Scattered Spider
Scattered Spider UNC3944) è un gruppo di hacker con motivazioni finanziarie noto per il suo uso sofisticato di tecniche di ingegneria sociale, furto di identità e attacchi ransomware di grande impatto. Attivo dall'inizio del 2022, il gruppo si è evoluto rapidamente, prendendo di mira un'ampia gamma di settori in diversi paesi.
L'origine di Scattered Spider
Scattered Spider, noto anche con alias quali Dragonforce, Storm-0875, LUCR-3, Octo Tempest, Roasted 0ktapus, Scatter Swine e UNC3944, è un prolifico gruppo di criminali informatici attivo dall’inizio del 2022. Si ritiene che operi principalmente dai paesi occidentali; SCATTERED SPIDER è noto per i suoi attacchi finanziari di grande impatto, in particolare contro organizzazioni ad alto fatturato. Le sue operazioni si sono evolute dal furto di credenziali e dallo scambio di SIM a distribuzioni di ransomware di alto profilo, spesso con l'estorsione come obiettivo finale.
Le prime campagne erano incentrate su aziende specializzate nella gestione delle relazioni con i clienti (CRM) e nell'esternalizzazione dei processi aziendali (BPO). Tuttavia, nell'aprile 2023, il loro raggio d'azione si è ampliato con l'adozione del ransomware come principale strumento di monetizzazione. Nonostante gli arresti di presunti membri minorenni avvenuti nel 2024 da parte delle forze dell'ordine britanniche e statunitensi, il gruppo rimane attivo.
Nell'agosto del 2025, Scattered Spider come uno dei principali protagonisti di una nuova rete decentralizzata di estorsione denominata Scattered LAPSUS$ Hunters. Grazie alla partnership con LAPSUS$ e ShinyHunters, Scattered Spider espandersi oltre le intrusioni furtive basate sulle credenziali verso tattiche di estorsione più caotiche e rivolte al pubblico. Questa collaborazione permette loro di amplificare il danno reputazionale inflitto alle vittime, sfruttando al contempo la portata virale dei messaggi teatrali di LAPSUS$ e la credibilità di ShinyHunters in materia di fuga di dati. Per Scattered Spider, il vantaggio sta nell'ampliare il proprio impatto psicologico, diversificare le strategie di monetizzazione e attingere a un pubblico online in crescita, senza abbandonare i propri punti di forza principali: lo sfruttamento dei servizi SaaS e l'accesso basato sull'identità.
A settembre hanno lanciato il proprio servizio RaaS "shinysp1d3r".
Paesi presi di mira da Scattered Spider
Il gruppo opera in numerosi paesi distribuiti su diversi continenti. Tra gli esempi più significativi figurano:
- Stati Uniti, Canada e Brasile nelle Americhe.
- Regno Unito, Germania, Italia, Francia e Svizzera in Europa.
- Corea del Sud, Giappone, Singapore, India e Australia nella regione Asia-Pacifico.
Settori di riferimento di Scattered Spider
Scattered Spider distingue per l'ampio ventaglio di settori a cui si rivolge. Tra questi figurano:
- Telecomunicazioni e tecnologia, in particolare nelle sue prime fasi.
- Il settore della vendita al dettaglio, quello dei servizi finanziari e quello dei beni di consumo, che sono stati oggetto di un aumento degli attacchi man mano che il ransomware è diventato un elemento centrale delle loro attività.
- Una vasta gamma di altri settori, quali quello manifatturiero, alberghiero, legale, sanitario, energetico e delle criptovalute, a dimostrazione di un approccio indiscriminato di "caccia grossa" incentrato sulla redditività.
Le vittime Scattered Spider
Sebbene molte vittime rimangano anonime a causa della natura delicata degli incidenti, è stato confermato che SCATTERED SPIDER colpisce principalmente:
- aziende Fortune 500
- Aziende con un fatturato elevato
- Aziende che hanno accesso a dati sensibili degli utenti e a infrastrutture su scala aziendale
Il metodo di attacco Scattered Spider
Ciò avviene tramite tecniche avanzate di ingegneria sociale quali lo smishing, il vishing e la simulazione di servizi di assistenza IT. Gli autori degli attacchi sfruttano la fiducia degli utenti per aggirare i sistemi di autenticazione e ottenere l'accesso.
Prendono di mira account con privilegi elevati, concentrandosi spesso sul personale dei reparti IT, della sicurezza e dei vertici aziendali.
Utilizzo di malware personalizzato malware ad es. CS-Paralyzer), riavvii in modalità provvisoria, modifiche al Registro di sistema e bootkit UEFI personalizzati (come BlackLotus) per disattivare o aggirare gli strumenti EDR/AV.
Raccolti tramite phishing , Mimikatz, secretsdump.py, DCSync e acquisizioni della RAM.
Utilizzare strumenti affidabili e la documentazione interna per mappare l'ambiente.
Attraverso RDP, SSH, PSExec e i comandi di Azure, sfruttano le relazioni di fiducia interne.
Estrarre dati da SharePoint, GSuite, condivisioni di file interne e archivi di posta elettronica.
Installazione di malware strumenti RMM come AnyDesk, ScreenConnect e TightVNC.
Utilizza strumenti come Chisel e Plink per instradare i dati verso server remoti o canali Telegram.
Crittografa i dati con ransomware quali Alphv, DragonForce, Qilin e RansomHub. Talvolta ricorre alla doppia estorsione.
Ciò avviene tramite tecniche avanzate di ingegneria sociale quali lo smishing, il vishing e la simulazione di servizi di assistenza IT. Gli autori degli attacchi sfruttano la fiducia degli utenti per aggirare i sistemi di autenticazione e ottenere l'accesso.
Prendono di mira account con privilegi elevati, concentrandosi spesso sul personale dei reparti IT, della sicurezza e dei vertici aziendali.
Utilizzo di malware personalizzato malware ad es. CS-Paralyzer), riavvii in modalità provvisoria, modifiche al Registro di sistema e bootkit UEFI personalizzati (come BlackLotus) per disattivare o aggirare gli strumenti EDR/AV.
Raccolti tramite phishing , Mimikatz, secretsdump.py, DCSync e acquisizioni della RAM.
Utilizzare strumenti affidabili e la documentazione interna per mappare l'ambiente.
Attraverso RDP, SSH, PSExec e i comandi di Azure, sfruttano le relazioni di fiducia interne.
Estrarre dati da SharePoint, GSuite, condivisioni di file interne e archivi di posta elettronica.
Installazione di malware strumenti RMM come AnyDesk, ScreenConnect e TightVNC.
Utilizza strumenti come Chisel e Plink per instradare i dati verso server remoti o canali Telegram.
Crittografa i dati con ransomware quali Alphv, DragonForce, Qilin e RansomHub. Talvolta ricorre alla doppia estorsione.
TTP utilizzati da Scattered Spider
Come individuare Scattered Spider Vectra AI
Elenco dei rilevamenti disponibili nella Vectra AI che potrebbero indicare un attacco ransomware.
Domande frequenti
Cosa distingue Scattered Spider dagli altri gruppi di hacker?
Combinano in modo unico tecniche di ingegneria sociale, lo scambio di SIM e strumenti legittimi per aggirare i meccanismi di sicurezza senza ricorrere a zero-day .
In che modo Scattered Spider l'accesso iniziale?
Principalmente tramite smishing, vishing e phishing per raccogliere credenziali e convincere gli operatori dell'help desk a reimpostare l'autenticazione a più fattori (MFA).
Che tipo di malware strumenti Scattered Spider ?
Utilizzano una combinazione di strumenti RMM commerciali (ad esempio AnyDesk), ransomware (ad esempio Alphv, Qilin) e utility personalizzate (ad esempio CS-Paralyzer, Pumpy).
Le operazioni Scattered Spider sono completamente automatizzate?
No. Utilizzano phishing automatizzati, ma la maggior parte delle loro operazioni successive all'accesso si basa su interventi manuali da parte degli operatori.
L'autenticazione a più fattori (MFA) tradizionale è in grado di proteggere da Scattered Spider?
Non in modo affidabile. Ricorrono allo scambio di SIM, all'affaticamento da autenticazione a più fattori (MFA) e all'abuso delle domande di sicurezza (SSPR) per aggirare le protezioni MFA.
Quali tecniche di rilevamento possono essere d'aiuto?
L'implementazione di una soluzione NDR (Network Detection and Response) affidabile è fondamentale per identificare e contrastare le attività di SCATTERED SPIDER. Una soluzione NDR è in grado di rilevare i movimenti laterali, le comunicazioni C2 e i modelli insoliti di esfiltrazione dei dati nel traffico est-ovest e nord-sud, anche quando gli aggressori utilizzano strumenti legittimi come RDP, PSExec o tunnel crittografati (ad esempio, Chisel, Plink).
Quali sono gli indicatori di compromissione (IoC)?
L'utilizzo di servizi di condivisione file (ad es. file.io), connessioni RMM insolite e reimpostazioni dell'autenticazione a più fattori (MFA) avviate dall'helpdesk IT sono indicatori comuni.
In che modo Scattered Spider la loro presenza?
Attraverso bootkit, attività pianificate, nuove registrazioni MFA e strumenti di sicurezza disabilitati.
Scattered Spider sempre Scattered Spider ransomware?
Non sempre. In alcuni casi, il loro obiettivo è il furto di dati e l'estorsione senza ricorrere al ransomware.