FBI: Zeppelin Ransomware potrebbe crittografare i file più volte negli attacchi

Pubblicato il: 12 Agosto 2022

La Cybersecurity and Infrastructure Security Agency (CISA) e il Federal Bureau of Investigation (FBI) avvertito Le organizzazioni statunitensi giovedì che gli aggressori schierano Zeppelin ransomware potrebbe crittografare i propri dispositivi più volte.

Le due agenzie federali hanno anche condiviso tattiche, tecniche e procedure (TTP) e indicatori di compromissione (IOC) per aiutare i ricercatori sulla sicurezza a rilevare e bloccare gli attacchi che utilizzano questo ceppo di ransomware.

“L'FBI ha osservato casi in cui gli attori Zeppelin hanno eseguito il loro malware più volte all'interno della rete di una vittima, con la creazione di ID o estensioni di file diversi, per ogni istanza di un attacco; ciò fa sì che la vittima necessiti di diverse chiavi di decrittazione univoche", hanno rivelato le agenzie in un avviso congiunto.

Zeppelin è un'operazione Ransomware as a Service (RaaS) rilevata per la prima volta dall'FBI il 21 giugno. Il suo malware ha subito diversi cambi di nome da VegaLocker, Buran, Jamper, all'attuale Zeppelin.

Le affiliate di Zeppelin sono attive dal 2019 e hanno preso di mira aziende e organizzazioni di infrastrutture critiche come appaltatori della difesa e società tecnologiche. Si sono anche concentrati su entità del settore sanitario e medico.

Gli attori delle minacce sono anche noti per il furto di dati per doppie estorsioni e per le richieste di riscatto in Bitcoin. Le loro richieste di riscatto iniziali variavano da diverse migliaia di dollari a più di un milione di dollari.

Inoltre, l'FBI chiesto Amministratori IT che rilevano qualsiasi attività di Zeppelin ransomware all'interno delle loro reti per raccogliere e condividere qualsiasi informazione correlata il loro ufficio locale dell'FBI.

Dati importanti che potrebbero aiutare a identificare gli attori delle minacce dietro gli attacchi ransomware includono "registri di confine che mostrano comunicazioni da e verso indirizzi IP stranieri, una richiesta di riscatto di esempio, comunicazioni con attori Zeppelin, informazioni sul portafoglio Bitcoin, file di decrittografia e/o un campione benigno di un file crittografato.

L'FBI ha aggiunto di aver sconsigliato alle vittime di pagare le richieste di ransomware Zeppelin poiché non vi è alcuna garanzia che il pagamento del riscatto preverrà fughe di dati o attacchi futuri.

Cedere alle richieste degli aggressori li motiverà invece a prendere di mira più vittime e incoraggerà altri gruppi di criminalità informatica a unirsi a loro negli attacchi ransomware, ha aggiunto l'agenzia.

La CISA e l'FBI hanno inoltre consigliato alle organizzazioni di adottare misure per difendersi dagli attacchi ransomware Zeppelin, tra cui:

• dare la priorità alle patch di vulnerabilità sfruttate in natura,
• formare i propri dipendenti e utenti a riconoscere e segnalare i tentativi di phishing,
• abilitazione e applicazione dell'autenticazione a più fattori.