PLAY
Il gruppo ransomware Play, noto anche come PlayCrypt, è un attore malintenzionato sofisticato e molto attivo che conduce attacchi di doppia estorsione rubando e crittografando i dati, prendendo di mira organizzazioni di diversi settori in tutto il mondo attraverso intrusioni furtive basate sulle credenziali e malware creato su misura.
L'origine di PLAY
Il gruppo ransomware Play, noto anche come PlayCrypt, è emerso nel giugno 2022 ed è rapidamente diventato una delle operazioni ransomware più attive a livello globale. A differenza dei modelli ransomware-as-a-service (RaaS), si ritiene che Play sia un gruppo chiuso che controlla direttamente le operazioni, l'infrastruttura e le trattative.
Il gruppo punta sulla segretezza e sul controllo centralizzato, come si evince dal proprio sito dedicato alle fughe di notizie. Adotta una strategia di doppia estorsione, combinando il furto di dati con la crittografia per costringere le vittime a pagare. Le richieste di riscatto solitamente non contengono una somma precisa o istruzioni, ma invitano le vittime a contattare Play tramite indirizzi e-mail univoci ospitati su gmx[.]de o web[.]de.
Paesi destinatari di PLAY
Il gruppo ha concentrato la propria attività principalmente in Nord America, Sud America ed Europa, con un notevole aumento dei casi in Australia a partire dall’aprile 2023. A maggio 2025, l’FBI ha attribuito oltre 900 episodi a Play e ai soggetti ad essa affiliati, confermando così la loro ampia portata operativa.
Settori di riferimento di PLAY
Play ha preso di mira un'ampia gamma di settori, tra cui l'istruzione, la pubblica amministrazione, la sanità, l'industria manifatturiera, il settore legale e i servizi IT. Non sembra specializzarsi in un unico settore, optando invece per un approccio opportunistico su larga scala. Il suo interesse è solitamente rivolto alle organizzazioni che presentano una maturità informatica percepita come inferiore o che operano in contesti altamente stressanti, dove è probabile che le vittime paghino il riscatto.
Le vittime PLAY
Ad oggi, più di 911 vittime sono cadute preda delle sue operazioni dannose.
Il metodo di attacco PLAY
Gli autori di attacchi ransomware di tipo "Play" spesso iniziano effettuando l'accesso con credenziali valide, probabilmente acquistate sui mercati del dark web. Queste credenziali sono in genere associate a servizi di accesso remoto come le VPN o il Remote Desktop Protocol (RDP). Quando le credenziali non sono disponibili, sfruttano le vulnerabilità presenti nelle applicazioni esposte a Internet. Tra i punti di accesso noti figurano le falle nei server Fortinet FortiOS e Microsoft Exchange (come ProxyNotShell). All'inizio del 2025, loro e i broker di accesso affiliati hanno iniziato a sfruttare una vulnerabilità appena rivelata nello strumento di monitoraggio remoto SimpleHelp per eseguire codice remoto e ottenere silenziosamente l'accesso ai sistemi interni.
Una volta all'interno, gli autori degli attacchi aumentano i propri privilegi individuando configurazioni errate o vulnerabilità del software. Utilizzano strumenti come WinPEAS per individuare le opportunità di escalation dei privilegi locali e spesso passano direttamente allo sfruttamento di tali vulnerabilità. In molti casi osservati, gli autori ricorrono anche a strumenti come Nekto o PriviCMD per ampliare i propri privilegi di accesso. Il loro obiettivo finale è ottenere i privilegi di amministratore di dominio, in modo da poter controllare completamente l'ambiente e diffondere su larga scala i payload del ransomware.
Per evitare di essere scoperti, gli aggressori disattivano sistematicamente i software di sicurezza. Strumenti come GMER, IOBit e PowerTool vengono utilizzati per terminare i processi antivirus, mentre gli script PowerShell servono a disattivare Microsoft Defender. Inoltre, cancellano i registri e altre tracce forensi dai registri eventi di Windows, riducendo così le possibilità che i difensori possano rilevare la loro attività o ricostruire la cronologia dell'intrusione.
Gli autori di attacchi ransomware cercano attivamente credenziali negli ambienti compromessi. Setacciano file non protetti e dati di configurazione per estrarre le credenziali memorizzate e, quando possibile, utilizzano Mimikatz per estrarre le credenziali di autenticazione direttamente dalla memoria. Questo strumento viene talvolta eseguito tramite piattaforme come Cobalt Strike, consentendo agli aggressori di raccogliere le credenziali degli amministratori di dominio senza attivare i tradizionali allarmi.
Durante la fase di ricognizione, gli operatori Play effettuano un'analisi interna per comprendere la struttura della rete e individuare obiettivi strategici. Utilizzano strumenti come AdFind e Grixba per enumerare le strutture di Active Directory, elencare i nomi host e identificare i software installati, compresi gli strumenti endpoint . Questa ricognizione li aiuta a orientare i loro movimenti laterali ed evitare le zone di sicurezza ad alto livello di protezione.
Per spostarsi all'interno della rete, gli autori si avvalgono di strumenti di movimento laterale come PsExec per eseguire comandi da remoto. Utilizzano inoltre framework di post-exploit come Cobalt Strike e SystemBC per mantenere il comando e il controllo su macchine aggiuntive. Una volta ottenuto l'accesso a livello di dominio, possono distribuire payload tramite oggetti Criteri di gruppo, inviando in massa i file binari del ransomware ai sistemi.
Prima di crittografare i dati, gli operatori di Play preparano i file per l'esfiltrazione. Spesso suddividono i dati rubati in blocchi più piccoli e li comprimono in .RAR archivi utilizzando WinRAR. Questa fase garantisce che i dati siano pronti per il trasferimento e la loro struttura riduce il rischio di attivare gli strumenti di prevenzione della perdita di dati (DLP) o endpoint .
L'esecuzione avviene tramite una combinazione di controllo manuale e distribuzione automatizzata. I file binari del ransomware vengono spesso distribuiti ed eseguiti tramite PsExec, Cobalt Strike o modifiche ai criteri di gruppo. Ogni file binario viene compilato in modo specifico per l'ambiente di destinazione, il che consente di eludere il rilevamento antivirus basato sulle firme. Una volta eseguito, il ransomware inizia a crittografare i file, tralasciando quelli di sistema per garantire il funzionamento del sistema fino al momento in cui vengono formulate le richieste di riscatto.
Una volta raccolti i dati, gli autori dell'attacco utilizzano strumenti come WinSCP per trasmettere in modo sicuro i dati sottratti alla propria infrastruttura tramite canali crittografati. Questi file vengono solitamente archiviati in ambienti controllati dagli autori dell'attacco e ospitati al di fuori del dominio della vittima. Il gruppo ricorre a diversi metodi di trasferimento per eludere le soluzioni di monitoraggio del traffico e massimizzare la velocità di estrazione dei dati prima che abbia inizio la crittografia.
Il ransomware Play utilizza un doppia estorsione Modalità operativa: dopo aver sottratto i dati, i malintenzionati crittografano i file della vittima e richiedono il pagamento tramite e-mail, solitamente inviate da indirizzi specifici con estensione @gmx.de o @web.de. I file crittografati vengono rinominati con un .PLAY con estensione, e viene lasciata una richiesta di riscatto nelle directory pubbliche. Se non viene effettuato alcun pagamento, il gruppo minaccia di divulgare i dati rubati su un sito di divulgazione ospitato su Tor. In alcuni casi, intensificano la pressione chiamando i numeri di telefono delle organizzazioni — come gli help desk o le linee del servizio clienti — individuati tramite attività di intelligence open source.
Gli autori di attacchi ransomware di tipo "Play" spesso iniziano effettuando l'accesso con credenziali valide, probabilmente acquistate sui mercati del dark web. Queste credenziali sono in genere associate a servizi di accesso remoto come le VPN o il Remote Desktop Protocol (RDP). Quando le credenziali non sono disponibili, sfruttano le vulnerabilità presenti nelle applicazioni esposte a Internet. Tra i punti di accesso noti figurano le falle nei server Fortinet FortiOS e Microsoft Exchange (come ProxyNotShell). All'inizio del 2025, loro e i broker di accesso affiliati hanno iniziato a sfruttare una vulnerabilità appena rivelata nello strumento di monitoraggio remoto SimpleHelp per eseguire codice remoto e ottenere silenziosamente l'accesso ai sistemi interni.
Una volta all'interno, gli autori degli attacchi aumentano i propri privilegi individuando configurazioni errate o vulnerabilità del software. Utilizzano strumenti come WinPEAS per individuare le opportunità di escalation dei privilegi locali e spesso passano direttamente allo sfruttamento di tali vulnerabilità. In molti casi osservati, gli autori ricorrono anche a strumenti come Nekto o PriviCMD per ampliare i propri privilegi di accesso. Il loro obiettivo finale è ottenere i privilegi di amministratore di dominio, in modo da poter controllare completamente l'ambiente e diffondere su larga scala i payload del ransomware.
Per evitare di essere scoperti, gli aggressori disattivano sistematicamente i software di sicurezza. Strumenti come GMER, IOBit e PowerTool vengono utilizzati per terminare i processi antivirus, mentre gli script PowerShell servono a disattivare Microsoft Defender. Inoltre, cancellano i registri e altre tracce forensi dai registri eventi di Windows, riducendo così le possibilità che i difensori possano rilevare la loro attività o ricostruire la cronologia dell'intrusione.
Gli autori di attacchi ransomware cercano attivamente credenziali negli ambienti compromessi. Setacciano file non protetti e dati di configurazione per estrarre le credenziali memorizzate e, quando possibile, utilizzano Mimikatz per estrarre le credenziali di autenticazione direttamente dalla memoria. Questo strumento viene talvolta eseguito tramite piattaforme come Cobalt Strike, consentendo agli aggressori di raccogliere le credenziali degli amministratori di dominio senza attivare i tradizionali allarmi.
Durante la fase di ricognizione, gli operatori Play effettuano un'analisi interna per comprendere la struttura della rete e individuare obiettivi strategici. Utilizzano strumenti come AdFind e Grixba per enumerare le strutture di Active Directory, elencare i nomi host e identificare i software installati, compresi gli strumenti endpoint . Questa ricognizione li aiuta a orientare i loro movimenti laterali ed evitare le zone di sicurezza ad alto livello di protezione.
Per spostarsi all'interno della rete, gli autori si avvalgono di strumenti di movimento laterale come PsExec per eseguire comandi da remoto. Utilizzano inoltre framework di post-exploit come Cobalt Strike e SystemBC per mantenere il comando e il controllo su macchine aggiuntive. Una volta ottenuto l'accesso a livello di dominio, possono distribuire payload tramite oggetti Criteri di gruppo, inviando in massa i file binari del ransomware ai sistemi.
Prima di crittografare i dati, gli operatori di Play preparano i file per l'esfiltrazione. Spesso suddividono i dati rubati in blocchi più piccoli e li comprimono in .RAR archivi utilizzando WinRAR. Questa fase garantisce che i dati siano pronti per il trasferimento e la loro struttura riduce il rischio di attivare gli strumenti di prevenzione della perdita di dati (DLP) o endpoint .
L'esecuzione avviene tramite una combinazione di controllo manuale e distribuzione automatizzata. I file binari del ransomware vengono spesso distribuiti ed eseguiti tramite PsExec, Cobalt Strike o modifiche ai criteri di gruppo. Ogni file binario viene compilato in modo specifico per l'ambiente di destinazione, il che consente di eludere il rilevamento antivirus basato sulle firme. Una volta eseguito, il ransomware inizia a crittografare i file, tralasciando quelli di sistema per garantire il funzionamento del sistema fino al momento in cui vengono formulate le richieste di riscatto.
Una volta raccolti i dati, gli autori dell'attacco utilizzano strumenti come WinSCP per trasmettere in modo sicuro i dati sottratti alla propria infrastruttura tramite canali crittografati. Questi file vengono solitamente archiviati in ambienti controllati dagli autori dell'attacco e ospitati al di fuori del dominio della vittima. Il gruppo ricorre a diversi metodi di trasferimento per eludere le soluzioni di monitoraggio del traffico e massimizzare la velocità di estrazione dei dati prima che abbia inizio la crittografia.
Il ransomware Play utilizza un doppia estorsione Modalità operativa: dopo aver sottratto i dati, i malintenzionati crittografano i file della vittima e richiedono il pagamento tramite e-mail, solitamente inviate da indirizzi specifici con estensione @gmx.de o @web.de. I file crittografati vengono rinominati con un .PLAY con estensione, e viene lasciata una richiesta di riscatto nelle directory pubbliche. Se non viene effettuato alcun pagamento, il gruppo minaccia di divulgare i dati rubati su un sito di divulgazione ospitato su Tor. In alcuni casi, intensificano la pressione chiamando i numeri di telefono delle organizzazioni — come gli help desk o le linee del servizio clienti — individuati tramite attività di intelligence open source.
TTP utilizzati da PLAY
Come rilevare PLAY Vectra AI
Elenco dei rilevamenti disponibili nella Vectra AI che potrebbero indicare un attacco ransomware.
Domande frequenti
Cos'è il gruppo PLAY ?
Il gruppo PLAY è un'organizzazione criminale informatica nota per l'utilizzo di ransomware al fine di crittografare i file delle vittime, chiedendo il pagamento di un riscatto in cambio delle chiavi di decrittografia. Spesso prende di mira organizzazioni con sistemi di sicurezza poco efficaci.
In che modo PLAY infetta i sistemi?
PLAY infetta solitamente i sistemi tramite phishing , kit di exploit e credenziali compromesse, sfruttando le vulnerabilità per ottenere l'accesso e distribuire il proprio payload.
Quali sono i settori più a rischio di attacchi da parte PLAY ?
Sebbene PLAY abbia preso di mira un'ampia gamma di settori, le infrastrutture critiche, il settore sanitario e i servizi finanziari si sono rivelati particolarmente vulnerabili a causa della natura sensibile dei dati in loro possesso.
Quali sono gli indicatori di compromissione (IoC) associati al PLAY ?
Gli indicatori di compromissione (IoC) relativi PLAY comprendono traffico di rete anomalo, modifiche sospette alle chiavi di registro, richieste di riscatto ed estensioni di file associate al malware.
In che modo i team SOC possono individuare PLAY e reagire?
I team SOC dovrebbero adottare soluzioni avanzate di rilevamento delle minacce, effettuare analisi periodiche del traffico di rete e implementare sistemi di rilevamento e risposta alle minacce. È fondamentale isolare immediatamente i sistemi infetti e attuare un piano di risposta.
Quali sono le migliori pratiche per prevenire le infezioni PLAY ?
Tra le migliori pratiche figurano gli aggiornamenti regolari del software, la formazione dei dipendenti in materia di sicurezza informatica, un efficace sistema di filtraggio delle e-mail e l'uso dell'autenticazione a più fattori (MFA) per proteggersi dal phishing dalla compromissione delle credenziali.
È possibile decriptare i dati crittografati dal PLAY senza pagare il riscatto?
Sebbene non sempre siano disponibili strumenti di decrittazione specifici per PLAY , prima di prendere in considerazione il pagamento del riscatto è consigliabile consultare esperti di sicurezza informatica e valutare gli strumenti di decrittazione disponibili per varianti simili di ransomware.
Come funziona dal punto di vista finanziario il gruppo PLAY ?
Il PLAY opera secondo un modello basato sul riscatto, richiedendo pagamenti spesso in criptovalute. Può inoltre ricorrere a tattiche di doppia estorsione, minacciando di divulgare i dati rubati qualora il riscatto non venga pagato.
Cosa dovrebbe comprendere un piano di risposta a un attacco PLAY ?
Un piano di risposta dovrebbe prevedere l'isolamento immediato dei sistemi colpiti, l'identificazione della variante di ransomware, i protocolli di comunicazione, le procedure di ripristino dei dati dai backup e le considerazioni legali relative al pagamento del riscatto.
In che modo le organizzazioni possono collaborare con le forze dell'ordine a seguito di un attacco PLAY ?
Le organizzazioni dovrebbero segnalare l'incidente alle autorità locali o nazionali competenti in materia di sicurezza informatica, fornendo informazioni dettagliate sull'attacco senza compromettere le operazioni in corso né violare le leggi sulla protezione dei dati.