CosmicBeetle si allea con altri gruppi ransomware per colpire Europa e Asia

I ricercatori di ESET hanno scoperto che di recente il gruppo CosmicBeetle ha utilizzato il ransomware ScRansom e ha collaborato con altri gruppi consolidati per attaccare piccole e medie imprese in Europa e in Asia.

Credits: ESET

CosmicBeetle è attivo dal 2020 ma è stato scoperto soltanto nel 2023. I cybercriminali sono noti soprattutto per usare una serie di strumenti personalizzati sviluppati in Delphi, tra i quali ScHackTool, ScInstaller, ScService e ScPatcher.

Il gruppo di cybercriminali ha usato il builder di LockBit e ha cercato di sfruttare la reputazione del ransomware per i propri attacchi. I ricercatori ritengono inoltre che CosmicBeetle sia un nuovo affiliato di RansomHub, un gruppo attivo da marzo 2024 e in rapida crescita che offre ransomware-as-a-service.

“Probabilmente a causa delle difficoltà che comporta scrivere da zero un ransomware personalizzato, CosmicBeetle ha cercato di sfruttare la reputazione di LockBit, forse per mascherare i problemi nel ransomware sottostante e aumentare così la probabilità che le vittime siano disposte a pagare” ha affermato Jakub Souček, il ricercatore di ESET che ha analizzato le ultime attività di CosmicBeetle. “Inoltre, di recente, abbiamo osservato il dispiegamento dei payload di ScRansom e RansomHub sulla stessa macchina a distanza di una settimana“.

Il gruppo usa spesso tecniche brute-force e diverse vulnerabilità note per entrare nelle reti delle sue vittime. Le PMI sono l’obiettivo più comune di questi attaccanti perché sono il segmento che con maggior probabilità usa software vulnerabile o non dispone di processi robusti di gestione delle patch.

ScRansom, oltre a crittografare i dati, è anche in grado di terminare processi e servizi sulla macchina infetta. ESET è riuscita a ottenere un decryptor implementato da CosmicBeetle, ma essendo il ransomware in continuo sviluppo e il processo di decrittazione piuttosto complesso, non è facile garantire il recupero completo dei file.

“L’esecuzione di RansomHub è stata insolita rispetto ai casi tipici che abbiamo osservato nella telemetria di ESET, ma molto simile al modus operandi di CosmicBeetle. Poiché non ci sono fughe di dati pubbliche relative a RansomHub, riteniamo con una certa sicurezza che CosmicBeetle possa essere un affiliato recente” ha aggiunto Souček.

Nonostante il modus operandi del gruppo sia ancora immaturo e la distribuzione di ScRansom presenta alcuni problemi, CosmicBeetle è riuscito a causare danni significativi alle sue vittime; si raccomanda quindi alle imprese di definire piani di backup completi e affidarsi a soluzioni di sicurezza in grado di ridurre la probabilità di successo di questi attacchi.