Dentro la stretta su Black Basta: la polizia si avvicina all’elusivo capo del ransomware

Prima dell’alba nell’Ucraina occidentale, la polizia ha sfondato porte e sequestrato hard disk: l’ultima salva nella guerra europea al cybercrimine. I bersagli - due presunti “hash cracker” di Black Basta, un gruppo ransomware che dal 2022 perseguita aziende globali e ospedali. Ma il vero premio è ancora in libertà: Oleg Nefedov, cittadino russo accusato di orchestrare una scia di crimini informatici da centinaia di milioni, ora nella lista dei più ricercati dell’Interpol.

Fatti in breve

• Black Basta è un gruppo ransomware attivo dall’inizio del 2022, collegato ad attacchi contro centinaia di organizzazioni in tutto il mondo.
• Raid ucraino-tedeschi hanno preso di mira due sospetti “hash cracker” ucraini a Ivano-Frankivsk e Leopoli, sequestrando prove digitali e criptovalute.
• Oleg Nefedov, un russo di 36 anni, è accusato di guidare Black Basta ed è tuttora latitante, ricercato a livello internazionale.
• Le operazioni di Black Basta includevano il furto di credenziali, l’escalation dell’accesso alla rete e l’estorsione delle vittime tramite dati cifrati.
• Fughe di notizie e ricerche collegano Black Basta a precedenti famigerati gruppi di cybercrime, tra cui Conti e Ryuk.

La rete profonda di Black Basta

Il nome Black Basta è diventato sinonimo di attacchi ransomware di alto profilo, con bersagli come ABB e il fornitore sanitario statunitense Ascension. Dalla sua comparsa, il gruppo ha estorto centinaia di milioni di dollari, impiegando un mix di astuzia tecnica e spietata efficienza.

Le autorità affermano che i due sospetti ucraini fossero specializzati nell’“hash cracking” - l’arte di estrarre password da dati rubati usando strumenti specializzati. Queste credenziali aprivano i cancelli alle mosse successive di Black Basta: infiltrarsi nei sistemi aziendali, aumentare i privilegi e distribuire ransomware che cifrava file critici. Le vittime si trovavano davanti a una scelta impossibile: pagare in criptovaluta o vedere i propri dati distrutti o divulgati.

Durante raid simultanei nelle regioni ucraine di Ivano-Frankivsk e Leopoli, la polizia ha sequestrato dispositivi di archiviazione digitale e wallet di criptovalute. Gli investigatori stanno ora passando al setaccio le prove, alla ricerca di indizi sulle operazioni più ampie della banda e sui flussi finanziari.

Eppure il vero architetto, Oleg Nefedov, resta un passo avanti. Le autorità tedesche sostengono che abbia reclutato membri, scelto obiettivi e negoziato riscatti sotto molteplici alias online - tra cui “tramp”, “Washingt0n” e “S.Jimmi”. Le impronte digitali di Nefedov lo collegano anche alle famigerate crew ransomware Conti e Ryuk, e al trojan bancario TrickBot. Queste reti sovrapposte hanno tormentato per anni le istituzioni occidentali, spingendo a una stretta internazionale e a una raffica di sanzioni contro operativi noti.

Una fuga di notizie del 2023 dei log delle chat interne di Black Basta ha offerto un raro sguardo sulla loro gerarchia e sui loro metodi, esponendo dettagli personali e alimentando nuove indagini. Eppure, con il capo ritenuto nascosto in Russia, la caccia è tutt’altro che finita.

Riflessioni su una caccia all’uomo digitale

La saga di Black Basta mette in luce il gioco del gatto e del topo in continua evoluzione tra cybercriminali e forze dell’ordine. Mentre gli investigatori si avvicinano agli operativi di livello più basso, le menti si adattano, sfruttando confini internazionali e anonimato per sfuggire alla giustizia. Per ora, la scia digitale porta a Mosca - ma il mondo osserva, e gli oscuri architetti del cybercrimine stanno finendo i posti dove nascondersi.

WIKICROOK

• Ransomware: Il ransomware è un software malevolo che cifra o blocca i dati, chiedendo un pagamento alle vittime per ripristinare l’accesso ai propri file o sistemi.
• Hash Cracking: L’hash cracking è il tentativo di recuperare i dati originali, come le password, a partire da valori hash usando vari strumenti e metodi di attacco.
• Privilege Escalation: La privilege escalation si verifica quando un attaccante ottiene un accesso di livello superiore, passando da un account utente normale ai privilegi di amministratore su un sistema o una rete.
• Trojan: Un trojan è un software malevolo camuffato da app legittima, progettato per indurre gli utenti a installarlo così da poter rubare dati o danneggiare i dispositivi.
• Cryptocurrency: La criptovaluta è una valuta digitale protetta dalla crittografia, che consente transazioni sicure e decentralizzate ed è spesso usata sia per attività lecite sia illecite.