Acronis, specialista globale nella protezione informatica ha pubblicato un report sull’evoluzione del ransomware INC, analizzandone catena di attacco, profilo delle vittime, strumenti, tattiche, tecniche e procedure (TTP). Elaborato dall’Acronis Threat Research Unit (TRU), il report fornisce anche raccomandazioni per il rilevamento, la mitigazione e la riduzione del rischio.
Gli attacchi ransomware interrompono le attività aziendali, esponendo dati sensibili e causando ingenti danni finanziari, operativi e reputazionali. Nonostante gli investimenti in controlli di sicurezza, i gruppi ransomware continuano a evolvere le proprie tattiche attraverso modelli di ransomware-as-a-service (RaaS), che abbassano la soglia di ingresso per gli affiliati e consentono di condurre attacchi su larga scala. Tra le operazioni RaaS più attive, INC ransomware si è rapidamente affermato come una delle minacce più rilevanti. Dalla sua comparsa nel 2023, il gruppo ha ampliato le proprie capacità, sviluppando varianti ransomware per Windows e Linux/ESXi, migliorando costantemente i propri strumenti e facendo crescere l’ecosistema di affiliati. INC è stato, inoltre, collegato a numerosi incidenti di alto profilo, influenzando l’intero panorama ransomware attraverso la vendita del proprio codice sorgente, che ha contribuito alla nascita di famiglie ransomware correlate come Lynx e Sinobi.
Evoluzione del ransomware INC
Scoperto a metà del 2023, INC è un gruppo Ransomware-as-a-Service (RaaS) che utilizza tattiche di doppia estorsione. Fin dalla sua nascita ha acquisito notorietà colpendo in modo aggressivo organizzazioni di alto profilo in diversi settori, con un’attenzione iniziale ai comparti dell’istruzione e della sanità. Dal punto di vista operativo, si è evoluto rapidamente tra il 2023 e il 2025. In pochi mesi è comparsa una variante Linux/ESXi osservata in attacchi reali, progettata per colpire infrastrutture VMware, riflettendo una tendenza più ampia nel panorama ransomware: massimizzare l’impatto attraverso la cifratura degli hypervisor e delle macchine virtuali che ospitano. Parallelamente, il gruppo ha continuato a migliorare anche la variante Windows. Nelle versioni più recenti, entrambi i payload sono stati riscritti in Rust, una scelta che rende più complessa l’analisi e il rilevamento del malware, facilitando al tempo stesso lo sviluppo e l’implementazione multipiattaforma.
Oltre a perfezionare il proprio malware di cifratura, INC ransomware ha ampliato la rete di collaborazioni. Alla fine del 2024 è stato osservato il gruppo Vice Society utilizzare INC ransomware in attacchi contro il settore sanitario. Inoltre, dopo le operazioni di contrasto che hanno colpito LockBit e la chiusura di BlackCat, diversi affiliati di questi gruppi sarebbero confluiti nell’ecosistema INC. Nel maggio 2024 il codice sorgente di INC è stato messo anche in vendita da un utente di forum underground noto con il nome “salfetka”. Poco dopo la pubblicazione dell’annuncio, è emersa l’operazione ransomware Lynx, che ha mostrato significative sovrapposizioni di codice con INC. Successivamente è comparso il ransomware Sinobi. Da questo punto in poi l’evoluzione di INC ha seguito due strade: mentre il marchio originale continua a operare autonomamente, parti della sua base di codice si sono diffuse in operazioni ransomware correlate, contribuendo alla nascita di nuove minacce.
Profilo delle vittime e tecniche di compromissione
Dal 2023 INC ransomware ha colpito oltre 800 organizzazioni a livello globale. Gli Stati Uniti rappresentano il 65,3% di tutte le vittime. Seguono Australia, Canada, Germania e Taiwan. L’assenza totale di vittime provenienti dai Paesi della Comunità degli Stati Indipendenti (CSI) suggerisce che gli operatori possano avere sede in quell’area geografica e che il programma di affiliazione preveda il divieto di colpire organizzazioni situate nella regione CSI. I settori più colpiti nel 2026 sono servizi legali, manifatturiero, tecnologia, sanità e costruzioni. Gli studi legali, in particolare, costituiscono un bersaglio particolarmente appetibile dal momento che i dati in loro possesso comprendono documenti relativi a transazioni, contenziosi, accordi di riservatezza (NDA) e numerosi documenti sensibili.
Gli affiliati di INC ransomware utilizzano una vasta gamma di strumenti e tecniche per compromettere le vittime. Nelle campagne più recenti continuano a sfruttare dispositivi edge non aggiornati come vettore di accesso iniziale, a sottrarre credenziali dai server di backup Veeam e a utilizzare una combinazione di LOLBins (Living-Off-the-Land Binaries) e strumenti commerciali di Remote Monitoring and Management (RMM) per spostarsi all’interno delle reti compromesse.
Mitigazione e raccomandazioni
Di seguito alcune linee guida per prevenire e mitigare questa minaccia.
· Backup e ripristino: Seguire la regola del backup 3-2-1, mantenendo almeno tre copie dei dati su due differenti supporti di memorizzazione e conservandone una in una sede separata. È inoltre fondamentale che i backup siano offline o immutabili.
· Protezione degli endpoint e difesa dal ransomware: Implementare soluzioni EDR (Endpoint Detection and Response) e strumenti specifici di protezione in grado di rilevare tentativi non autorizzati di cifratura ed esfiltrazione dei dati.
· Gestione delle identità e controllo degli accessi: Richiedere l’utilizzo dell’autenticazione multifattore (MFA) e imporre l’adozione di password robuste, complesse e aggiornate periodicamente.
· Segmentazione e rafforzamento della rete: Ridurre la superficie di attacco attraverso la segmentazione delle reti, la disattivazione di servizi e porte non necessari e la limitazione del traffico in uscita verso destinazioni non autorizzate.
· Gestione delle patch e delle vulnerabilità: Implementare un programma strutturato di gestione delle vulnerabilità e degli aggiornamenti su tutti i sistemi aziendali.
· Formazione e sensibilizzazione degli utenti. Formare il personale sui rischi legati al phishing, all’ingegneria sociale e alle altre tecniche utilizzate dagli operatori ransomware.
