Il commento di Mandiant: l‘FBI si è infiltrata nella rete Hive, sventando richieste di riscatto per oltre 130 milioni di dollari
Il Dipartimento di Giustizia ha annunciato ieri la sua campagna, durata mesi, contro il gruppo di ransomware Hive, che ha preso di mira più di 1.500 vittime in oltre 80 Paesi del mondo, tra cui ospedali, scuole, aziende nel settore finanziario e infrastrutture critiche.
“Anche se l’interruzione del servizio Hive non causerà un forte calo negli attacchi ransomware a livello globale, è comunque un duro colpo per questo gruppo pericoloso che ha messo in pericolo vite umane attaccando anche il sistema sanitario”, dichiara John Hultquist, Head of Mandiant Threat Intelligence, Google Cloud. “Purtroppo, per via di come funziona il mercato criminale che è al centro del problema ransomware globale, ci aspettiamo che un qualche concorrente di Hive cominci ad offrire un servizio simile con magari nuove limitazioni come quelle di non colpire, ad esempio, gli ospedali. Azioni come questa aggiungono attrito alle operazioni ransomware nel loro complesso. I componenti del gruppo Hive potrebbero dover riorganizzarsi, riattrezzarsi e persino cambiare nome al proprio gruppo. Arrestare i colpevoli di questi attacchi non sempre è possibile, dovremo al contempo concentrarci necessariamente su soluzioni tattiche e su una migliore difesa cyber. Finché non riusciremo ad affrontare il fatto che la Russia è un “porto sicuro” per il cyber crime, dovremo concentrarci sull’essere resilienti”.
“Nel 2022, Hive è stata la famiglia di ransomware più prolifica che abbiamo osservato direttamente nelle attività di incident response, rappresentando oltre il 15% del totale delle intrusioni ransomware a cui abbiamo risposto. Le loro vittime sono localizzate in differenti Paesi, ma l’impatto più significativo è stato negli Stati Uniti: il 50% di tutte le vittime che erano basate qui. Gli aggressori dietro l’operazione hanno continuato a sviluppare Hive con costanza e ad un certo punto hanno anche riscritto il codice in Rust a metà del 2022. Questo passo è stato probabilmente compiuto per cercare nuovi modi di ostacolare l’analisi del malware ed eludere i sistemi di rilevamento”, ha dichiarato Kimberly Goody, Senior Manager, Mandiant Intelligence – Google Cloud. “Abbiamo visto diversi aggressori utilizzare il ransomware Hive sin da quando è comparso, ma il gruppo più prolifico nell’ultimo anno, in base alla nostra visibilità, è stato UNC2727. Le loro operazioni sono degne di nota perché hanno avuto un forte impatto sul settore sanitario. Inoltre, Hive non è stato l’unico ransomware presente nel loro arsenale; in passato li abbiamo visti utilizzare CONTI e MOUNTLOCKER. Questo dimostra che alcuni aggressori possiedono già relazioni all’interno dell’ampio ecosistema della criminalità che potrebbero consentire loro di passare facilmente all’utilizzo di un’altra famiglia di ransomware per le loro operazioni”.
