Ghost
Ghost noto anche come Cring, Crypt3r, Phantom, Strike, Hello, Wickrme, HsHarada e Rapture) è un gruppo di ransomware originario della Cina che sfrutta le vulnerabilità dei software non aggiornati per colpire organizzazioni in tutto il mondo.
L'origine del Ghost
Ghost un gruppo di hacker a scopo di lucro emerso all'inizio del 2021. Si ritiene che il gruppo operi dalla Cina ed è noto per i suoi attacchi rapidi e altamente opportunistici. A differenza di alcuni autori di ransomware che stabiliscono una persistenza a lungo termine, secondo la CISA Ghost in genere si infiltrano in una rete, distribuiscono il loro ransomware e se ne vanno nel giro di pochi giorni. Sfruttando le vulnerabilità dei software obsoleti, aumentano rapidamente i privilegi, disabilitano le difese di sicurezza e crittografano i file critici, lasciando alle vittime poco tempo per reagire. Il loro obiettivo è semplice: massimizzare il guadagno finanziario il più rapidamente possibile prima che i difensori possano rilevare e mitigare l'attacco.
Paesi presi di mira da Ghost
Ghost compromesso organizzazioni in oltre 70 paesi, con attacchi confermati in Cina e in numerose altre località.
Settori di riferimento di Ghost
Gli autori Ghost prendono di mira un ampio ventaglio di settori, tra cui le infrastrutture critiche, l'istruzione, la sanità, le reti governative, le istituzioni religiose, il settore tecnologico e quello manifatturiero. Anche le piccole e medie imprese sono spesso colpite.
Le vittime Ghost
Sebbene i nomi specifici delle vittime non vengano sempre resi noti, gli attacchi Ghost hanno colpito organizzazioni operanti in diversi settori. Data la loro finalità di estorsione finanziaria, tra le vittime figurano spesso istituzioni in possesso di dati preziosi e con difese informatiche limitate.
Il metodo di attacco Ghost
Ghost sfruttano le vulnerabilità presenti in Fortinet FortiOS, Adobe ColdFusion, Microsoft SharePoint e Microsoft Exchange (vulnerabilità ProxyShell) per ottenere un accesso non autorizzato.
Gli hacker utilizzano strumenti come SharpZeroLogon, SharpGPPPass, BadPotato e GodPotato per elevare i propri privilegi e assumere l'identità di utenti di sistema con privilegi elevati.
Il gruppo disattiva Windows Defender e altre soluzioni antivirus, modifica gli strumenti di sicurezza ed esegue comandi per non essere individuato.
Ghost sfruttano la funzione "hashdump"Cobalt Strikee Mimikatz per sottrarre le credenziali di accesso.
Gli aggressori effettuano l'individuazione degli account di dominio, l'individuazione dei processi e l'enumerazione delle condivisioni di rete utilizzando strumenti come SharpShares e Ladon 911.
Per muoversi all'interno delle reti delle vittime vengono utilizzati i comandi PowerShell e Windows Management Instrumentation (WMI).
Il ransomware viene eseguito tramite PowerShell, la shell di comando di Windows e web shell caricate.
Sebbene il furto di dati non sia l'obiettivo principale, alcuni file vengono sottratti tramite i serverCobalt Strike e cloud Mega.nz.
Il ransomware crittografa i file utilizzando Cring.exe, Ghost.exe, ElysiumO.exe e Locker.exe, rendendo inaccessibili i dati della vittima a meno che non venga pagato un riscatto.
Ghost sfruttano le vulnerabilità presenti in Fortinet FortiOS, Adobe ColdFusion, Microsoft SharePoint e Microsoft Exchange (vulnerabilità ProxyShell) per ottenere un accesso non autorizzato.
Gli hacker utilizzano strumenti come SharpZeroLogon, SharpGPPPass, BadPotato e GodPotato per elevare i propri privilegi e assumere l'identità di utenti di sistema con privilegi elevati.
Il gruppo disattiva Windows Defender e altre soluzioni antivirus, modifica gli strumenti di sicurezza ed esegue comandi per non essere individuato.
Ghost sfruttano la funzione "hashdump"Cobalt Strikee Mimikatz per sottrarre le credenziali di accesso.
Gli aggressori effettuano l'individuazione degli account di dominio, l'individuazione dei processi e l'enumerazione delle condivisioni di rete utilizzando strumenti come SharpShares e Ladon 911.
Per muoversi all'interno delle reti delle vittime vengono utilizzati i comandi PowerShell e Windows Management Instrumentation (WMI).
Il ransomware viene eseguito tramite PowerShell, la shell di comando di Windows e web shell caricate.
Sebbene il furto di dati non sia l'obiettivo principale, alcuni file vengono sottratti tramite i serverCobalt Strike e cloud Mega.nz.
Il ransomware crittografa i file utilizzando Cring.exe, Ghost.exe, ElysiumO.exe e Locker.exe, rendendo inaccessibili i dati della vittima a meno che non venga pagato un riscatto.
TTP utilizzati da Ghost
Come rilevare Ghost Vectra AI
Domande frequenti
In che modo il ransomware Ghost Cring) riesce ad accedere a una rete?
Ghost le vulnerabilità note presenti in software obsoleti, quali Fortinet FortiOS, Adobe ColdFusion, Microsoft SharePoint e Microsoft Exchange (vulnerabilità ProxyShell).
Quali sono i settori più colpiti dal Ghost ?
Infrastrutture critiche, istruzione, sanità, reti governative, istituzioni religiose, tecnologia, settore manifatturiero e piccole imprese.
Ghost sottrae i dati prima della crittografia?
Ghost talvolta sottraggono una quantità limitata di dati, ma il furto di dati su larga scala non è il loro obiettivo principale.
Quali sono le vulnerabilità di sicurezza più comunemente sfruttate da Ghost?
Tra i CVE più rilevanti figurano:
- CVE-2018-13379 (Fortinet FortiOS)
- CVE-2010-2861, CVE-2009-3960 (Adobe ColdFusion)
- CVE-2021-34473, CVE-2021-34523, CVE-2021-31207 (Microsoft Exchange ProxyShell).
Quali strumenti utilizza Ghost ?
Ghost utilizzano Cobalt Strike, Mimikatz, SharpZeroLogon, SharpGPPPass, BadPotato, GodPotato e script basati su PowerShell.
In che modo le organizzazioni possono proteggersi dal Ghost ?
Le organizzazioni possono proteggersi dal Ghost implementando soluzioni di rilevamento e risposta alle minacce in grado di monitorare attività insolite, individuare tentativi di exploit, bloccare strumenti dannosi come Cobalt Strike e consentire una risposta rapida agli incidenti per contenere e mitigare gli attacchi prima che avvenga la crittografia.
Con quale velocità agisce Ghost ?
In molti casi, gli hacker rilasciano il ransomware entro lo stesso giorno in cui ottengono l'accesso iniziale.
Qual è la richiesta di riscatto più comune?
Ghost chiedono riscatti che vanno da decine a centinaia di migliaia di dollari, pagabili in criptovaluta.
In che modo il gruppo Ghost comunica con le vittime?
Utilizzano servizi di posta elettronica crittografata (Tutanota, ProtonMail, Skiff, Mailfence e Onionmail) e, di recente, hanno iniziato a utilizzare anche gli ID TOX per la messaggistica sicura.
Le organizzazioni dovrebbero pagare il riscatto?
Le agenzie di sicurezza informatica sconsigliano vivamente il pagamento dei riscatti, poiché non garantiscono il recupero dei dati e potrebbero finanziare ulteriori attività criminali.