Nuovo allarme dell’FBI, negli Usa, per una nuova campagna di attacchi cyber contro gli studi legali.

Negli Usa il Silent Ransom Group (SRG), gruppo ransomware noto anche come Luna Moth, Chatty Spider e UNC3753, sta prendendo di mira gli studi legali utilizzando tecniche di ingegneria sociale. Lo riporta l’FBI che su queste campagne ha pubblicato un rapporto.

“Attraverso telefonate ed e-mail di phishing“, sottolinea l’agenzia federale, “gli esponenti di SRG si fingono addetti all’assistenza IT per ottenere l’accesso ai computer delle vittime ed esfiltrare i dati“. Solitamente i cyber criminali o “impiegano strumenti legittimi di accesso remoto o inviano una persona di persona presso la sede dell’azienda vittima per ottenere l’accesso fisico ai computer“.

Oltre ai settori associativo, finanziario e sanitario, dalla primavera del 2023 il gruppo ha soprattutto e costantemente preso di mira studi legali con sede negli Usa.

Il valore della minaccia

Nel suo allarme, l’FBI ha spiegato, nel dettaglio, le modalità operative di questi attacchi. Le operazioni di furto di dati ed estorsione, però, non si servono della crittografia tipica del ransomware tradizionale.

A differenza degli autori di attacchi ransomware convenzionali, gli autori degli attacchi SRG mirano ad altri obiettivi. In particolare:

• a ottenere un accesso rapido ai sistemi delle vittime.
• Un’esfiltrazione immediata dei dati.
• L’estorsione di denaro minacciando di rendere pubblici o vendere i dati rubati.

Storicamente, i membri del gruppo inviavano e-mail di phishing con la pretesa di addebitare piccole “quote di abbonamento” per ottenere l’accesso alle reti delle vittime. Per annullare il falso abbonamento, alla vittima si richiedeva di chiamare l’autore della minaccia. Il quale poi, a sua volta, inviava via posta elettronica un link per scaricare un software di accesso remoto.

A partire dalla primavera del 2026, però, gli esponenti del gruppo hanno usato “uno schema di ingegneria sociale per fingersi un dipendente del reparto IT della vittima“. Sono infatti passati direttamente a chiamare o ad inviare le e-mail di phishing per esortare i dipendenti a chiamare l’autore di SRG che si finge un tecnico del supporto IT.

Come si esflitrano i dati

Una volta che hanno ottenuto l’accesso al dispositivo, il criminale esegue un’escalation minima dei privilegi e passa rapidamente all’esfiltrazione dei dati senza crittografia. In particolare, è emerso l’impiego di WinSCP (Windows Secure Copy) o una versione nascosta o rinominata di “Rclone” per esfiltrare i dati.

L’esfiltrazione dei dati, inoltre, è avvenuta su piattaforme interne di condivisione file come Google Drive o Microsoft OneDrive. Inviando qualcuno di persona presso la sede della vittima per facilitare l’intrusione, invece, i criminali possono rubare i dati usando un disco rigido o una pennetta USB.

I dati esfiltrati servono per estorcere denaro inviando poi un’e-mail in cui minacciano di vendere o pubblicare i dati online. SRG ha infatti anche un suo sito web pubblico, business-data-leaks[.]com, dove pubblicano i dati che hanno rubato.

Raccomandazioni e tutele

In questo senso, l’FBI ha raccomandato una serie di azioni per gli utenti. Per tutelarsi, sono necessarie “l’adozione e l’applicazione di misure di sicurezza informatica di base, tra cui l’uso di password complesse, l’autenticazione a più fattori e l’installazione di strumenti antivirus“.

Sono tutti contributi per la protezione dagli attacchi ransomware. Tra le misure di merito – sia per gli utenti che per le aziende – si trovano:

• verificare le credenziali di tutte le persone che accedono agli spazi aziendali, procurandosi anche una copia della carta d’identità di ciascun visitatore.
• Limitare l’accesso ai dati sensibili da reti meno sicure, come la rete domestica o la rete Internet pubblica.
• Elaborare e comunicare le linee guida relative alle modalità con cui il supporto IT comunicherà e
  si identificherà nei confronti dei dipendenti.
• Organizzare corsi di formazione per il personale su come riconoscere, contrastare e segnalare i tentativi di phishing.
• Eseguire backup regolari dei dati aziendali.
• Richiedere l’autenticazione a più fattori (MFA) resistente al phishing per il maggior numero possibile di servizi.
• Qualora fosse possibile, bloccare l’accesso alla porta 22, che consente l’accesso remoto crittografato, il trasferimento di file e l’esecuzione sicura di comandi sui dispositivi di rete.
• Se possibile, disabilitare l’accesso remoto e le autorizzazioni all’installazione di unità esterne sui computer aziendali che hanno accesso a dati sensibili o riservati.

Vai al sito di Cybersecurity Italia.

L'articolo Ransomware, “il gruppo Silent Ransom sfrutta l’ingegneria sociale per fingersi personale IT”. L’allarme dell’FBI sembra essere il primo su CyberSecurity Italia.