Il gruppo Qilin ransomware è al centro di una nuova indagine internazionale. Ricercatori di cybersecurity hanno identificato il presunto amministratore dell’operazione criminale. L’analisi punta a un cittadino russo di San Pietroburgo.
Chi è il presunto amministratore di Qilin
L’identità dietro l’alias “Haise”
I ricercatori hanno collegato l’alias “Haise” a un uomo di 36 anni. Il suo nome sarebbe Aleksey Mikhailovich Yakovtsev, residente a San Pietroburgo. L’attribuzione si basa su record di forum criminali, dati trapelati e informazioni di contatto condivise.
Inoltre, l’analisi stilistica dei messaggi ha rafforzato il collegamento. Gli alias precedenti includono “Rjun” e “Alexbigboss44”. Questi nomi compaiono in ambienti del cybercrimine risalenti a diversi anni fa.
Vale la pena sottolineare che l’attribuzione rimane un’allegazione non confermata dalle autorità. Nessuna forza dell’ordine ha ufficialmente avallato questa identificazione. Il caso resta quindi aperto sul piano giudiziario.
Una storia criminale che emerge dal passato
L’analisi incrociata di forum, leak e contatti ha permesso di ricostruire un profilo coerente. I ricercatori hanno collegato gli alias storici alle attività più recenti sotto il nome “Haise”. Il lavoro investigativo ha richiesto mesi di analisi digitale.
In questo contesto, emerge quanto sia difficile nascondersi completamente online. Anche piccoli dettagli, come un indirizzo email condiviso, possono essere determinanti. La persistenza delle tracce digitali è un elemento cruciale nelle indagini moderne.
Come funziona il modello Qilin Ransomware-as-a-Service
Un’operazione attiva dal 2022
Qilin opera almeno dal settembre 2022. Il gruppo utilizza un modello Ransomware-as-a-Service (RaaS). Questo separa il ruolo dell’amministratore da quello degli affiliati che eseguono gli attacchi.
Parallelamente, gli affiliati si occupano di accedere ai sistemi delle vittime. Rubano i dati, cifrano i file e minacciano la pubblicazione delle informazioni. Questa tecnica è nota come doppia estorsione.
Tuttavia, il vantaggio principale di questo modello è la scalabilità. Non serve essere esperti per partecipare. Il gruppo recluta affiliati con competenze tecniche limitate, aumentando così il numero potenziale di attaccanti.
Una minaccia trasversale a tutti i settori
Qilin non si concentra su un unico settore industriale. Rappresenta una minaccia cross-industry che colpisce organizzazioni di ogni tipo. Sanità, istruzione, manifattura e infrastrutture critiche sono tutte esposte.
Di conseguenza, i manager non devono valutare il rischio solo in base al settore di appartenenza. L’esposizione dipende dall’impatto potenziale di un’interruzione operativa. Dipende anche dalla sensibilità dei dati gestiti.
In questo contesto, il confronto più diretto è con gruppi come Rhysida e Medusa. Anche questi operano secondo il modello RaaS. Le agenzie come CISA hanno emesso advisory specifici su queste minacce, raccomandando misure di prevenzione comuni.
Come difendersi dagli attacchi Qilin ransomware
Misure tecniche prioritarie
La prima linea di difesa è l’autenticazione multifattore resistente al phishing. Va implementata su email, VPN, account privilegiati e sistemi critici. Questa misura riduce drasticamente il rischio di accesso non autorizzato.
Inoltre, è essenziale applicare patch rapidamente. Le vulnerabilità note e quelle sui sistemi esposti a internet sono vettori primari di attacco. Un programma di patching strutturato è indispensabile.
In particolare, le organizzazioni devono adottare il principio del minimo privilegio. Gli account amministrativi devono essere separati da quelli operativi. La segmentazione di rete limita i movimenti laterali degli attaccanti.
Monitoraggio, backup e risposta agli incidenti
Il monitoraggio continuo è un altro elemento fondamentale. Occorre rilevare attività anomale su autenticazione, accessi remoti ed esfiltrazione dati. Gli strumenti EDR e le soluzioni di network monitoring sono essenziali.
Parallelamente, i backup rappresentano una difesa critica. Devono essere multipli, protetti e offline. Devono essere testati regolarmente per garantire il ripristino reale dei sistemi.
Di conseguenza, una solida capacità di recovery riduce la pressione a pagare il riscatto. Le organizzazioni devono inoltre formare il personale e testare i piani di risposta agli incidenti. La preparazione è l’unica vera assicurazione contro questi attacchi.
Fonti:
- KrebsOnSecurity
- Cybernews – Qilin ransomware administrator unmasked
- SC World – Researchers link Qilin administrator to St. Petersburg man
- Fonte originale – DataBreaches.net
Fonte: Articolo originale
La crescente sofisticazione di gruppi come Qilin evidenzia quanto sia urgente per le organizzazioni italiane ed europee disporre di canali strutturati per la condivisione sicura di threat intelligence. IsacChain permette agli operatori di settori critici di scambiarsi indicatori di compromissione in modo riservato e tracciabile, con verifica blockchain che garantisce l’integrità delle informazioni condivise. La piattaforma integra anche funzionalità di compliance NIS2 automatizzata, aiutando le organizzazioni a documentare le proprie misure di sicurezza in linea con i requisiti regolatori europei. Scopri come IsacChain può aiutare la tua organizzazione su www.isacchain.com