GRUPPO GLOBALE
GLOBAL GROUP è una nuova organizzazione di tipo Ransomware-as-a-Service (RaaS) lanciata nel giugno 2025 da un noto autore di attacchi di lingua russa, che offre sistemi di negoziazione basati sull'intelligenza artificiale, pannelli di controllo mobili e incentivi aggressivi per gli affiliati, al fine di espandere rapidamente la propria presenza nei settori industriali di tutto il mondo.
L'origine di GLOBAL
GLOBAL GROUP è un'azienda emergente piattaforma Ransomware-as-a-Service (RaaS) osservata per la prima volta il 2 giugno 2025, introdotta da un autore di minacce che utilizza lo pseudonimo "$$$" sul forum di criminalità informatica Ramp4u. L'autore ha un passato legato a precedenti varianti di ransomware, tra cui Mamona RIP e Black Lock (precedentemente El Dorado). Gli analisti ritengono, con un grado di certezza medio-alto, che GLOBAL GROUP rappresenti un rebranding di Black Lock, volto a ricostruire la credibilità e ad espandere la propria base di affiliati. L'infrastruttura del gruppo è ospitata tramite provider VPS russi (in particolare IpServer), utilizzati anche dal suo predecessore Mamona RIP.
GLOBAL GROUP promuove un modello di guadagno che offre agli affiliati una quota di profitto fino all'85%, mette a disposizione un pannello di controllo ottimizzato per dispositivi mobili e integra bot di negoziazione basati sull'intelligenza artificiale per gli affiliati che non parlano inglese. malware suo malware multipiattaforma (Windows, ESXi, Linux, BSD) e vanta funzionalità di elusione dei sistemi EDR.
Fonte: EclecticIQ
Paesi interessati da GLOBAL
Le vittime accertate provengono da diversi paesi, con un'attività particolarmente intensa negli Stati Uniti, nel Regno Unito, in Australia e in Brasile. Questa portata globale evidenzia l'intenzione del gruppo di massimizzare il potenziale di riscatto concentrandosi su obiettivi ad alto reddito e dotati di infrastrutture avanzate.
Settori di riferimento di GLOBAL
GLOBAL GROUP si rivolge a un'ampia gamma di settori, con particolare attenzione a quelli sanitario, petrolifero e del gas, dell'ingegneria industriale, dei servizi automobilistici e dell'outsourcing dei processi aziendali. Il gruppo sviluppa versioni personalizzate dei propri ransomware sia per ambienti generici che per infrastrutture virtualizzate come VMware ESXi.
Vittime accertate di GLOBAL
- Operatori sanitari negli Stati Uniti e in Australia
- Produttori di attrezzature per il settore petrolifero e del gas in Texas, Stati Uniti
- Aziende di ingegneria di precisione e servizi per il settore automobilistico nel Regno Unito
- Società di gestione delle strutture e di BPO in Brasile
Il gruppo ha mietuto finora 30 vittime, di cui nove nei primi cinque giorni dalla sua comparsa, a dimostrazione della sua rapida diffusione e della sua capacità di espansione.
Il metodo di attacco di Global
Accesso ottenuto tramite Initial Access Brokers (IAB), attacchi di forza bruta a VPN, RDWeb e portali Outlook. Sfrutta le vulnerabilità dei dispositivi Fortinet, Palo Alto e Cisco.
Sfrutta i webshell e le credenziali valide per ottenere l'accesso come utente del dominio o come amministratore locale.
Elude i tradizionali sistemi EDR, utilizza credenziali legittime e distribuisce malware in Golang per garantire la propria invisibilità.
Raccoglie credenziali memorizzate nella cache, esegue attacchi di "password spraying" e utilizza strumenti personalizzati forniti dai partner dell'IAB.
Mappa gli ambienti di dominio, identifica gli host ESXi ed esegue l'enumerazione della rete utilizzando strumenti integrati.
Si muove lateralmente sfruttando SMB, la creazione di servizi dannosi e sessioni shell remote all'interno dell'ambiente.
Esporta i file sensibili, inclusi quelli di natura legale, finanziaria e sanitaria, prima dell'attacco del ransomware.
Esegue il ransomware su endpoint e hypervisor, crittografando le macchine virtuali in parallelo tramite binari basati su Go.
Utilizza un'infrastruttura basata su Tor e API configurate in modo errato per archiviare e gestire i dati rubati.
Invia richieste di riscatto, minaccia di divulgare pubblicamente i dati su Tor DLS e chiede riscatti a sette cifre, spesso pari o superiori a 1 milione di dollari.
Accesso ottenuto tramite Initial Access Brokers (IAB), attacchi di forza bruta a VPN, RDWeb e portali Outlook. Sfrutta le vulnerabilità dei dispositivi Fortinet, Palo Alto e Cisco.
Sfrutta i webshell e le credenziali valide per ottenere l'accesso come utente del dominio o come amministratore locale.
Elude i tradizionali sistemi EDR, utilizza credenziali legittime e distribuisce malware in Golang per garantire la propria invisibilità.
Raccoglie credenziali memorizzate nella cache, esegue attacchi di "password spraying" e utilizza strumenti personalizzati forniti dai partner dell'IAB.
Mappa gli ambienti di dominio, identifica gli host ESXi ed esegue l'enumerazione della rete utilizzando strumenti integrati.
Si muove lateralmente sfruttando SMB, la creazione di servizi dannosi e sessioni shell remote all'interno dell'ambiente.
Esporta i file sensibili, inclusi quelli di natura legale, finanziaria e sanitaria, prima dell'attacco del ransomware.
Esegue il ransomware su endpoint e hypervisor, crittografando le macchine virtuali in parallelo tramite binari basati su Go.
Utilizza un'infrastruttura basata su Tor e API configurate in modo errato per archiviare e gestire i dati rubati.
Invia richieste di riscatto, minaccia di divulgare pubblicamente i dati su Tor DLS e chiede riscatti a sette cifre, spesso pari o superiori a 1 milione di dollari.
TTP utilizzati da GLOBAL
Come rilevare GLOBAL con Vectra AI
Elenco dei rilevamenti disponibili nella Vectra AI che potrebbero indicare un attacco ransomware.