PLAY
Il gruppo di ransomware Play, noto anche come PlayCrypt, è un attore sofisticato e altamente attivo che conduce attacchi a doppia estorsione rubando e criptando i dati, prendendo di mira le organizzazioni di diversi settori in tutto il mondo attraverso intrusioni furtive e basate su credenziali e malware personalizzato.
L'origine di PLAY
Il gruppo di ransomware Play, noto anche come PlayCrypt, è emerso nel giugno 2022 ed è diventato rapidamente una delle operazioni di ransomware più attive a livello globale. A differenza dei modelli di ransomware-as-a-service (RaaS), si ritiene che Play sia un gruppo chiuso che controlla direttamente operazioni, infrastrutture e trattative.
Il gruppo enfatizza la segretezza e il controllo centralizzato, come si legge sul suo sito web. Utilizza una doppia strategia di estorsione, combinando il furto di dati con la crittografia per spingere le vittime a pagare. Le note di riscatto sono tipicamente prive di una richiesta o di istruzioni fisse e indirizzano invece le vittime a contattare Play tramite indirizzi e-mail unici ospitati su gmx[.]de o web[.]de.
Paesi destinatari di PLAY
Il gruppo si è concentrato pesantemente su Nord America, Sud America ed Europa, con un notevole aumento in Australia dall'aprile 2023. A partire dal maggio 2025, l'FBI ha attribuito oltre 900 incidenti a Play e ad attori affiliati, confermando la loro vasta impronta operativa.
Industrie interessate da PLAY
Play ha attaccato un'ampia gamma di settori, tra cui l'istruzione, il governo, la sanità, l'industria manifatturiera, i servizi legali e informatici. Non sembrano specializzarsi in un settore, optando invece per un attacco opportunistico su larga scala. Il loro interesse è tipicamente rivolto a organizzazioni con una minore maturità informatica o ad ambienti ad alta pressione che potrebbero pagare.
PLAYVittime
Ad oggi, più di 911 vittime sono state vittime delle sue operazioni malevole.
PLAYMetodo di attacco
Gli operatori di ransomware giocano spesso iniziando ad accedere con credenziali valide, probabilmente acquistate sui mercati del dark web. Queste credenziali sono in genere legate a servizi di accesso remoto come VPN o Remote Desktop Protocol (RDP). Quando le credenziali non sono disponibili, sfruttano le vulnerabilità delle applicazioni rivolte a Internet. I punti di accesso noti includono falle in Fortinet FortiOS e nei server Microsoft Exchange (come ProxyNotShell). All'inizio del 2025, insieme ai broker di accesso affiliati, hanno iniziato a sfruttare una vulnerabilità recentemente divulgata nello strumento di monitoraggio remoto SimpleHelp per eseguire codice remoto e accedere silenziosamente ai sistemi interni.
Una volta entrati, gli attori di Play elevano i loro privilegi identificando configurazioni errate o debolezze del software. Utilizzano strumenti come WinPEAS per enumerare le opportunità di escalation dei privilegi locali e spesso passano a sfruttarle direttamente. In molti incidenti osservati, gli attori utilizzano anche strumenti come Nekto o PriviCMD per aumentare l'accesso. In definitiva, il loro obiettivo è quello di ottenere i privilegi di amministratore del dominio in modo da poter controllare completamente l'ambiente e spingere i payload del ransomware su larga scala.
Per evitare il rilevamento, gli aggressori disabilitano sistematicamente il software di sicurezza. Strumenti come GMER, IOBit e PowerTool vengono utilizzati per eliminare i processi antivirus, mentre gli script PowerShell vengono utilizzati per disattivare Microsoft Defender. Inoltre, cancellano i registri e altri artefatti forensi dai registri eventi di Windows, riducendo le possibilità che i difensori possano rilevare la loro attività o ricostruire la timeline dell'intrusione.
Gli attori del ransomware cercano attivamente le credenziali negli ambienti compromessi. Setacciano i file non protetti e i dati di configurazione per estrarre le credenziali memorizzate e, quando possibile, distribuiscono Mimikatz per scaricare le credenziali di autenticazione direttamente dalla memoria. Questo strumento viene talvolta eseguito attraverso piattaforme come Cobalt Strikeconsentendo agli aggressori di raccogliere le credenziali dell'amministratore di dominio senza attivare gli avvisi tradizionali.
Durante la fase di scoperta, gli operatori di Play effettuano una ricognizione interna per comprendere il layout della rete e identificare obiettivi di valore. Utilizzano strumenti come AdFind e Grixba per enumerare le strutture di Active Directory, elencare i nomi di host e identificare il software installato, compresi gli strumenti di protezione endpoint . Questa ricognizione aiuta a guidare gli spostamenti laterali e a evitare le zone di sicurezza ad alto attrito.
Per spostarsi attraverso la rete, gli attori si affidano a strumenti di movimento laterale come PsExec per eseguire comandi in remoto. Utilizzano anche framework di post-exploitation come Cobalt Strike e SystemBC per mantenere il comando e il controllo su altri computer. Una volta ottenuto l'accesso a livello di dominio, possono distribuire i payload tramite gli oggetti dei Criteri di gruppo, inviando di fatto i binari del ransomware ai sistemi in massa.
Prima di criptare i dati, gli operatori di Play preparano i file per l'esfiltrazione. Spesso suddividono i dati rubati in parti più piccole e li comprimono in .RAR archivi utilizzando WinRAR. Questa fase garantisce che i dati siano pronti per il trasferimento e la sua struttura riduce la probabilità di attivare strumenti di prevenzione della perdita di dati (DLP) o avvisi endpoint .
L'esecuzione avviene attraverso una combinazione di controllo manuale e distribuzione automatica. I binari del ransomware vengono spesso consegnati ed eseguiti tramite PsExec, Cobalt Strike o modifiche ai Criteri di gruppo. Ogni binario è compilato in modo univoco per l'ambiente di destinazione, il che consente di eludere il rilevamento antivirus basato sulle firme. Al momento dell'esecuzione, il ransomware inizia a crittografare i file saltando i file di sistema per mantenere il tempo di attività operativa fino alla richiesta di riscatto.
Una volta che i dati vengono messi in scena, gli attori utilizzano strumenti come WinSCP per trasmettere in modo sicuro i dati rubati alla loro infrastruttura attraverso canali crittografati. Questi file vengono in genere archiviati in ambienti controllati dagli aggressori e ospitati al di fuori del dominio della vittima. Il gruppo utilizza diversi metodi di trasferimento per eludere le soluzioni di monitoraggio del traffico e massimizzare la velocità di estrazione dei dati prima dell'inizio della crittografia.
Il ransomware Play utilizza un doppia estorsione modello: dopo aver rubato i dati, criptano i file della vittima e chiedono il pagamento attraverso comunicazioni via e-mail, di solito legate a indirizzi unici su @gmx.de o @web.de. I file crittografati vengono rinominati con un nome di tipo PLAY e una nota di riscatto viene lasciata nelle directory pubbliche. Se non viene effettuato il pagamento, il gruppo minaccia di diffondere i dati rubati su un sito di leak ospitato da Tor. In alcuni casi, intensificano la pressione chiamando i numeri di telefono delle organizzazioni, come gli help desk o le linee di assistenza clienti, trovati grazie a informazioni di fonte aperta.
Gli operatori di ransomware giocano spesso iniziando ad accedere con credenziali valide, probabilmente acquistate sui mercati del dark web. Queste credenziali sono in genere legate a servizi di accesso remoto come VPN o Remote Desktop Protocol (RDP). Quando le credenziali non sono disponibili, sfruttano le vulnerabilità delle applicazioni rivolte a Internet. I punti di accesso noti includono falle in Fortinet FortiOS e nei server Microsoft Exchange (come ProxyNotShell). All'inizio del 2025, insieme ai broker di accesso affiliati, hanno iniziato a sfruttare una vulnerabilità recentemente divulgata nello strumento di monitoraggio remoto SimpleHelp per eseguire codice remoto e accedere silenziosamente ai sistemi interni.
Una volta entrati, gli attori di Play elevano i loro privilegi identificando configurazioni errate o debolezze del software. Utilizzano strumenti come WinPEAS per enumerare le opportunità di escalation dei privilegi locali e spesso passano a sfruttarle direttamente. In molti incidenti osservati, gli attori utilizzano anche strumenti come Nekto o PriviCMD per aumentare l'accesso. In definitiva, il loro obiettivo è quello di ottenere i privilegi di amministratore del dominio in modo da poter controllare completamente l'ambiente e spingere i payload del ransomware su larga scala.
Per evitare il rilevamento, gli aggressori disabilitano sistematicamente il software di sicurezza. Strumenti come GMER, IOBit e PowerTool vengono utilizzati per eliminare i processi antivirus, mentre gli script PowerShell vengono utilizzati per disattivare Microsoft Defender. Inoltre, cancellano i registri e altri artefatti forensi dai registri eventi di Windows, riducendo le possibilità che i difensori possano rilevare la loro attività o ricostruire la timeline dell'intrusione.
Gli attori del ransomware cercano attivamente le credenziali negli ambienti compromessi. Setacciano i file non protetti e i dati di configurazione per estrarre le credenziali memorizzate e, quando possibile, distribuiscono Mimikatz per scaricare le credenziali di autenticazione direttamente dalla memoria. Questo strumento viene talvolta eseguito attraverso piattaforme come Cobalt Strikeconsentendo agli aggressori di raccogliere le credenziali dell'amministratore di dominio senza attivare gli avvisi tradizionali.
Durante la fase di scoperta, gli operatori di Play effettuano una ricognizione interna per comprendere il layout della rete e identificare obiettivi di valore. Utilizzano strumenti come AdFind e Grixba per enumerare le strutture di Active Directory, elencare i nomi di host e identificare il software installato, compresi gli strumenti di protezione endpoint . Questa ricognizione aiuta a guidare gli spostamenti laterali e a evitare le zone di sicurezza ad alto attrito.
Per spostarsi attraverso la rete, gli attori si affidano a strumenti di movimento laterale come PsExec per eseguire comandi in remoto. Utilizzano anche framework di post-exploitation come Cobalt Strike e SystemBC per mantenere il comando e il controllo su altri computer. Una volta ottenuto l'accesso a livello di dominio, possono distribuire i payload tramite gli oggetti dei Criteri di gruppo, inviando di fatto i binari del ransomware ai sistemi in massa.
Prima di criptare i dati, gli operatori di Play preparano i file per l'esfiltrazione. Spesso suddividono i dati rubati in parti più piccole e li comprimono in .RAR archivi utilizzando WinRAR. Questa fase garantisce che i dati siano pronti per il trasferimento e la sua struttura riduce la probabilità di attivare strumenti di prevenzione della perdita di dati (DLP) o avvisi endpoint .
L'esecuzione avviene attraverso una combinazione di controllo manuale e distribuzione automatica. I binari del ransomware vengono spesso consegnati ed eseguiti tramite PsExec, Cobalt Strike o modifiche ai Criteri di gruppo. Ogni binario è compilato in modo univoco per l'ambiente di destinazione, il che consente di eludere il rilevamento antivirus basato sulle firme. Al momento dell'esecuzione, il ransomware inizia a crittografare i file saltando i file di sistema per mantenere il tempo di attività operativa fino alla richiesta di riscatto.
Una volta che i dati vengono messi in scena, gli attori utilizzano strumenti come WinSCP per trasmettere in modo sicuro i dati rubati alla loro infrastruttura attraverso canali crittografati. Questi file vengono in genere archiviati in ambienti controllati dagli aggressori e ospitati al di fuori del dominio della vittima. Il gruppo utilizza diversi metodi di trasferimento per eludere le soluzioni di monitoraggio del traffico e massimizzare la velocità di estrazione dei dati prima dell'inizio della crittografia.
Il ransomware Play utilizza un doppia estorsione modello: dopo aver rubato i dati, criptano i file della vittima e chiedono il pagamento attraverso comunicazioni via e-mail, di solito legate a indirizzi unici su @gmx.de o @web.de. I file crittografati vengono rinominati con un nome di tipo PLAY e una nota di riscatto viene lasciata nelle directory pubbliche. Se non viene effettuato il pagamento, il gruppo minaccia di diffondere i dati rubati su un sito di leak ospitato da Tor. In alcuni casi, intensificano la pressione chiamando i numeri di telefono delle organizzazioni, come gli help desk o le linee di assistenza clienti, trovati grazie a informazioni di fonte aperta.
I TTP utilizzati da PLAY
Come rilevare PLAY con Vectra AI
Elenco dei rilevamenti disponibili nella piattaforma Vectra AI che indicano un attacco ransomware.
DOMANDE FREQUENTI
Che cos'è il gruppo PLAY Ransomware?
Il gruppo PLAY Ransomware è un'organizzazione di criminali informatici nota per la distribuzione di ransomware per criptare i file delle vittime, chiedendo il pagamento di un riscatto per le chiavi di decriptazione. Spesso prende di mira le organizzazioni con posizioni di sicurezza deboli.
Come fa il ransomware PLAY a infettare i sistemi?
PLAY I ransomware infettano tipicamente i sistemi attraverso le e-mail di phishing , i kit di exploit e le credenziali compromesse, sfruttando le vulnerabilità per ottenere l'accesso e distribuire il loro carico utile.
Quali sono i settori più a rischio di attacchi ransomware PLAY ?
Sebbene il ransomware PLAY abbia preso di mira un'ampia gamma di settori, le infrastrutture critiche, la sanità e i servizi finanziari sono stati particolarmente vulnerabili a causa della natura sensibile dei loro dati.
Quali sono gli indicatori di compromissione (IoC) associati al ransomware PLAY ?
Gli IoC per il ransomware PLAY includono traffico di rete insolito, modifiche sospette alle chiavi di registro, note di riscatto ed estensioni di file correlate al ransomware malware.
Come possono i team SOC rilevare e rispondere al ransomware PLAY ?
I team SOC devono utilizzare soluzioni avanzate di rilevamento delle minacce, condurre analisi regolari del traffico di rete e implementare sistemi di rilevamento e risposta alle minacce. L'isolamento immediato dei sistemi infetti e l'esecuzione di un piano di risposta sono fondamentali.
Quali sono le migliori pratiche per prevenire le infezioni da ransomware PLAY ?
Le migliori pratiche includono aggiornamenti regolari del software, formazione dei dipendenti sulla consapevolezza della cybersicurezza, un robusto filtro delle e-mail e l'uso dell'autenticazione a più fattori (MFA) per proteggere da phishing e dalla compromissione delle credenziali.
I dati criptati dal ransomware PLAY possono essere decifrati senza pagare il riscatto?
Sebbene non siano sempre disponibili strumenti di decriptazione specifici per il ransomware PLAY , è consigliabile consultare gli esperti di sicurezza informatica ed esplorare gli strumenti di decriptazione disponibili per varianti di ransomware simili prima di considerare il pagamento di un riscatto.
Come opera finanziariamente il gruppo di ransomware PLAY ?
Il gruppo PLAY opera secondo un modello di riscatto, richiedendo pagamenti spesso in criptovalute. Può anche adottare tattiche di doppia estorsione, minacciando di diffondere i dati rubati se il riscatto non viene pagato.
Cosa dovrebbe includere un piano di risposta per un attacco ransomware PLAY ?
Un piano di risposta deve includere l'isolamento immediato dei sistemi colpiti, l'identificazione del ceppo di ransomware, i protocolli di comunicazione, le procedure di recupero dei dati dai backup e le considerazioni legali sul pagamento del riscatto.
Come possono le organizzazioni collaborare con le forze dell'ordine in seguito a un attacco ransomware PLAY ?
Le organizzazioni devono segnalare l'incidente alle autorità di sicurezza informatica locali o nazionali, fornendo informazioni dettagliate sull'attacco senza compromettere le operazioni in corso o le leggi sulla privacy dei dati.