RansomHub
RansomHub era una variante di ransomware-as-a-service (RaaS), precedentemente nota come Cyclops e Knight.
L'origine di RansomHub
Nato nel febbraio 2024, il gruppo ha crittografato e sottratto dati da oltre 210 vittime, avvalendosi di affiliati di alto profilo provenienti da altri gruppi di ransomware come LockBit e ALPHV. L'attività di RansomHub si basava su un modello di doppia estorsione, in cui gli affiliati crittografavano i sistemi e sottraevano i dati, minacciando di pubblicare le informazioni rubate se il riscatto non veniva pagato. Il gruppo era noto per la sua professionalità e sofisticazione tecnica. RansomHub è stato avvistato l'ultima volta nel marzo 2025.
Paesi presi di mira da RansomHub
RansomHub aveva una portata globale, con vittime concentrate principalmente negli Stati Uniti e in Europa, e prendeva di mira infrastrutture critiche e settori chiave.
Il gruppo ha affermato di evitare di prendere di mira la Comunità degli Stati Indipendenti (CSI), Cuba, la Corea del Nord e la Cina, probabilmente a causa della presenza di rifugi operativi o di tutele giuridiche.
Settori presi di mira da RansomHub
RansomHub prende di mira un'ampia gamma di settori, tra cui spiccano i servizi alle imprese, il commercio al dettaglio e l'industria manifatturiera. Altri settori spesso colpiti sono quelli dei servizi educativi, della pubblica amministrazione, della finanza, dell'edilizia, della sanità, della tecnologia e delle infrastrutture critiche. L'attenzione del gruppo verso i settori critici evidenzia l'ampio raggio d'azione delle sue operazioni, rappresentando una minaccia significativa sia per gli enti pubblici che per quelli privati.
Nonostante l'efficienza del gruppo, i suoi membri sostengono di non prendere di mira le organizzazioni senza scopo di lucro.
Le vittime di RansomHub
Da quando è emerso, RansomHub ha colpito oltre 844 organizzazioni, concentrandosi in particolare sulle infrastrutture pubbliche, tra cui i sistemi sanitari e le strutture governative. Questi attacchi hanno compromesso servizi essenziali, causando notevoli interruzioni operative e richieste di riscatto ingenti.
Il metodo di attacco di RansomHub
Gli affiliati di RansomHub hanno ottenuto l'accesso tramite phishing , sfruttando vulnerabilità e ricorrendo al "password spraying". Tra le vulnerabilità più comunemente sfruttate figurano CVE-2023-3519 (Citrix ADC), CVE-2023-27997 (Fortinet) e CVE-2020-1472 (escalation dei privilegi Netlogon).
Una volta entrati, gli affiliati hanno ampliato i propri privilegi utilizzando strumenti come Mimikatz, ottenendo così il pieno controllo sui sistemi compromessi.
Hanno disattivato gli strumenti di sicurezza, cancellato i registri e rinominato i file eseguibili del ransomware per mimetizzarli tra i file di sistema, eludendo così il rilevamento.
Utilizzando strumenti di dumping delle credenziali e tecniche di password spraying, gli affiliati hanno raccolto credenziali amministrative per accedere a sistemi di alto valore.
È stata effettuata una ricognizione della rete utilizzando strumenti quali Nmap e PowerShell per individuare obiettivi di valore e pianificare ulteriori azioni di sfruttamento.
Gli affiliati si sono spostati lateralmente utilizzando strumenti quali il Protocollo Desktop Remoto (RDP), PsExec e AnyDesk, ottenendo così l'accesso ad altri sistemi all'interno della rete.
I dati sensibili sono stati sottratti utilizzando strumenti come Rclone e WinSCP, spesso a scopo di doppia estorsione, in cui i dati rubati venivano utilizzati come leva nelle trattative per il riscatto.
Il ransomware è stato eseguito su tutta la rete della vittima, crittografando i file tramite l'algoritmo Curve 25519 a curva ellittica.
I dati sono stati sottratti tramite protocolli crittografati, cloud o trasferimenti diretti verso server controllati dagli autori dell'attacco.
La crittografia di RansomHub ha reso inutilizzabili i sistemi delle vittime, causando spesso lunghi periodi di inattività operativa. Gli affiliati hanno cancellato i backup e le copie shadow dei volumi per impedire qualsiasi tentativo di ripristino, aumentando così al massimo la pressione sulle vittime affinché pagassero il riscatto.
Gli affiliati di RansomHub hanno ottenuto l'accesso tramite phishing , sfruttando vulnerabilità e ricorrendo al "password spraying". Tra le vulnerabilità più comunemente sfruttate figurano CVE-2023-3519 (Citrix ADC), CVE-2023-27997 (Fortinet) e CVE-2020-1472 (escalation dei privilegi Netlogon).
Una volta entrati, gli affiliati hanno ampliato i propri privilegi utilizzando strumenti come Mimikatz, ottenendo così il pieno controllo sui sistemi compromessi.
Hanno disattivato gli strumenti di sicurezza, cancellato i registri e rinominato i file eseguibili del ransomware per mimetizzarli tra i file di sistema, eludendo così il rilevamento.
Utilizzando strumenti di dumping delle credenziali e tecniche di password spraying, gli affiliati hanno raccolto credenziali amministrative per accedere a sistemi di alto valore.
È stata effettuata una ricognizione della rete utilizzando strumenti quali Nmap e PowerShell per individuare obiettivi di valore e pianificare ulteriori azioni di sfruttamento.
Gli affiliati si sono spostati lateralmente utilizzando strumenti quali il Protocollo Desktop Remoto (RDP), PsExec e AnyDesk, ottenendo così l'accesso ad altri sistemi all'interno della rete.
I dati sensibili sono stati sottratti utilizzando strumenti come Rclone e WinSCP, spesso a scopo di doppia estorsione, in cui i dati rubati venivano utilizzati come leva nelle trattative per il riscatto.
Il ransomware è stato eseguito su tutta la rete della vittima, crittografando i file tramite l'algoritmo Curve 25519 a curva ellittica.
I dati sono stati sottratti tramite protocolli crittografati, cloud o trasferimenti diretti verso server controllati dagli autori dell'attacco.
La crittografia di RansomHub ha reso inutilizzabili i sistemi delle vittime, causando spesso lunghi periodi di inattività operativa. Gli affiliati hanno cancellato i backup e le copie shadow dei volumi per impedire qualsiasi tentativo di ripristino, aumentando così al massimo la pressione sulle vittime affinché pagassero il riscatto.
TTP utilizzati da RansomHub
Come individuare gli autori delle minacce con Vectra AI
Domande frequenti
Quali sono i settori principali presi di mira da RansomHub?
RansomHub attacca settori infrastrutturali critici quali la sanità, i servizi finanziari e le strutture governative.
Quali sono i paesi più colpiti da RansomHub?
Il gruppo si rivolge principalmente a organizzazioni negli Stati Uniti e in Europa, evitando i paesi della CSI, Cuba, la Corea del Nord e la Cina.
In che modo RansomHub ottiene l'accesso iniziale?
Gli hacker sfruttano le vulnerabilità note, ricorrono ad phishing e utilizzano credenziali rubate per infiltrarsi nei sistemi.
Quali sono i metodi di esfiltrazione dei dati utilizzati da RansomHub?
Utilizzano strumenti come Rclone e WinSCP per sottrarre dati sensibili tramite canali crittografati.
In che modo RansomHub ottiene privilegi elevati all'interno di una rete?
Gli hacker utilizzano strumenti come Mimikatz per estrarre le credenziali e ottenere privilegi a livello di sistema.
Quale metodo di crittografia utilizza RansomHub?
Gli affiliati di RansomHub utilizzano la crittografia a curva ellittica Curve 25519 per bloccare i file delle vittime.
In che modo gli affiliati di RansomHub riescono a non farsi scoprire?
Disattivano gli strumenti di sicurezza, cancellano i registri e rinominano i file eseguibili del ransomware per farli passare per file legittimi.
Quali strumenti utilizza RansomHub per il movimento laterale?
Strumenti come Remote Desktop Protocol (RDP), AnyDesk e PsExec vengono utilizzati per muoversi lateralmente all'interno delle reti compromesse.
Quali strategie di mitigazione possono aiutare a prevenire gli attacchi di RansomHub?
L'implementazione dell'autenticazione a più fattori (MFA) phishing, l'applicazione di patch alle vulnerabilità e la segmentazione delle reti rappresentano strategie di mitigazione fondamentali.
Quali sono le conseguenze di un attacco RansomHub?
Spesso le vittime subiscono lunghi periodi di inattività e perdite di dati a causa della crittografia e della cancellazione dei backup, il che porta a una paralisi operativa e a richieste di riscatto molto elevate.