Hacking : Recorded Future Intervista Blackcat, Uno Degli ALPHV, Una Nuova Generazione di Malware

Last updated on December 26th, 2022 at 08:09 am

_χρόνος διαβασματός : [ 6 ] minutes

 

Quelli di Recorded Future recentemente hanno acquisito…

Authored by Dmitry Smilyanets Via The Record Media

..una società di cyber-analisi che è fondamentale da qualche anno per combattere il Malware secondo la nostra scuola.

Spero non facciano cambiamenti in peggio dato che non ci piacciono le fusioni e le acquisizioni.

Comunque è una buona intervista per capire come i “processi” Ransomware si stanno automatizzando ed al contempo stanno progredendo nelle proprie finalità di estorsione e rispettivo guadagno.

Record.media:

Nota del redattore: alla fine dell’anno scorso, i ricercatori della sicurezza informatica hanno iniziato a notare un ceppo di ransomware chiamato ALPHV che si è distinto per essere particolarmente sofisticato e codificato nel linguaggio di programmazione Rust, il primo per questo tipo di ransomware utilizzato negli attacchi nel mondo reale.

Da allora il gruppo si è guadagnato la reputazione di pubblicare pubblicamente in modo aggressivo i dettagli sulle sue vittime: a dozzine sono state pubblicate sul sito di estorsioni del gruppo, specialmente negli ultimi due mesi. All’inizio di questa settimana, sono emerse notizie secondo cui i funzionari tedeschi della sicurezza informatica ritengono che il gruppo sia responsabile del recente attacco a due società di logistica tedesche, che ha portato a interruzioni della fornitura di petrolio in centinaia di stazioni di servizio.

Un rappresentante del gruppo, che in alcuni rapporti è stato anche chiamato BlackCat, ha accettato di parlare con l’analista di Recorded Future Dmitry Smilyanets del background, delle intenzioni e dei piani del gruppo per il futuro. L’intervista è stata condotta in russo tramite messaggi TOX ed è stata tradotta in inglese con l’aiuto di un linguista del gruppo Insikt di Recorded Future. È stato leggermente modificato per chiarezza.

Dmitry Smilyanets: Come dovrei rivolgermi a te: ALPHV, Alfa o BlackCat?

ALPHV: Per quanto vorremmo evitarlo, il marchio deve esistere per semplificare l’interazione con le compagnie assicurative e di recupero. Il nostro unico nome è ALPHV. BlackCat è stato inventato da The Record e BC.a Noberus da Symantec [Nota dell’editore: il nome “BlackCat” è stato menzionato per primo da MalwareHunterTeam].

DS: Sei arrivato sulla scena del ransomware con conoscenza ed esperienza. Il codice, le procedure e le tempistiche indicano che hai legami con REvil e possibilmente DarkSide. È un rebranding o un mix di talenti sotto una nuova bandiera?

ALPHV: In parte, siamo tutti collegati a gandrevil [GandCrab / REvil], blackside [BlackMatter / DarkSide], mazegreggor [Maze / Egregor], lockbit, ecc., perché siamo pubblicità [ndr: inserzionisti o affiliati]. Le pubblicità scrivono software, le pubblicità scelgono un marchio, un programma di partnership non è niente senza pubblicità. Non esiste un rebranding o un mix di talenti perché non abbiamo alcuna relazione diretta con questi programmi di partnership. Diciamo solo: “Abbiamo preso in prestito i loro vantaggi ed eliminato i loro svantaggi”.

DS: Hai menzionato molteplici vantaggi rispetto alle varianti di ransomware Conti e Lockbit, riconosci altri gruppi di ransomware come concorrenti o partner commerciali?

ALPHV: Senza esagerare, crediamo che al momento non ci siano software competitivi sul mercato. Oltre a software di alta qualità, per i partner avanzati, forniamo la gamma completa di servizi relativi al riscatto – metaverse o concierge premium – chiamalo come vuoi. Siamo in una categoria di peso diversa, quindi non riconosciamo nessuno e non faremo ransomware TikTok. Separatamente, vogliamo ringraziare i media per una revisione dettagliata e onesta del malware. I risultati parlano da soli.

DS: Aggiungerai il supporto per la lingua cinese dopo l’espansione strategica RAMP e Lockbit a est?

ALPHV: Non siamo assolutamente interessati ad alcuna cooperazione, espansione o interazione con altri affiliati e lavoriamo solo con partner di lingua russa. Recentemente c’è stata la prima epurazione, la seconda arriverà presto e chiuderemo i battenti. Non abbiamo in programma di espanderci geograficamente (prima dell’attuazione dei piani per conquistare il mondo intero), ma aggiungeremo sicuramente il cinese dopo l’arabo :)

DS: Perché RUST? Stai cercando di offuscare il codice utilizzato in precedenza? Cross-compilazione?

ALPHV: RUST viene scelto come moderno linguaggio di programmazione multipiattaforma di basso livello. Nel comando della console, il nome del progetto è alphv-N(ext)G(eneration). Abbiamo realizzato un prodotto veramente nuovo, con un nuovo look e approccio che soddisfa i requisiti moderni sia per una soluzione RaaS che per un software commerciale di alta classe.

DS: Perché hai aggiunto token di accesso e domini univoci per ogni vittima?

ALPHV: Come pubblicità di darkmatter [DarkSide / BlackMatter], abbiamo subito l’intercettazione di vittime per la successiva decrittazione da parte di Emsisoft.

[Nota dell’editore: Smilyanets ha contattato l’analista di malware Emsisoft Brett Callow per chiarimenti, che includiamo di seguito per ulteriore contesto.]

Intel report da varie fonti indicano che gli attori dietro BlackMatter potrebbero aver sostituito il loro team di sviluppo dopo che abbiamo scoperto e sfruttato una debolezza nel loro ransomware e il nuovo team ha creato ALPHV. I loro commenti sulle chat forse lo supportano.

— Brett Callow, Emsisoft

DS: Hai menzionato contatti commerciali con le società di recupero che “hanno lavorato in precedenza con REvil e DarkSide”. I negoziatori ti aiutano a ottenere ciò che desideri o di solito si mettono in mezzo?

ALPHV: Le società di recupero con cui lavoriamo semplificano solo il processo. Hanno i loro sconti personali che possono variare tra il 20-40% e l’intero processo di recupero non richiede più di 24 ore dal momento del primo contatto.

Un fatto interessante:
i nomi reali delle società sono stati ottenuti a seguito dell’analisi della corrispondenza delle vittime dopo che la rete è stata crittografata, ovvero al momento delle trattative abbiamo capito con chi stavamo parlando.

DS: Come ti collochi nella lotta geopolitica tra Russia e USA?

ALPHV: Assolutamente apolitico.

DS: Non raccomandi ai tuoi affiliati di prendere di mira il governo, l’assistenza sanitaria e le istituzioni educative, nonché di vietare gli attacchi alla Comunità degli Stati Indipendenti (CSI). Come controlli i tuoi affiliati e fai rispettare le regole?

ALPHV: Controlliamo preventivamente — al momento della registrazione. Come puoi vedere, non eseguiamo una campagna pubblicitaria attiva e tagliamo facilmente i legami con i partner non conformi, ma non importa quanto ci sforziamo di filtrare le persone durante la creazione di un account, succede una merda. C’era già un episodio con (cito) “non i paesi vicini”. Le chiavi di decrittazione sono state emesse automaticamente con l’esclusione dell’affiliato.

DS: Una delle vittime pubblicate proviene dal settore sanitario, come è successo?

ALPHV: Non attacchiamo istituzioni mediche statali, ambulanze, ospedali. Questa regola non si applica alle aziende farmaceutiche, alle cliniche private.

DS: Spiega come funzionano queste funzioni speciali: Chiamate, DDoS, Brute, Mixer, Mega.

ALPHV: L’intero elenco di opzioni descritte di seguito è disponibile esclusivamente per gli annunci che hanno raggiunto la soglia di $ 1,5 milioni nel numero di pagamenti.

Chiamate. Soluzioni in outsourcing per le chiamate. Se la comunicazione con la vittima viene persa, puoi provare a stabilire un contatto telefonico, in casi estremi, informare i concorrenti della fuga di notizie. Non ancora integrato nel pannello, funziona in modalità manuale.
DDoS. Proprio botnet per eseguire gli attacchi DDoS più potenti. Tutto è chiaro qui. Non ancora integrato nel pannello, funziona in modalità manuale.
Bruteforce. Proprio centro dati GPU + esternalizzazione di strutture in affitto, dizionari e regole di proprietà. Attualmente non è disponibile. In futuro, consentirà alle pubblicità di rompere gli hash nel pannello.
Mixer. Questo non è affatto il nostro mixer :) Non esiste alcun processo per mescolare le monete nella nostra piattaforma. Quando si esegue un’operazione, le nostre monete vanno semplicemente nel classico mixer per le successive manipolazioni, e otteniamo monete assolutamente pulite e verificate, di cui anche il mercato dei cambi più diligente sarà contento.
Mega. Un proprio deposito di un circuito Onion  distribuito che semplifica il processo di negoziazione sia per le nostre pubblicità che per le vittime. La maggior parte dei dialoghi inizia con una richiesta di un elenco/contenuto di file rubati. Cerchiamo di insegnare agli annunci a caricare file nel nostro data center immediatamente o anche prima del processo di crittografia stesso. In futuro, ciò consentirà di condividere i dati sul volume/numero di file, un albero di file e/o anche un registro di distruzione di file per confermare automaticamente l’eliminazione sicura di tutti i file esistenti alla vittima; e oggi lo storage permette di evitare il blocco dal file hosting e semplifica il processo di gestione dei file tra annuncio e vittima. Già integrato nel pannello, funziona automaticamente.

DS: Stai costruendo una partnership ransomware dream team?

ALPHV: Questo è stato fatto in fase di pianificazione. Il nostro obiettivo principale è creare il nostro meta-universo RaaS che includa l’intera gamma di servizi relativi alla nostra attività.

DS: Come cambierà la scena del ransomware in futuro?

ALPHV: Segui i nostri aggiornamenti :)

DS: Puoi dirmi un segreto: chi è il “super amministratore”?

ALPHV: Una persona molto umile, il nostro leader spirituale e tecnico.

Un rappresentante del ransomware ALPHV (BlackCat) che pubblica un post su un popolare forum di hacking.

DS: Puoi commentare l’indagine di Brian Krebs, in cui ha sottolineato la connessione tra “binrs”, uno sviluppatore, e ALPHV?

ALPHV: Le indagini degli analisti da divano divertiranno sempre i nativi della darknet. Siamo molto al di là di ciò che il signor Krebs può immaginare.

§
Se sei interessato da uno dei problemi sollevati in questo articolo, chiama i Samaritani gratuitamente al +44 116123 o visita la loro divisione a : www.samaritans.org

Se ti è piaciuto il post e vuoi contribuire alla sua causa lasciaci un contributo, anonimato garantito grazie a Monero :

Donate