Ransomware attacca banche USA: colpa di un backup compromesso?

ANALISI TECNICA

Attacco ransomware e vettore di compromissione: L'attacco a Marquis Software Solutions non è stato causato da un firewall SonicWall non aggiornato, ma da un accesso non autorizzato al portale MySonicWall, che ha permesso agli attaccanti di rubare file di backup delle configurazioni del firewall. Questi file, una volta estratti, hanno consentito ai criminali di compromettere le regole di sicurezza del firewall, bypassando le difese tradizionali.

Vulnerabilità di SonicWall: La violazione di MySonicWall ha interessato inizialmente il 5% dei clienti che utilizzavano il servizio di backup cloud di SonicWall. Tuttavia, un aggiornamento successivo ha chiarito che tutti i clienti con il servizio di backup cloud erano stati colpiti. SonicWall ha avvertito che i dati rubati includevano credenziali e token, rendendo "significativamente più facile" l'accesso ai firewall.

Rol di Mandiant: L'indagine di Mandiant ha collegato l'attacco a un gruppo di hacker sostenuto da un governo straniero, anche se non è chiaro se l'attacco fosse mirato a Marquis o ad altri obiettivi. Questo rafforza l'ipotesi di un attacco strutturato, non casuale.

Separazione tra incidenti: SonicWall ha sottolineato che la violazione di MySonicWall non era collegata agli attacchi del gruppo Akira, che aveva mirato account MFA-protetti del servizio SSLVPN di SonicWall. Inoltre, l'azienda Huntress ha rilevato attacchi su oltre 100 account SSLVPN, ma non ha trovato legami con la violazione del backup cloud.

Impatto tecnico: La compromissione dei backup delle configurazioni del firewall ha reso possibile l'accesso non autorizzato al sistema di Marquis, permettendo agli attaccanti di eseguire il ransomware. Questo dimostra l'importanza di proteggere non solo i dispositivi di rete, ma anche i dati sensibili archiviati in cloud, come le configurazioni di sicurezza.

Contesto: DI MERCATO/SICUREZZA

Impatto del cyberattacco su Marquis Software Solutions e il settore finanziario L'attacco ransomware subito da Marquis Software Solutions, fornitrice di servizi tecnologici per oltre 700 istituti bancari e finanziari statunitensi, ha evidenziato vulnerabilità critiche nel settore della cybersecurity, in particolare legate alla gestione dei backup cloud e alla protezione delle configurazioni di firewall. L'incidente, inizialmente attribuito a un exploit su un firewall non aggiornato, è stato riconsiderato dopo un'indagine esterna: gli attaccanti hanno sfruttato file di backup delle configurazioni firewall rubati attraverso un accesso non autorizzato al portale MySonicWall di SonicWall, un fornitore di soluzioni di sicurezza.

Vulnerabilità del cloud e responsabilità dei fornitori di servizi SonicWall ha ammesso un breach nel proprio sistema di backup cloud, che ha interessato inizialmente il 5% dei clienti, ma successivamente è emerso che tutti gli utenti del servizio erano coinvolti. L'azienda ha avvertito che i dati compromessi includevano credenziali e token, facilitando l'accesso ai firewall. Questo incidente ha sollevato interrogativi sulla gestione delle configurazioni critiche da parte dei fornitori di servizi, nonché sull'efficacia delle misure di protezione delle infrastrutture cloud.

Collegamenti a attacchi statali e minacce multiple Un'indagine di Mandiant ha rilevato un legame tra il breach di SonicWall e attivisti statali, aggiungendo una dimensione geopolitica all'incidente. Contestualmente, attacchi separati da parte del gruppo Akira ransomware hanno compromesso account SonicWall protetti da MFA, mentre Huntress ha segnalato un'ampia campagna di accessi non autorizzati a oltre 100 account SSLVPN. Questi episodi sottolineano la complessità delle minacce attuali, che spesso coinvolgono attori diversi (criminali, statali) e vettori di attacco diversificati.

Conseguenze per il settore finanziario e le misure correttive L'incidenza sull'industria bancaria e creditizia ha messo in luce la necessità di rafforzare la gestione delle configurazioni di sicurezza e la protezione dei dati sensibili. Marquis sta valutando azioni legali e ripartizione dei costi con SonicWall, mentre il settore deve affrontare sfide come la tracciabilità delle responsabilità nei fornitori di servizi e l'adozione di soluzioni di backup più sicure.

• SonicWall: reset credenziali MySonicWall
• Impatto del breach su firewall
• Estensione del breach SonicWall
• Collegamento a attacchi statali
• Attacchi Akira e MFA
• Huntress: compromissione SSLVPN

Strategia: E DIFESA: Consigli pratici per l'utente/investitore

1. Sicurezza delle credenziali e accesso ai sistemi

La violazione di SonicWall ha evidenziato la criticità di proteggere le credenziali e i dati di configurazione. Gli utenti e le organizzazioni devono:

• Implementare autenticazione a due fattori (MFA) per ogni accesso ai portali critici, come MySonicWall.
• Evitare di archiviare configurazioni sensibili in backup cloud non protetti, preferendo soluzioni con crittografia end-to-end.
• Monitorare regolarmente i portali di terze parti per attività sospette, come accessi anomali o richieste di credenziali.

2. Valutazione e gestione dei fornitori di servizi

La dipendenza da fornitori di cybersecurity richiede una strategia attenta:

• Condotte audits periodici per verificare la conformità dei fornitori alle normative di sicurezza (es. ISO 27001, SOC 2).
• Richiedere contratti con clausole di responsabilità per incidenti di sicurezza, come quelli menzionati da Marquis per SonicWall.
• Scambiare informazioni con fornitori su vulnerabilità note, come quelle rivelate da Mandiant nel caso di SonicWall.

3. Piano di risposta agli incidenti

La rapida identificazione e gestione di un attacco è cruciale:

• Creare un team di risposta dedicato con ruoli definiti (es. analisi, comunicazione, ripristino).
• Testare regolarmente il piano di risposta con simulazioni di attacchi, come quelli legati a ransomware.
• Collaborare con entità esterne (es. agenzie di cybersecurity) per ottenere supporto tecnico e legale.

4. Aggiornamenti e formazione continua

La minaccia informatica evolve rapidamente:

• Partecipare a programmi di formazione per i dipendenti su phishing, accesso non autorizzato e gestione di credenziali.
• Seguire le notizie di settore (es. articoli su BleepingComputer) per rimanere aggiornati su vulnerabilità e attacchi emergenti.
• Investire in strumenti di detection avanzati, come quelli utilizzati da Huntress per monitorare attacchi su larga scala.

5. Diversificazione e riduzione del rischio

Per gli investitori, è fondamentale mitigare l'esposizione a fornitori singoli:

• Adottare soluzioni ibride per la gestione dei dati, riducendo la dipendenza da un unico provider.
• Valutare l'impatto economico di incidenti di sicurezza, come i costi sostenuti da Marquis e i suoi clienti.
• Supportare iniziative di ricerca e sviluppo in cybersecurity per migliorare la resilienza a lungo termine.

La catena di eventi legata al cyberattacco a Marquis Software Solutions e alla vulnerabilità di SonicWall evidenzia una tendenza crescente: le minacce informatiche si stanno sempre più concentrando su debolezze di terze parti e configurazioni non protette, piuttosto che su vulnerabilità direttamente negli strumenti tecnologici. La scoperta che i criminali hanno sfruttato i backup di configurazione del firewall, accessibili tramite un accesso non autorizzato al portale MySonicWall, sottolinea la necessità di una revisione radicale delle politiche di gestione delle credenziali e della protezione dei dati sensibili.

• Impatto geopolitico: L'indagine di Mandiant che collega l'attacco a gruppi hacker statali potrebbe intensificare le tensioni tra attori geopolitici e aziende tecnologiche, con possibili conseguenze sulle politiche di cybersecurity globale.
• Rischi per il settore finanziario: Con oltre 700 istituti bancari e crediti cooperativi colpiti, il caso Marquis potrebbe spingere il settore a investire in sistemi di monitoraggio avanzati e audit esterni periodici per prevenire futuri incidenti.
• Responsabilità legale: La decisione di Marquis di valutare il risarcimento dei costi per i clienti potrebbe aprire una nuova frontiera legale nel settore della cybersecurity, con possibili cause per negligenza da parte di fornitori di servizi.

La situazione evidenzia un rischio sistemico legato alla dipendenza da fornitori esterni e alla mancanza di standard uniformi per la protezione dei dati. Nell'immediato futuro, si prevede un aumento delle collaborazioni internazionali tra aziende e governi per combattere attacchi simili, ma anche una maggiore regolamentazione su come le aziende gestiscono le vulnerabilità di terze parti.