{"id":22422,"date":"2020-07-29T16:09:34","date_gmt":"2020-07-29T14:09:34","guid":{"rendered":"https:\/\/www.kaspersky.it\/blog\/?p=22422"},"modified":"2020-07-29T16:09:34","modified_gmt":"2020-07-29T14:09:34","slug":"lazarus-vhd-ransomware","status":"publish","type":"post","link":"https:\/\/www.kaspersky.it\/blog\/lazarus-vhd-ransomware\/22422\/","title":{"rendered":"Lazarus sperimenta nuovi ransomware"},"content":{"rendered":"

Il gruppo Lazarus si \u00e8 sempre distinto per l\u2019utilizzo di metodi caratteristici degli attacchi APT, sebbene specializzandosi nella criminalit\u00e0 informatica finanziaria. Recentemente, i nostri esperti hanno rilevato un nuovo malware VHD, mai riscontrato prima, e sembra che Lazarus lo stia provando.<\/p>\n

Dal punto di vista funzionale, VHD \u00e8 un tool ransomware abbastanza standard. Si insinua nei drive collegati al computer della vittima, cifra i file e cancella tutte le cartelle System Volume Information (sabotando cos\u00ec i tentativi di ripristino del sistema su Windows). Inoltre, pu\u00f2 sospendere i processi che potrebbero potenzialmente proteggere i file importanti da modifiche (come Microsoft Exchange o SQL Server).<\/p>\n

Ma ci\u00f2 che \u00e8 veramente interessante \u00e8 il modo in cui VHD arriva sui computer obiettivi dell\u2019attaccoo di perch\u00e9 le sue tecniche hanno vari aspetti in comune con gli attacchi APT. I nostri esperti hanno recentemente indagato su un paio di casi di VHD, analizzando le azioni dei cybercriminali in ognuno di essi.<\/p>\n

Movimento laterale lungo la rete della vittima<\/h2>\n

Nel primo incidente, l\u2019attenzione dei nostri esperti \u00e8 stata attirata dal codice dannoso responsabile della diffusione del VHD sulla rete obiettivo. Si \u00e8 scoperto che il ransomware aveva a disposizione gli elenchi degli indirizzi IP dei computer della vittima, nonch\u00e9 le credenziali per gli account con diritti di amministratore. Il ransomware ha utilizzato questi dati per perpetrare attacchi di forza bruta su un servizio SMB. Se il malware riusciva a connettersi alla cartella di rete di un altro computer mediante il protocollo SMB, allora poteva copiarsi avviarsi da solo, cifrando anche il dispositivo.<\/p>\n

Tale comportamento non \u00e8 molto tipico dei ransomware di massa. Suggerisce almeno una ricognizione preliminare dell\u2019infrastruttura della vittima, che \u00e8 pi\u00f9 caratteristica delle campagne APT.<\/p>\n

La catena di infezione<\/h2>\n

Nel secondo caso, quando il nostro Global Emergency Response Team ha individuato questo ransomware durante un\u2019indagine, i ricercatori sono stati in grado di risalire all\u2019intera catena di infezione. Come ci hanno riferito, ecco cosa hanno fatto i cybercriminali:<\/p>\n