Terminal portuale del Nord Europa fermo: doppia estorsione, cifratura via SMB e riscatto in Monero

Un terminal merci del Nord Europa ha subito un attacco ransomware che ha rallentato le operazioni di movimentazione. Il gruppo responsabile ha adottato il modello della doppia estorsione: esfiltrazione dei dati prima della cifratura, così da poter ricattare la vittima anche in presenza di backup.

Catena d'attacco (ATT&CK)

Lo schema osservato: accesso iniziale via phishing, caricamento di un beacon (Cobalt Strike), raccolta credenziali con dump di LSASS, movimento laterale sulle share SMB amministrative e, infine, distribuzione del payload di cifratura tramite GPO e PsExec. L'esfiltrazione precede sempre la cifratura.

La cifratura è l'ultimo atto: quando scatta, la partita difensiva è già persa da giorni. Il tempo utile è prima.

Detection & contromisure

Segnali ad alto valore: creazione di servizi remoti via SMB, accessi anomali a LSASS, volumi di upload inusuali verso host esterni. Priorità difensive:

# Hunting: accesso a LSASS da processi non attesi (Sysmon Event ID 10)
TargetImage: lsass.exe
GrantedAccess|contains: '0x1010' or '0x1410'
SourceImage|not: ['*\MsMpEng.exe','*\wininit.exe']

# Difesa: blocco esecuzione da share e hardening LSASS
- WDAC/AppLocker: nega esecuzione da \\*\ADMIN$ e \\*\C$
- RunAsPPL = 1 (protezione LSASS)
- Backup immutabili offline (object-lock) + test di ripristino

Perché conta. Contro la doppia estorsione il backup non basta: protegge dal downtime, non dalla pubblicazione dei dati rubati. La difesa efficace agisce a monte — identità, segmentazione, detection del movimento laterale — e a valle con backup immutabili verificati.