Scattered Spider
Scattered Spider UNC3944) è un attore malintenzionato motivato da interessi finanziari, noto per il suo uso sofisticato di tecniche di ingegneria sociale, abuso di identità e attacchi ransomware ad alto impatto. Attivo dall'inizio del 2022, il gruppo si è evoluto rapidamente, prendendo di mira un'ampia gamma di settori in diversi paesi.
L'origine di Scattered Spider
Scattered Spider, noto anche con pseudonimi quali Dragonforce, Storm-0875, LUCR-3, Octo Tempest, Roasted 0ktapus, Scatter Swine e UNC3944, è un prolifico criminale informatico attivo dall'inizio del 2022. Si ritiene che operi principalmente dai paesi occidentali, SCATTERED SPIDER è noto per i suoi attacchi finanziari ad alto impatto, in particolare contro organizzazioni ad alto reddito. Le sue operazioni si sono evolute dal furto di credenziali e dallo scambio di SIM card all'implementazione di ransomware di alto profilo, spesso con l'estorsione come obiettivo finale.
Le prime campagne erano incentrate sulle aziende di gestione delle relazioni con i clienti (CRM) e di outsourcing dei processi aziendali (BPO). Tuttavia, nell'aprile 2023, il loro raggio d'azione operativo si è ampliato con l'adozione del ransomware come principale strumento di monetizzazione. Nonostante gli arresti di presunti membri adolescenti nel 2024 da parte delle forze dell'ordine britanniche e statunitensi, il gruppo rimane attivo.
Nell'agosto 2025, Scattered Spider come attore chiave in una nuova rete decentralizzata di estorsione denominata Scattered LAPSUS$ Hunters. Grazie alla partnership con LAPSUS$ e ShinyHunters, Scattered Spider espandersi oltre le intrusioni furtive basate sulle credenziali, adottando tattiche di estorsione più caotiche e rivolte al pubblico. Questa collaborazione consente loro di amplificare il danno reputazionale inflitto alle vittime, sfruttando al contempo la portata virale dei messaggi teatrali di LAPSUS$ e la credibilità di ShinyHunters in materia di fuga di dati. Per Scattered Spider, il vantaggio sta nell'ampliare il proprio impatto psicologico, diversificare le strategie di monetizzazione e attingere a un pubblico online in crescita, senza abbandonare i propri punti di forza principali, ovvero lo sfruttamento SaaS e l'accesso basato sull'identità.
A settembre hanno lanciato il proprio RaaS shinysp1d3r.
Paesi presi di mira da Scattered Spider
Il gruppo ha come obiettivo numerosi paesi in diversi continenti. Tra gli esempi più significativi figurano:
- Stati Uniti, Canada e Brasile nelle Americhe.
- Regno Unito, Germania, Italia, Francia e Svizzera in Europa.
- Corea del Sud, Giappone, Singapore, India e Australia nella regione Asia-Pacifico.
Settori interessati da Scattered Spider
Scattered Spider distingue per l'ampiezza dei settori a cui si rivolge. Tra questi figurano:
- Telecomunicazioni e tecnologia, in particolare nelle sue prime campagne.
- Vendita al dettaglio, servizi finanziari e beni di consumo, che hanno registrato un aumento degli attacchi mirati poiché il ransomware è diventato fondamentale per le loro operazioni.
- Una vasta gamma di altri settori quali manifatturiero, ospitalità, legale, sanitario, energetico e criptovalute, indicando un approccio non discriminatorio di "caccia grossa" incentrato sulla redditività.
Le vittime Scattered Spider
Sebbene molte vittime rimangano anonime a causa della natura delicata degli incidenti, è confermato che SCATTERED SPIDER colpisce principalmente:
- Aziende Fortune 500
- Organizzazioni ad alto reddito
- Aziende con accesso a dati sensibili degli utenti e infrastrutture su scala aziendale
Metodo di attacco Scattered Spider
Ottenuto attraverso tattiche avanzate di ingegneria sociale come smishing, vishing e furto d'identità dei servizi di assistenza IT. Gli aggressori sfruttano la fiducia degli utenti per aggirare l'autenticazione e ottenere l'accesso.
Prendono di mira account con privilegi elevati, concentrandosi spesso sul personale IT, della sicurezza e dei dirigenti.
Utilizzo di malware personalizzato malware ad esempio CS-Paralyzer), riavvii in modalità provvisoria, modifiche al registro e bootkit UEFI personalizzati (come BlackLotus) per disabilitare o aggirare gli strumenti EDR/AV.
Raccolti tramite phishing , Mimikatz, secretsdump.py, DCSync e acquisizioni RAM.
Utilizzare strumenti legittimi e documentazione interna per mappare l'ambiente.
Attraverso i comandi RDP, SSH, PSExec e Azure, sfruttano le relazioni di fiducia interne.
Esporta i dati da SharePoint, GSuite, condivisioni file interne e archivi e-mail.
Distribuzione di malware strumenti RMM come AnyDesk, ScreenConnect e TightVNC.
Sfrutta strumenti come Chisel e Plink per instradare i dati verso server remoti o canali Telegram.
Crittografa i dati con ransomware come Alphv, DragonForce, Qilin e RansomHub. A volte ricorre alla doppia estorsione.
Ottenuto attraverso tattiche avanzate di ingegneria sociale come smishing, vishing e furto d'identità dei servizi di assistenza IT. Gli aggressori sfruttano la fiducia degli utenti per aggirare l'autenticazione e ottenere l'accesso.
Prendono di mira account con privilegi elevati, concentrandosi spesso sul personale IT, della sicurezza e dei dirigenti.
Utilizzo di malware personalizzato malware ad esempio CS-Paralyzer), riavvii in modalità provvisoria, modifiche al registro e bootkit UEFI personalizzati (come BlackLotus) per disabilitare o aggirare gli strumenti EDR/AV.
Raccolti tramite phishing , Mimikatz, secretsdump.py, DCSync e acquisizioni RAM.
Utilizzare strumenti legittimi e documentazione interna per mappare l'ambiente.
Attraverso i comandi RDP, SSH, PSExec e Azure, sfruttano le relazioni di fiducia interne.
Esporta i dati da SharePoint, GSuite, condivisioni file interne e archivi e-mail.
Distribuzione di malware strumenti RMM come AnyDesk, ScreenConnect e TightVNC.
Sfrutta strumenti come Chisel e Plink per instradare i dati verso server remoti o canali Telegram.
Crittografa i dati con ransomware come Alphv, DragonForce, Qilin e RansomHub. A volte ricorre alla doppia estorsione.
TTP utilizzati da Scattered Spider
Come rilevare Scattered Spider Vectra AI
Elenco delle rilevazioni disponibili nella Vectra AI che potrebbero indicare un attacco ransomware.
Domande frequenti
Cosa rende Scattered Spider dagli altri gruppi di minaccia?
Combinano in modo unico ingegneria sociale, SIM swapping e strumenti legittimi per aggirare i meccanismi di sicurezza senza bisogno di zero-day .
Come Scattered Spider l'accesso iniziale?
Principalmente attraverso smishing, vishing e phishing per raccogliere credenziali e persuadere gli agenti dell'helpdesk a reimpostare l'autenticazione a più fattori (MFA).
Che tipo di malware strumenti Scattered Spider ?
Utilizzano una combinazione di strumenti RMM commerciali (ad esempio AnyDesk), ransomware (ad esempio Alphv, Qilin) e utilità personalizzate (ad esempio CS-Paralyzer, Pumpy).
Le operazioni Scattered Spider sono completamente automatizzate?
No. Utilizzano phishing automatizzati, ma la maggior parte delle loro operazioni successive all'accesso si basano su azioni manuali degli operatori.
L'autenticazione a due fattori tradizionale può proteggere dallo Scattered Spider?
Non in modo affidabile. Utilizzano lo scambio di SIM, l'affaticamento MFA e l'abuso SSPR per aggirare le protezioni MFA.
Quali tecniche di rilevamento possono essere utili?
L'implementazione di una solida soluzione di rilevamento e risposta di rete (NDR) è fondamentale per identificare e interrompere l'attività di SCATTERED SPIDER. L'NDR è in grado di rilevare movimenti laterali, comunicazioni C2 e modelli insoliti di esfiltrazione dei dati nel traffico est-ovest e nord-sud, anche quando gli avversari utilizzano strumenti legittimi come RDP, PSExec o tunnel crittografati (ad esempio Chisel, Plink).
Cosa sono gli indicatori di compromissione (IoC)?
L'uso di servizi di condivisione file (ad esempio, file.io), connessioni RMM insolite e reimpostazioni MFA avviate dall'helpdesk IT sono indicatori comuni.
In che modo Scattered Spider la persistenza?
Tramite bootkit, attività pianificate, nuove registrazioni MFA e strumenti di sicurezza disabilitati.
Scattered Spider sempre il ransomware?
Non sempre. In alcuni casi, mirano al furto di dati e all'estorsione senza ricorrere al ransomware.