Consulenti e customer care per le bande dei cyber criminali

 

Il famoso gruppo di cyber criminali Maze, specializzato in attacchi di tipo ransomware, ha creato una sorta piattaforma per la gestione delle "relazioni con il pubblico". 

Il mondo del cybercrime continua ad evolversi seguendo sempre più le logiche che ricordano molto quelle dei normali business d'impresa. Da tempo esiste la pirateria informatica e da qualche anno si è imposto il modello del “malware as a service”, adesso arrivano le collaborazioni.

Nel 2020 ne abbiamo viste di tutti i colori, ma non avevamo ancora visto gruppi hacker con un ufficio stampa e un “servizio clienti” attivo. Tutto questo riguarda il gruppo di hacker Maze che come al solito fa parlare di sé. E lo fa anche in questo periodo con un annuncio a dir poco inaspettato. Infatti il pericoloso gruppo di hacker a quanto pare ha deciso di ritirarsi. Ma è davvero così? Cosa succede ora?

CHI È IL GRUPPO MAZE?

Il gruppo prende il nome da quello che è il loro principale strumento di attacco, ovvero il ransomware Maze. Lo stesso ransomware è stato progettato dal gruppo, che per primo ha introdotto anche il concetto di “doppia estorsione”.

L’evoluzione del gruppo, negli ultimi mesi, è stata simile a quella di altri operanti nello stesso settore, che sono passati dalla semplice diffusione di ransomware agli attacchi che puntano al furto di dati in prospettiva di una richiesta di riscatto per evitare la loro divulgazione pubblica. Questa tecnica è stata poi usata anche da altri gruppi, come per esempio Fin11.

Maze ha addirittura creato un sito chiamato “Maze News” dove riporta una lista dettagliata dei suoi attacchi. Sul sito si può trovare di tutto: il giorno dell’attacco, i documenti rubati, indirizzi IP e addirittura i nomi delle società attaccate. In particolare, troviamo nomi anche di grandi società (LG, Canon e Xerox).

A questo, scopo, i membri di Maze hanno creato un sito dedicato, che adesso verrebbe utilizzato come punto di riferimento per collaborare con altri gruppi che utilizzano la stessa strategia. Il loro obiettivo, confermato ai colleghi di Bleeping Computer in uno scambio di messaggi, è quello di condividere risorse e informazioni.

CONSULENTI E CUSTOMER CARE PER I CYBER CRIMINALI

 

Le gang criminali del web adesso si organizzano come delle vere e proprie aziende: portavoce, ufficio stampa, consulenti e impiegati che rispondono alle telefonate delle vittime, come qualsiasi normale servizio di customer care. Finora sapevamo che si nascondevano nei datacenter di aziende internazionali, in mezzo al cloud di varie istituzioni, ma che fossero tanto spavaldi da emettere dei comunicati, questo è cosa nuova. Ieri, un gruppo criminale, noto per la gestione del ransomware Maze, uno dei software più rognosi se ci blocca server e computer, ha emanato un comunicato per dire che: "Il progetto del gruppo Maze è ufficialmente terminato".   

E, per difendere il proprio brand e il proprio 'lavoro' chiariscono che "tutti i riferimenti al progetto che usano il nostro nome e metodi di lavoro vanno considerati una truffa. Non abbiamo mai avuto partner o successori ufficiali e i nostri esperti non lavorano con altri software". Insomma, dal "malware as a service", cioè dalla possibilità di comprare software dannosi in luoghi imprecisati della rete oscura con assistenza tecnica e di pagamento online, siamo arrivati a strutture criminali così bene organizzate da non sottostimare l'importanza della comunicazione. 

Che cosa succede ora? Possiamo finalmente ritenerci al sicuro?

È DAVVERO LA FINE?

A quanto pare no. Vivremo quindi in un mondo più sicuro? Non proprio. Secondo quanto riportano i colleghi, molti degli affiliati a Maze si starebbero aggregando a un nuovo gruppo, chiamato Egregor. Questo non vuol dire che si tratti di qualcosa di nuovo, bensì potrebbe trattarsi sempre di Maze. La scelta di un comunicato stampa quindi sarebbe solo un depistaggio. 

La nuova operazione sfrutterebbe sempre la strategia dei ransomware e sarebbe partita già lo scorso settembre, quando Maze ha avviato lo “shutdown” delle sue operazioni.

Secondo i ricercatori che hanno analizzato le prime operazioni di Egregor, il ransomware sfrutterebbe buona parte del codice di Maze e utilizzerebbe le stesse strategie.

Insomma: l’abbandono del gruppo originale non comporta, necessariamente, una diminuzione delle minacce online. Molto probabilmente, anzi, ci troveremo di fronte a un soggetto ancora più organizzato e in grado di sfruttare l’esperienza maturata negli ultimi anni per agire con maggiore efficacia.

Tutta la storia della fine delle attività del gruppo, come detto prima, potrebbe essere soltanto un modo per togliersi da sotto i riflettori e per riorganizzarsi.