Il Global Emergency Response Team (GERT) di Kaspersky ha pubblicato un nuovo report in cui analizza una nuova e sofisticata tattica utilizzata dalla famiglia di ransomware Payload. Scoperto nel corso di un intervento di risposta agli incidenti presso un’azienda manifatturiera in Medio Oriente, questo attacco evidenzia un importante cambiamento nel panorama della criminalità informatica: gli autori dell’attacco hanno assunto il controllo totale della rete aziendale e hanno costretto i computer a bloccarsi, a visualizzare richieste di riscatto e a modificare gli sfondi del desktop, il tutto senza ricorrere a un crittografo convenzionale tipico dei ransomware. Questo episodio illustra una delle tendenze menzionate nel report “State of Ransomware 2026” di Kaspersky, pubblicato all’inizio di quest’anno: gli autori degli attacchi si stanno allontanando sempre più dalla tradizionale crittografia dei file. Stanno invece adottando la “estorsione senza crittografia”, concentrandosi sull’immediata interruzione delle attività operative e sulla diffusione di dati sensibili rubati sul dark web, piuttosto che fare affidamento su chiavi crittografiche per estorcere denaro alle vittime.
Infezione iniziale: entrare di soppiatto dalla porta principale
Anziché ricorrere a complessi malware per penetrare nella rete, gli aggressori hanno aggirato le difese iniziali acquisendo i diritti di amministratore. Probabilmente tramite phishing, hanno ottenuto credenziali utente con privilegi elevati, che hanno poi utilizzato per accedere direttamente alla rete aziendale attraverso i normali punti di accesso remoto e VPN. Tutto ciò è avvenuto senza essere rilevato, poiché agli occhi dei sistemi di monitoraggio della sicurezza gli aggressori apparivano come membri legittimi del personale IT che effettuavano l’accesso per svolgere attività di routine.
Evoluzione degli attacchi: trasformare le regole della rete stessa in armi
Gli intrusi hanno utilizzato gli stessi strumenti amministrativi affidabili dell’azienda per portare avanti il loro attacco. Hanno preso di mira l’Active Directory dell’azienda (la spina dorsale di una rete aziendale) e hanno creato una regola dannosa nell’oggetto Criteri di gruppo (GPO).
I GPO vengono utilizzati dagli amministratori di rete per configurare istantaneamente le impostazioni su migliaia di computer dei dipendenti. Poiché la Politica di Gruppo è un meccanismo amministrativo legittimo e dotato di privilegi elevati, le modifiche dannose effettuate utilizzando account privilegiati compromessi possono sembrare attività IT legittime. Eseguendo l’intero attacco all’interno di una regola GPO dannosa che hanno denominato “PAYLOAD”, gli hacker hanno operato in totale silenzio.
La regola ha disabilitato istantaneamente gli account amministratore locali, ha diffuso richieste di riscatto e ha dirottato lo sfondo del desktop e la schermata di blocco di ogni computer per visualizzare un’immagine relativa al riscatto nel momento stesso in cui i sistemi elaboravano i criteri aggiornati.
Esfiltrazione di dati verso il Dark Web
Gli autori dell’attacco hanno concentrato i propri sforzi sull’esfiltrazione di risorse aziendali di valore. Una volta completato il furto e attivati i blocchi amministrativi, i dati esfiltrati sono stati infine pubblicati sul dark web per portare a termine il tentativo di estorsione.
” Le tattiche alla base di PAYLOAD rappresentano un’ulteriore evoluzione delle strategie dei criminali informatici. Quando gli aggressori dirottano le regole centrali della rete, la tradizionale scansione antimalware sugli endpoint potrebbe rivelarsi insufficiente fintanto che la Group Policy dannosa resta attiva. Le aziende devono dare priorità al blocco delle policy dannose alla fonte, proteggendo rigorosamente le credenziali amministrative e orientando la propria difesa verso il monitoraggio del comportamento, piuttosto che limitarsi alla semplice scansione alla ricerca di malware”, ha commentato Elsayed Elrefaei, Security Expert del Kaspersky Global Emergency Response Team.
