Gruppo RA
Il gruppo RA, noto anche come RA World, è apparso per la prima volta nell'aprile 2023, utilizzando una variante personalizzata del ransomware Babuk.
Le origini del Gruppo RA
Il RA Group è emerso all'inizio degli anni 2020, guadagnandosi una certa notorietà per i suoi attacchi contro grandi aziende ed enti governativi.
Il modus operandi del gruppo consiste nello sfruttare le vulnerabilità della sicurezza di rete per diffondere un ransomware, che crittografa i dati della vittima e richiede un riscatto, solitamente in criptovaluta, in cambio delle chiavi di decrittazione.
Le operazioni del RA Group sono caratterizzate da una tattica di doppia estorsione: non solo crittografano i file delle vittime, ma minacciano anche di rendere pubblici i dati sensibili rubati se le loro richieste di riscatto non vengono soddisfatte. Questa tattica aumenta notevolmente la pressione sulle vittime affinché acconsentano alle loro richieste.
Nel corso del tempo, RA Group, ora RA World, ha affinato le proprie tecniche, diventando uno dei gruppi di ransomware più temuti nella comunità della sicurezza informatica.
Paesi in cui opera RA Group
Molti degli obiettivi del RA Group si trovavano negli Stati Uniti, mentre un numero minore di attacchi ha avuto luogo in paesi come la Germania, l'India e Taiwan.
Fonte: Trend Micro
Settori di riferimento del Gruppo RA
Il gruppo si rivolge principalmente alle aziende dei settori sanitario e finanziario.
Fonte: Trend Micro
Le vittime del Gruppo RA
Ad oggi, più di 86 vittime sono cadute preda delle attività illecite del RA Group.
Fonte: ransomware.live
Il metodo di attacco del Gruppo RA
RA Group riesce ad accedere alla rete della vittima sfruttando le vulnerabilità presenti in software non aggiornati, protocolli RDP (Remote Desktop Protocol) non protetti o tramite phishing .
RA Group eleva i propri privilegi all'interno della rete per ottenere livelli di accesso più elevati.
RA World acquisisce e utilizza le credenziali per accedere a diverse parti della rete.
Durante il processo di migrazione sulla rete, RA World individua i sistemi critici indispensabili per il funzionamento dell'organizzazione.
Una volta ottenuto l'accesso, RA World utilizza le credenziali compromesse e gli strumenti di rete interni per muoversi lateralmente all'interno della rete.
Il ransomware personalizzato Babuk viene diffuso nella rete, prendendo di mira i file essenziali.
Informazioni sensibili quali documenti finanziari, dati personali identificativi (PII) e proprietà intellettuale vengono sottratte dalla rete.
Il ransomware crittografa i file essenziali, rendendoli inaccessibili agli utenti legittimi.
RA Group riesce ad accedere alla rete della vittima sfruttando le vulnerabilità presenti in software non aggiornati, protocolli RDP (Remote Desktop Protocol) non protetti o tramite phishing .
RA Group eleva i propri privilegi all'interno della rete per ottenere livelli di accesso più elevati.
RA World acquisisce e utilizza le credenziali per accedere a diverse parti della rete.
Durante il processo di migrazione sulla rete, RA World individua i sistemi critici indispensabili per il funzionamento dell'organizzazione.
Una volta ottenuto l'accesso, RA World utilizza le credenziali compromesse e gli strumenti di rete interni per muoversi lateralmente all'interno della rete.
Il ransomware personalizzato Babuk viene diffuso nella rete, prendendo di mira i file essenziali.
Informazioni sensibili quali documenti finanziari, dati personali identificativi (PII) e proprietà intellettuale vengono sottratte dalla rete.
Il ransomware crittografa i file essenziali, rendendoli inaccessibili agli utenti legittimi.
TTP utilizzati da RA Group
Come individuare il gruppo RA con Vectra AI
Domande frequenti
Cos'è RA Group/RA World?
Il RA Group, noto anche come RA World, è un'organizzazione criminale informatica nota per aver sferrato sofisticati attacchi ransomware. Di solito prende di mira grandi aziende ed enti governativi.
In che modo RA Group accede alle reti?
RA Group sfrutta vulnerabilità quali software privi di patch, protocolli RDP (Remote Desktop Protocol) esposti e phishing per ottenere l'accesso iniziale alle reti dei propri obiettivi.
Che tipo di ransomware utilizza RA Group?
RA Group è noto per l'utilizzo di ransomware sviluppati su misura, tra cui varianti come Babuk, che crittografa i file sui sistemi infetti e richiede un riscatto in cambio delle chiavi di decrittografia.
Qual è il riscatto che il RA Group richiede solitamente?
L'importo del riscatto può variare notevolmente a seconda dell'obiettivo e del valore attribuito ai dati crittografati, oscillando spesso tra decine e centinaia di migliaia di dollari, pagabili in criptovaluta.
In che modo RA Group intensifica il proprio attacco una volta penetrato all'interno di una rete?
Una volta ottenuto l'accesso iniziale, il RA Group ricorre solitamente a credenziali compromesse e strumenti interni per elevare i propri privilegi e muoversi lateralmente all'interno della rete, al fine di individuare e compromettere i sistemi critici.
Quali sono le tattiche di doppia estorsione utilizzate dal RA Group?
Il gruppo RA non solo crittografa i dati delle vittime, ma ruba anche informazioni sensibili. Minaccia inoltre di rendere pubblici i dati rubati se le richieste di riscatto non vengono soddisfatte.
In che modo le organizzazioni possono proteggersi dagli attacchi del RA Group?
Le organizzazioni dovrebbero aggiornare e applicare regolarmente le patch ai sistemi, organizzare corsi di formazione phishing , proteggere gli accessi RDP e utilizzare l'autenticazione a più fattori. L'implementazione di una piattaforma di rilevamento delle minacce basata sull'intelligenza artificiale, come Vectra AI inoltre aiutare a individuare e reagire tempestivamente alle attività sospette.
Cosa dovrebbe fare un'organizzazione se fosse vittima di un attacco del RA Group?
Le organizzazioni coinvolte dovrebbero isolare i sistemi infetti, attivare i propri piani di risposta agli incidenti e di ripristino di emergenza e segnalare l'accaduto alle forze dell'ordine. È inoltre consigliabile rivolgersi a esperti di sicurezza informatica per effettuare analisi forensi ed eventualmente recuperare i dati.
È possibile recuperare i dati crittografati da RA Group senza pagare il riscatto?
Il recupero dei dati senza pagare il riscatto dipende dalla specifica variante di ransomware utilizzata e dalla disponibilità di strumenti di decrittografia. I backup sono spesso il modo più affidabile per ripristinare i dati crittografati.
Quali tendenze si osservano nelle attività di RA Group?
Il RA Group sta prendendo sempre più di mira organizzazioni che dispongono di dati di alto valore e infrastrutture critiche, spesso programmando i propri attacchi in modo da causare il massimo disagio possibile. I loro metodi continuano ad evolversi, integrando tecniche sempre più sofisticate per eludere i sistemi di rilevamento e aumentare la percentuale di successo.