Ghost
Ghost noto anche come Cring, Crypt3r, Phantom, Strike, Hello, Wickrme, HsHarada e Rapture) è un gruppo di ransomware originario della Cina che sfrutta le vulnerabilità dei software obsoleti per colpire organizzazioni in tutto il mondo.
L'origine del Ghost
Ghost un gruppo di hacker motivato da interessi finanziari emerso all'inizio del 2021. Si ritiene che il gruppo operi dalla Cina ed è noto per i suoi attacchi rapidi e altamente opportunistici. A differenza di alcuni autori di ransomware che stabiliscono una persistenza a lungo termine, secondo la CISA Ghost in genere si infiltrano in una rete, distribuiscono il loro ransomware e escono nel giro di pochi giorni. Sfruttando le vulnerabilità dei software obsoleti, aumentano rapidamente i privilegi, disabilitano le difese di sicurezza e crittografano i file critici, lasciando alle vittime poco tempo per reagire. Il loro obiettivo è semplice: massimizzare il guadagno finanziario il più rapidamente possibile prima che i difensori possano rilevare e mitigare l'attacco.
Paesi presi di mira da Ghost
Ghost compromesso organizzazioni in oltre 70 paesi, con attacchi confermati in Cina e in numerose altre località.
Settori presi di mira da Ghost
Gli autori Ghost prendono di mira un ampio spettro di settori, tra cui infrastrutture critiche, istruzione, sanità, reti governative, istituzioni religiose, tecnologia e produzione. Anche le piccole e medie imprese sono spesso colpite.
Le vittime Ghost
Sebbene i nomi specifici delle vittime non vengano sempre resi noti, gli incidenti Ghost hanno colpito organizzazioni di vari settori. Data l'attenzione rivolta all'estorsione finanziaria, le vittime includono spesso istituzioni con dati preziosi e difese di sicurezza informatica limitate.
Metodo di attacco Ghost
Ghost sfruttano le vulnerabilità presenti in Fortinet FortiOS, Adobe ColdFusion, Microsoft SharePoint e Microsoft Exchange (vulnerabilità ProxyShell) per ottenere accesso non autorizzato.
Gli aggressori utilizzano strumenti come SharpZeroLogon, SharpGPPPass, BadPotato e GodPotato per elevare i privilegi e impersonare utenti di sistema di alto livello.
Il gruppo disabilita Windows Defender e altre soluzioni antivirus, modifica gli strumenti di sicurezza ed esegue comandi per non essere rilevato.
Ghost sfruttano la funzione "hashdump"Cobalt Strikee Mimikatz per rubare le credenziali di accesso.
Gli aggressori effettuano la scoperta degli account di dominio, la scoperta dei processi e l'enumerazione delle condivisioni di rete utilizzando strumenti come SharpShares e Ladon 911.
I comandi PowerShell e Windows Management Instrumentation (WMI) vengono utilizzati per spostarsi all'interno delle reti delle vittime.
Il ransomware viene eseguito utilizzando PowerShell, Windows Command Shell e web shell caricate.
Sebbene il furto di dati non sia l'obiettivo principale, alcuni file vengono rubati tramite Cobalt Strike Servers e cloud Mega.nz.
Il ransomware crittografa i file utilizzando Cring.exe, Ghost.exe, ElysiumO.exe e Locker.exe, rendendo inaccessibili i dati della vittima a meno che non venga pagato un riscatto.
Ghost sfruttano le vulnerabilità presenti in Fortinet FortiOS, Adobe ColdFusion, Microsoft SharePoint e Microsoft Exchange (vulnerabilità ProxyShell) per ottenere accesso non autorizzato.
Gli aggressori utilizzano strumenti come SharpZeroLogon, SharpGPPPass, BadPotato e GodPotato per elevare i privilegi e impersonare utenti di sistema di alto livello.
Il gruppo disabilita Windows Defender e altre soluzioni antivirus, modifica gli strumenti di sicurezza ed esegue comandi per non essere rilevato.
Ghost sfruttano la funzione "hashdump"Cobalt Strikee Mimikatz per rubare le credenziali di accesso.
Gli aggressori effettuano la scoperta degli account di dominio, la scoperta dei processi e l'enumerazione delle condivisioni di rete utilizzando strumenti come SharpShares e Ladon 911.
I comandi PowerShell e Windows Management Instrumentation (WMI) vengono utilizzati per spostarsi all'interno delle reti delle vittime.
Il ransomware viene eseguito utilizzando PowerShell, Windows Command Shell e web shell caricate.
Sebbene il furto di dati non sia l'obiettivo principale, alcuni file vengono rubati tramite Cobalt Strike Servers e cloud Mega.nz.
Il ransomware crittografa i file utilizzando Cring.exe, Ghost.exe, ElysiumO.exe e Locker.exe, rendendo inaccessibili i dati della vittima a meno che non venga pagato un riscatto.
TTP utilizzati da Ghost
Come rilevare Ghost Vectra AI
Domande frequenti
In che modo il ransomware Ghost Cring) ottiene l'accesso a una rete?
Ghost vulnerabilità note presenti in software obsoleti, quali Fortinet FortiOS, Adobe ColdFusion, Microsoft SharePoint e Microsoft Exchange (vulnerabilità ProxyShell).
Quali sono i settori più colpiti dal Ghost ?
Infrastrutture critiche, istruzione, sanità, reti governative, istituzioni religiose, tecnologia, produzione e piccole imprese.
Ghost sottrae i dati prima della crittografia?
Ghost occasionalmente sottraggono dati in quantità limitata, ma il furto di dati su larga scala non è il loro obiettivo principale.
Quali vulnerabilità di sicurezza vengono comunemente sfruttate da Ghost?
Alcuni CVE degni di nota includono:
- CVE-2018-13379 (Fortinet FortiOS)
- CVE-2010-2861, CVE-2009-3960 (Adobe ColdFusion)
- CVE-2021-34473, CVE-2021-34523, CVE-2021-31207 (Microsoft Exchange ProxyShell).
Quali strumenti utilizza Ghost ?
Ghost utilizzano Cobalt Strike, Mimikatz, SharpZeroLogon, SharpGPPPass, BadPotato, GodPotato e script basati su PowerShell.
Come possono le organizzazioni difendersi dal Ghost ?
Le organizzazioni possono difendersi dal Ghost implementando soluzioni di rilevamento e risposta alle minacce che monitorano le attività insolite, rilevano i tentativi di sfruttamento, bloccano strumenti dannosi come Cobalt Strike e consentono una risposta rapida agli incidenti per contenere e mitigare gli attacchi prima che avvenga la crittografia.
Quanto è veloce Ghost ?
In molti casi, gli aggressori distribuiscono il ransomware entro lo stesso giorno in cui ottengono l'accesso iniziale.
Qual è la richiesta di riscatto tipica?
Ghost chiedono riscatti che vanno da decine a centinaia di migliaia di dollari, pagabili in criptovaluta.
In che modo il gruppo Ghost comunica con le vittime?
Utilizzano servizi di posta elettronica crittografata (Tutanota, ProtonMail, Skiff, Mailfence e Onionmail) e, recentemente, hanno anche utilizzato TOX ID per la messaggistica sicura.
Le organizzazioni dovrebbero pagare il riscatto?
Le agenzie di sicurezza informatica sconsigliano vivamente il pagamento dei riscatti, poiché non garantiscono il recupero dei dati e potrebbero finanziare ulteriori attività criminali.