Ransomware as a Service (RaaS): cosa devono sapere le aziende

I criminali informatici sfruttano le falle nella sicurezza per infettare i computer con il ransomware, distruggere i dati e chiedere un riscatto. Il Ransomware as a Service (RaaS) è una nuova forma di evoluzione del ransomware che rende questo tipo di malware più agile, consentendogli di diffondersi facilmente e di infettare un numero maggiore di computer. Questo articolo spiega cos’è il RaaS, come funziona e in che modo le organizzazioni possono proteggere i propri sistemi da questa moderna forma di ransomware.

Dite no ai riscatti con NAKIVO

Utilizza i backup per un ripristino rapido dei dati in seguito ad attacchi ransomware. Numerose opzioni di ripristino, storage locale e sul cloud immutabile, funzionalità di automazione del ripristino e molto altro ancora.

RILEVA LA SOLUZIONE

Che cos’è il Ransomware as a Service (RaaS)?

Il Ransomware as a Service (RaaS) è un modello di business legato alla criminalità informatica in cui gli sviluppatori di ransomware affittano il proprio malware ad altri criminali informatici (chiamati affiliati) in cambio di una quota dei profitti derivanti dagli attacchi riusciti o di altri pagamenti. L’approccio del Ransomware as a Service è simile a quello del Software as a Service (SaaS) nelle attività commerciali legali. Mentre il SaaS può essere vantaggioso, il RaaS è illegale, pericoloso e devastante.

Il RaaS opera tramite abbonamenti, canoni di licenza o programmi di affiliazione. Gli utenti (affiliati) ottengono l’accesso a kit di ransomware pronti all’uso, dashboard e supporto tecnico. Alcuni fornitori di RaaS offrono persino un supporto 24 ore su 24, 7 giorni su 7. Gli affiliati conducono l’attacco e traggono profitto dall’estorsione senza dover sviluppare autonomamente il proprio malware. Gli sviluppatori di ransomware aumentano i propri profitti perché non devono attaccare le reti da soli né dedicarvi tempo. Questi fattori rendono il modello RaaS reciprocamente vantaggioso per i criminali informatici.

Come funziona il Ransomware as a Service?

Il Ransomware as a Service (RaaS) funziona come un’attività commerciale SaaS, ma viene utilizzato per scopi criminali. I criminali informatici hanno implementato una divisione dei compiti per aumentare la propria efficienza: gli sviluppatori di ransomware scrivono il codice dannoso, mentre gli affiliati mettono a punto metodi di attacco più sofisticati e lanciano gli attacchi ransomware. Spieghiamo come funziona il Ransomware as a Service.

Creazione della piattaforma RaaS

• Gli sviluppatori creano il codice del ransomware.
• Creano una piattaforma (spesso sul dark web) che offrono agli affiliati. La piattaforma può includere:
  • Un pannello di controllo o dashboard;
  • Opzioni di personalizzazione (importo del riscatto, tipi di destinazione, impostazioni di crittografia);
  • Documentazione di supporto e aggiornamenti.

Reclutamento degli affiliati

• Gli operatori RaaS reclutano affiliati e altri criminali informatici che desiderano utilizzare il ransomware.
• Gli affiliati si registrano sul portale RaaS e possono pagare:
  • Un canone di abbonamento mensile.
  • Una quota una tantum. Gli affiliati pagano una sola volta e condividono una percentuale dei riscatti con gli operatori.
  • Condivisione dei profitti tramite un accordo di ripartizione dei ricavi (ad esempio, il 70% all’affiliato, il 30% allo sviluppatore).

  I creatori di ransomware sviluppano campagne pubblicitarie per le loro piattaforme RaaS e conducono campagne di marketing sul dark web, compresi i forum clandestini. Cercano attivamente di reclutare nuovi affiliati e di sferrare ulteriori attacchi ransomware.

Esecuzione degli attacchi da parte degli affiliati

• Gli affiliati sferrano attacchi utilizzando il toolkit ransomware.
• Metodi di diffusione più comuni:
  • E-mail di phishing con allegati o link dannosi;
  • Sfruttamento delle vulnerabilità del software;
  • Siti web compromessi o attacchi di forza bruta al Protocollo Desktop Remoto (RDP).
• Una volta eseguito, il ransomware crittografa i file della vittima e visualizza una richiesta di riscatto in cui si esige il pagamento (di solito in criptovalute come il Bitcoin).

Pagamento del riscatto

• Le vittime vengono indirizzate a un portale di pagamento (spesso accessibile tramite la rete TOR) dove possono pagare il riscatto. I pagamenti vengono solitamente effettuati in criptovalute perché sono difficili da tracciare.
• Alcune operazioni RaaS offrono un help desk per consentire alle vittime di ottenere istruzioni di pagamento o una “prova di decrittografia”.

Ripartizione dei ricavi

• Una volta pagato il riscatto:
  • L’affiliato e il fornitore RaaS si dividono automaticamente il denaro in base al loro accordo.
  • L’affiliato può ricevere strumenti per effettuare la decrittografia dei file e inviarli alla vittima.

Evoluzione continua

• Gli sviluppatori RaaS continuano ad aggiornare il ransomware per evitare il rilevamento da parte dei software antivirus.
• Possono anche effettuare upgrade delle funzioni, fornire supporto per nuove criptovalute o offrire nuovi exploit.

Il RaaS ha industrializzato la criminalità informatica trasformando il ransomware in un servizio “plug-and-play”. Consente a chiunque, anche senza competenze tecniche, di trarre profitto dagli attacchi informatici, aumentando in modo significativo il panorama delle minacce.

Gruppi e varianti RaaS di rilievo

Alcuni noti creatori di ransomware sono anche i principali fornitori di Ransomware as a Service. Il modello RaaS consente alle bande e ai gruppi criminali organizzati di sferrare attacchi distruttivi.

REvil (Sodinokibi)

REvil è noto per aver avanzato la più ingente richiesta di riscatto mai registrata nella storia. Questo Ransomware as a Service è stato attivo principalmente tra il 2019 e il 2021. REvil utilizza la tattica della doppia estorsione: crittografa i file e minaccia di divulgare i dati. Ha persino offerto un portale di facile utilizzo per gli affiliati.

Attacchi degni di nota:

• JBS (il più grande fornitore mondiale di carne)
• Attacco alla catena di approvvigionamento del software Kaseya VSA

Origine: si ritiene sia la Russia.

Stato: smantellato dalle forze dell’ordine internazionali.

DarkSide

DarkSide è stato attivo nel 2020 e nel 2021. Questo RaaS affermava di evitare destinazioni nei settori sanitario e dell’istruzione. DarkSide operava come un’azienda, con un reparto di pubbliche relazioni e supporto per. L’attacco più rilevante è stato quello contro Colonial Pipeline, che ha causato una carenza di carburante negli Stati Uniti. Sono stati utilizzati Salsa20 e la crittografia RSA.

Origine: gruppo legato alla Russia.

Stato: smantellato in seguito alle ripercussioni dell’attacco a Colonial Pipeline, ma alcuni membri residui hanno cambiato nome (ad es., BlackMatter).

LockBit

LockBit è stato lanciato nel 2019 ed è ancora attivo oggi. Tra gli attacchi degni di nota figurano quelli contro Accenture, Royal Mail UK e alcune agenzie governative. LockBit 3.0 ha introdotto programmi di bug bounty e siti dedicati alla divulgazione dei dati rubati. Il modello «Ransomware as a Service» offre automazione e strumenti personalizzabili per gli affiliati. Nel 2022, LockBit era il ransomware più diffuso al mondo.

Origine: Probabilmente dell’Europa orientale.

Stato: Ancora attivo, nonostante i tentativi di smantellamento (al 2025).

Conti

Il ransomware Conti è stato attivo tra il 2020 e il 2022 e l’Health Service Executive (HSE) irlandese è stato uno dei suoi obiettivi più importanti. I criminali informatici hanno utilizzato la tattica della doppia estorsione e la propria infrastruttura (non basata su TOR). Nel 2022, alcune fughe di notizie su Conti hanno reso pubblici i log delle chat interne.

Origine: legato alla Russia, probabilmente un successore di Ryuk.

Stato: Sciolto, molti membri si sono probabilmente uniti ad altri gruppi.

BlackCat (ALPHV)

BlackCat è attivo dal 2021 ed è stato utilizzato per condurre attacchi riusciti contro università, istituzioni sanitarie e infrastrutture critiche. È stato scritto in Rust, il che lo rende più difficile da rilevare. Questo ransomware ricorre alla tripla estorsione: crittografia, furto di dati e minacce DDoS.

Origine: Presunti ex affiliati di DarkSide o REvil.

Stato: Attivo e in continua evoluzione.

Hive

Il ransomware Hive è stato attivo dal 2021 al 2023 ed è stato utilizzato per attaccare il settore sanitario, compresi gli ospedali. È noto per la rapidità di crittografia e il furto di dati. Questo ransomware utilizzava il Remote Desktop Protocol, protocolli di connessione remota e VPN per ottenere l’accesso iniziale alla rete della vittima. L’FBI ha sequestrato l’infrastruttura di questo Ransomware as a Service nel gennaio 2023.

I gruppi di ransomware spesso cambiano nome, si fondono o riappaiono con nuovi nomi. L’ecosistema RaaS è resiliente e in continua evoluzione, con i gruppi più recenti che spesso si basano sulle tattiche dei loro predecessori.

Perché il RaaS rappresenta una minaccia crescente per la sicurezza informatica

Il Ransomware as a Service aumenta la frequenza, la scalabilità e l’entità dei danni causati dagli attacchi informatici rendendo accessibile il ransomware. L’approccio tradizionale richiede competenze elevate e più tempo per eseguire un attacco. Le piattaforme spesso includono guide passo passo, supporto tecnico e dashboard intuitive.

Più affiliati possono utilizzare la stessa variante di ransomware per colpire contemporaneamente centinaia o migliaia di vittime. Questo «modello di franchising» aumenta enormemente il volume e la portata geografica degli attacchi. Un gran numero di gruppi RaaS opera come legittime aziende SaaS, offrendo:

• Livelli di servizio (base vs premium)
• Processi di selezione degli affiliati
• Servizi di negoziazione con le vittime
• Help desk per consentire alle vittime di pagare i riscatti

Questa professionalizzazione rende i servizi più affidabili e attraenti per i potenziali aggressori. I gruppi RaaS operano sul dark web utilizzando strumenti di comunicazione e pagamento anonimi. Gli affiliati possono essere sparsi in diversi paesi, complicando il lavoro delle forze dell’ordine.

Gli affiliati e gli sviluppatori si dividono ingenti riscatti, che a volte ammontano a milioni di dollari per singolo attacco. Le criptovalute facilitano la richiesta e il riciclaggio dei riscatti in modo anonimo. Il RaaS consente agli autori degli attacchi di colpire un’ampia gamma di destinazioni. Tra le destinazioni preferite figurano i settori che spesso non dispongono delle risorse necessarie per difendersi completamente da tali minacce e che sono più propensi a pagare.

Se uno sviluppatore RaaS viene arrestato, gli affiliati possono trovare un altro fornitore per riprendere le loro operazioni. Viceversa, gli sviluppatori di ransomware possono assumerne un altro se un affiliato viene arrestato e incarcerato. Questo fattore rende il Ransomware as a Service più resiliente.

Gli sviluppatori di RaaS aggiornano frequentemente il proprio malware per eludere il rilevamento. Tra questi figurano:

• Vulnerabilità zero-day
• Tecniche di offuscamento
• Crittografia avanzata
• Alcuni creatori di RaaS offrono persino programmi di bug bounty destinati ad altri criminali informatici per migliorare i propri strumenti.

Il RaaS sta democratizzando la criminalità informatica, trasformando il ransomware in una merce. La sua ampia disponibilità sta creando un’epidemia globale di attacchi, rendendolo una delle minacce in più rapida crescita nell’ambito della sicurezza informatica odierna.

Rischi aziendali e insidie degli attacchi RaaS

Il ransomware as a Service comporta gravi rischi aziendali, ben più pericolosi delle interruzioni temporanee del servizio. Un attacco ransomware riuscito può interrompere le operazioni, danneggiare la reputazione di un’organizzazione e comportare conseguenze finanziarie e legali a lungo termine.

L’interruzione operativa si verifica quando sistemi, applicazioni e file diventano inaccessibili a seguito di un attacco ransomware che crittografa o distrugge i file. Di conseguenza, le operazioni aziendali possono arrestarsi per ore, giorni o settimane.

Le perdite finanziarie comprendono danni diretti e indiretti. Questi costi possono includere:

• Il pagamento del riscatto, spesso effettuato in criptovaluta senza alcuna garanzia di recupero.
• Costi di ripristino. Se si perdono dati unici, è difficile ricrearli. In passato, era possibile ripristinare alcuni dati dopo attacchi ransomware grazie ad alcuni accorgimenti pubblicati dagli esperti di sicurezza informatica. Tuttavia, al giorno d’oggi, tali scenari di ripristino sono rari.
• Tempi di inattività e perdita di produttività. I clienti potrebbero evitare di acquistare i vostri prodotti e servizi dopo aver appreso di un’interruzione del servizio causata da un attacco ransomware.
• Risposta agli incidenti di sicurezza informatica. Un’organizzazione potrebbe aver bisogno di software e hardware aggiuntivi per ripristinare le normali operazioni dopo un attacco ransomware.
• Costi aggiuntivi: L’assunzione di esperti di terze parti, consulenti legali o negoziatori richiede pagamenti aggiuntivi.

La mancata conformità alle normative sulla protezione dei dati (ad es. GDPR, HIPAA, CCPA) può comportare conseguenze legali e normative. Tra i potenziali problemi figurano le notifiche obbligatorie di violazione, le azioni legali da parte di clienti o partner, le multe e le sanzioni legali. I ransomware più pericolosi utilizzano tattiche di doppia o tripla estorsione quando i dati vengono rubati prima della crittografia.

Le organizzazioni che pagano il riscatto possono diventare una destinazione ricorrente, specialmente se non risolvono le vulnerabilità esistenti. Anche dopo il ripristino dei sistemi, potrebbero rimanere malware nascosti o backdoor. Ciò può influire sulla reputazione dell’azienda e causare la perdita di fiducia da parte di clienti e investitori. Alcune polizze assicurative contro i rischi informatici non coprono il ransomware o prevedono condizioni rigorose.

Come proteggere la propria organizzazione dal RaaS

Le misure di protezione dai ransomware as a Service sono identiche alle consuete misure di protezione dai ransomware. Le organizzazioni devono adottare una strategia a più livelli che combini tecnologia, processi e persone. È necessario frapporre ostacoli sufficienti tra gli hacker (affiliati) e le risorse di rete dell’organizzazione.

• Proteggete tutti i computer all’interno della vostra organizzazione installando un software antivirus affidabile e moderno (compresi i computer dei lavoratori da remoto).
• Configurate i firewall per proteggere la vostra rete. Chiudete le porte inutilizzate e configurate le regole del firewall. Utilizzate la segmentazione della rete per limitare la diffusione del ransomware in caso di infezione.
• Formate gli utenti affinché sappiano riconoscere i primi segnali di attacchi ransomware. Gli utenti devono imparare come il ransomware può diffondersi e quali sono i principali vettori di attacco, quali e-mail di phishing, link dannosi e tecniche di ingegneria sociale. La maggior parte degli attacchi RaaS ha origine da un tentativo di phishing o da un errore umano.
• Configurare la protezione contro il malware per le e-mail utilizzando filtri antispam e strumenti di sicurezza informatica.
• Configurare il Controllo degli accessi basato sui ruoli (RBAC). Utilizzare password complesse e difficili da violare. Utilizzare autenticazione a più fattori per i servizi più critici, come la posta elettronica. Il principio del privilegio minimo e l’architettura zero-trust possono rappresentare misure efficaci contro i servizi ransomware. Gli affiliati RaaS spesso sfruttano credenziali deboli o riutilizzate.

  

• Installate le patch di sicurezza per correggere le vulnerabilità del software nei sistemi operativi, nelle applicazioni e nel firmware. Ciò può ridurre la superficie di attacco della rete. I kit RaaS utilizzano spesso exploit noti per violare i sistemi vulnerabili.
• Monitorate l’infrastruttura IT. Configurare il monitoraggio Software per il monitoraggio del carico di rete, della CPU e dello storage al fine di rilevare attività anomale che possono essere un segno di un attacco ransomware (la crittografia dei file appesantisce significativamente il processore e il disco). Monitorate modelli di accesso insoliti e tentativi di accesso errati per rilevare accessi non autorizzati. Il rilevamento tempestivo può bloccare il ransomware prima che inizi la crittografia.
• Eseguire regolarmente il backup dei dati. Eseguire test di backup per garantire il ripristino dei dati in caso di emergenza. I backup rappresentano l’ultima linea di difesa in caso di crittografia.
• Creare un piano di risposta agli incidenti, piano di ripristino di emergenza e piano di continuità operativa. Essere preparati può ridurre drasticamente i tempi di inattività e i danni.

Il ruolo del backup nella resilienza contro il ransomware

I backup sono fondamentali per proteggere i dati dal ransomware, compresi gli attacchi effettuati con il Ransomware as a Service. Un sistema affidabile strategia di backup consente alle organizzazioni di evitare il pagamento del riscatto e di ripristinare rapidamente i dati.

Quando si dispone di un backup, è possibile:

• Ripristinare i dati crittografati o cancellati senza la chiave di decrittografia. Ciò riduce al minimo il rischio finanziario ed etico legato al pagamento dei criminali informatici.
• Utilizzare un sistema di backup affidabile per riprendere rapidamente le operazioni aziendali e ridurre al minimo i tempi di inattività. A seconda delle capacità di ripristino, i tempi di inattività possono essere ridotti da giorni o settimane a poche ore.
• Approfittare di un ripristino economicamente vantaggioso.

Investire in un sistema di backup solido è di gran lunga meno costoso che pagare un riscatto, affrontare i tempi di inattività o subire sanzioni normative.

Seguire le pratiche raccomandate per la protezione dai ransomware tramite backup:

• Seguire il Regola di backup 3-2-1. Conservare tre copie dei dati su due tipi diversi di supporti, di cui una copia fuori sede o offline.
• Configurare un programma di backup regolare per garantire una perdita minima di dati.
• Utilizzare backup immutabili per impedire al ransomware di crittografare o eliminare i backup.
• Utilizzare un supporto offline o backup con protezione air-gap per conservare una copia completamente scollegata dalla rete.
• Eseguire backup automatici. Questa pratica riduce gli errori umani e garantisce la coerenza.
• Abilitare il backup crittografia per proteggere i dati inattivi e in transito.
• Testare i backup e le procedure di ripristino per assicurarsi che funzionino e possano essere ripristinati rapidamente.
• Utilizzare un controllo degli accessi segregato e limitare l’accesso ai sistemi di backup di sistema per ridurre le minacce interne.

Ci sono alcune pratiche da evitare:

• Affidarsi esclusivamente a backup su cloud (anche questi possono essere presi di mira);
• Non testare regolarmente i ripristini;
• Mantenere i sistemi di backup di sistema sulla stessa rete dei sistemi di produzione;
• Non rilevare il ransomware che ha già infettato i dati di backup.

Le aziende che dispongono di backup sicuri, testati e isolati possono ripristinare completamente i dati senza pagare il riscatto. Quelle prive di backup spesso subiscono perdite devastanti, settimane di inattività o la perdita definitiva dei dati. I backup non sono solo una precauzione, ma una componente fondamentale di qualsiasi strategia di resilienza contro il ransomware. Tuttavia, funzionano solo se sono frequenti, sicuri, testati e isolati.

Il futuro del Ransomware as a Service (RaaS)

Il RaaS porterà probabilmente minacce più avanzate, diffuse e persistenti, man mano che i criminali informatici continuano a sviluppare le loro tattiche e Infrastruttura. Nei prossimi anni, possiamo aspettarci le seguenti funzioni:

• Malware più sofisticato . Il ransomware basato sull’intelligenza artificiale (ransomware basato sull’IA) potrebbe automatizzare la selezione delle destinazioni, gli schemi di crittografia e le tattiche evasive. Gli strumenti RaaS avanzati potrebbero integrare l’apprendimento automatico per aggirare le difese di sicurezza in modo più intelligente.
• Maggiore professionalizzazione della criminalità informatica . Le operazioni RaaS assumeranno caratteristiche sempre più simili a quelle aziendali, offrendo piani tariffari suddivisi in livelli, accordi sul livello di servizio e portali di assistenza clienti. La tendenza è che i gruppi RaaS opereranno come fornitori SaaS del mercato nero. Le tattiche di pressione diventeranno più personali e aggressive.
• Attacchi mirati alle infrastrutture critiche e ai sistemi di tecnologia operativa . I gruppi RaaS prenderanno di mira i sistemi di controllo industriale nei settori dell’energia, dei trasporti e della sanità, in particolare quelli obsoleti e meno sicuri. L’attenzione si sta spostando verso settori ad alto impatto con esigenze urgenti di operatività.
• Maggiore ricorso agli “initial access broker” . I criminali specializzati possono vendere l’accesso a sistemi già compromessi. Di conseguenza, gli affiliati RaaS possono saltare la fase iniziale di infiltrazione e passare direttamente all’implementazione.
• Misure di protezione dei dati più rigorose . Le organizzazioni devono implementare misure di protezione dei dati e sistemi di sicurezza informatica più affidabili, compreso software che utilizzi meccanismi basati sull’intelligenza artificiale per il rilevamento precoce del ransomware. L’enfasi sarà sulla resilienza e sul ripristino, non solo sulla prevenzione. Strategie difensive si evolverà in risposta alle minacce avanzate. Le polizze assicurative contro i rischi informatici potrebbero scoraggiare o limitare il pagamento dei riscatti.

Conclusione

Il Ransomware as a Service (RaaS) rappresenta la fase moderna dello sviluppo del ransomware, con un’organizzazione distribuita e più efficace rispetto al ransomware tradizionale. Il RaaS consente ai criminali informatici di sferrare un maggior numero di attacchi, il che significa che le organizzazioni devono proteggere meglio le proprie infrastrutture. Il backup dei dati è una delle misure di protezione dei dati più importanti, oltre alle misure preventive di sicurezza informatica. Investite in soluzioni affidabili per la protezione dei dati come NAKIVO Backup & Replication, eseguite backup regolari, seguite le procedure consigliate ed evitate di pagare un riscatto in caso di attacco.

Prova NAKIVO Backup & Replication

Richiedi una prova gratuita per scoprire tutte le funzionalità di protezione dei dati offerte dalla soluzione. 15 giorni gratuiti. Nessuna limitazione in termini di funzionalità o capacità. Non è obbligatoria alcuna carta di credito.

Prova gratuitamente