia nel traffico business che turistico.

Everest: colpisce ancora.

Everest è un ransomware scoperto per la prima volta nel dicembre del 2020 ed è abbastanza conosciuto per la sua doppia estorsione, poiché, non solo crittografano i dati della vittima ma minacciano anche l’esfiltrazione di informazioni sensibili.
Ciò aumenta la pressione sulle vittime affinché paghino il riscatto.

 
Ecco alcune delle sue peculiarità:

• Defense Evasion: elimina i file generati durante le operazioni, come log e dati raccolti, non lasciando tracce delle proprie attività, per evitare che possano essere scoperti durante le analisi forensi;
• System Information Discovery: Everest utilizza “netscan.exe, netscanpack.exe, SoftPerfect” e altri comandi per raccogliere informazioni consentendo inoltre di identificare ulteriori obiettivi all’interno della rete e pianificare le fasi successive dell’attacco;
• Movimento laterale: utilizza account legittimi compromessi e Remote Desktop Protocol (RDP) per spostarsi lateralmente tra le reti;