In Breve

• Qilin è un’operazione di ransomware-as-a-service (RaaS), che permette agli affiliati di lanciare attacchi in tutto il mondo.
• Huntress Labs ha indagato su un incidente con dati forensi estremamente limitati - solo un endpoint dopo l’infezione.
• Gli aggressori hanno sfruttato strumenti di gestione remota come ScreenConnect per distribuire malware e payload di ransomware.
• Molteplici livelli di log di Windows e avvisi antivirus hanno aiutato a ricostruire le mosse degli attaccanti.
• Disabilitare le difese di sicurezza è stato un passaggio chiave prima di lanciare l’attacco ransomware finale.

Ricostruire una Scena del Crimine Solo con le Ombre

Immagina un detective che esamina una stanza completamente buia con solo una torcia a foro di spillo. È così che si sono sentiti gli analisti di Huntress Labs quando sono stati chiamati a indagare su un attacco ransomware Qilin: l’agente Huntress, il loro principale strumento investigativo, è stato installato solo dopo che il danno era stato fatto, e su un solo computer. Nessun log di sicurezza esteso, nessun allarme pre-incidente - solo una manciata di briciole digitali sparse su una singola macchina compromessa.

Il Modus Operandi di Qilin: Il Ransomware come Franchising Globale

Qilin non è solo un altro ceppo di ransomware - è un modello di business criminale. Il ransomware-as-a-service (RaaS) permette agli affiliati di noleggiare malware potente, lanciare attacchi e condividere i profitti con gli sviluppatori. Dal 2022, Qilin ha preso di mira organizzazioni in tutto il mondo, lasciando dietro di sé note di riscatto e file criptati. I suoi affiliati spesso utilizzano strumenti familiari - come accessi desktop remoti o software di gestione IT compromessi - per infiltrarsi, rendendo la rilevazione ancora più difficile.

In questo caso, gli aggressori sono entrati tramite accesso remoto, poi hanno installato una versione malevola di ScreenConnect, uno strumento legittimo riadattato per scopi illeciti. Sono stati depositati sul sistema file dai nomi criptici - r.ps1, s.exe, ss.exe. Gli attaccanti hanno tentato di eseguire script per raccogliere informazioni e di avviare malware infostealer, ma le impostazioni di sicurezza di Windows e i controlli di compatibilità hanno sventato parte dei loro piani.

Strato dopo Strato: Come la Forensica Risponde al Contrattacco

Con così pochi dati a disposizione, gli analisti hanno dovuto ingegnarsi. Hanno esaminato avvisi antivirus, log degli eventi di sistema e file oscuri di Windows come AmCache e i log PCA - l’equivalente digitale del cercare impronte digitali. Questi registri hanno rivelato i passi degli aggressori: la disattivazione di Windows Defender (l’antivirus predefinito), tentativi falliti di eseguire installer di malware e infine il lancio del ransomware, che ha attivato il rilevamento delle note di riscatto.

Nonostante gli sforzi degli attaccanti per cancellare le proprie tracce, l’indagine ha ricostruito una timeline: accesso remoto l’8 ottobre, tentativi di distribuzione di malware l’11 ottobre e l’attacco ransomware finale poco dopo. Ogni indizio - che si trattasse di un’esecuzione software fallita o di un indirizzo IP sospetto - ha contribuito a confermare il più ampio schema operativo di Qilin, riecheggiando attacchi simili segnalati da società di sicurezza come Group-IB e Palo Alto Networks.

Perché Qilin - e Incidenti come Questo - Sono Importanti

Il caso Qilin è un chiaro promemoria: anche con una visibilità minima, analisti esperti possono ricostruire la storia di un attacco incrociando molteplici fonti di dati. Il ransomware resta una minaccia globale, con nuove tattiche che emergono man mano che i criminali si adattano agli strumenti dei difensori. Mentre “franchising” cybercriminali come Qilin si moltiplicano, le organizzazioni devono non solo investire in difese stratificate, ma anche essere pronte a indagare con qualsiasi frammento rimasto.

WIKICROOK

• Ransomware: Il ransomware è un software malevolo che cripta o blocca i dati, chiedendo un riscatto alle vittime per ripristinare l’accesso ai loro file o sistemi.
• Endpoint: Un endpoint è qualsiasi dispositivo, come un computer o uno smartphone, che si connette a una rete e deve essere mantenuto sicuro e aggiornato per prevenire minacce informatiche.
• ScreenConnect: ScreenConnect è uno strumento di desktop remoto per il supporto IT, che consente accesso remoto sicuro ma talvolta viene sfruttato dagli hacker per accessi non autorizzati.
• Windows Defender: Windows Defender è il software antivirus integrato di Microsoft che protegge i dispositivi Windows da malware, virus e altre minacce alla sicurezza.
• Infostealer: Un infostealer è un malware progettato per rubare dati sensibili - come password, carte di credito o documenti - da computer infetti senza che l’utente se ne accorga.