Introduzione
Gli attacchi informatici di tipo ransomware rappresentano oggi una delle minacce più concrete per organizzazioni di ogni settore, dai servizi sanitari alle istituzioni educative. Quando un gruppo criminale riesce a sfruttare vulnerabilità non ancora corrette nei software aziendali, le conseguenze possono essere rapide e devastanti. È quanto emerge da un’analisi recente di Microsoft, che ha tracciato le attività di un gruppo denominato Storm-1175.
Cosa è successo
Microsoft Threat Intelligence ha collegato Storm-1175, un gruppo criminale con base in Cina e motivazioni principalmente economiche, a una serie di campagne ransomware condotte con velocità insolita. Il gruppo agisce come affiliato di Medusa, un noto programma ransomware utilizzato da più attori criminali.
Storm-1175 ha sfruttato vulnerabilità cosiddette “zero-day” e “n-day”, ovvero falle di sicurezza in software ampiamente utilizzati: nel dettaglio, sono state colpite applicazioni come SmarterMail e GoAnywhere MFT, strumenti usati da molte organizzazioni per gestire la posta elettronica e il trasferimento sicuro di file.
Gli attacchi hanno preso di mira sistemi esposti direttamente a Internet, quindi raggiungibili dall’esterno senza particolari ostacoli, in settori come la sanità, l’istruzione, i servizi professionali e la finanza. I paesi coinvolti identificati sono Australia, Regno Unito e Stati Uniti.
L’elemento più preoccupante è la velocità: dall’accesso iniziale al sistema fino all’esfiltrazione dei dati e al rilascio del ransomware, il gruppo ha spesso completato l’intera catena di attacco nel giro di sole 24 ore. Un tempo estremamente ridotto che lascia pochissimo margine di risposta alle organizzazioni colpite.
Perché è importante
La rapidità con cui Storm-1175 opera rende particolarmente difficile per le aziende accorgersi dell’intrusione in tempo utile per bloccarla. Quando il ransomware viene distribuito, i file vengono cifrati e i dati sottratti: a quel punto, l’organizzazione si trova di fronte a una doppia pressione, quella di ripristinare i propri sistemi e quella di evitare la pubblicazione dei dati rubati.
Settori come la sanità e l’istruzione sono bersagli particolarmente sensibili, perché gestiscono informazioni personali e spesso dispongono di risorse limitate per la sicurezza informatica.
Cosa possono fare aziende e utenti
La prima priorità è applicare tempestivamente gli aggiornamenti di sicurezza ai software in uso, specialmente quelli esposti a Internet. Le organizzazioni dovrebbero verificare di non utilizzare versioni vulnerabili dei prodotti citati nel rapporto e contattare i propri fornitori tecnologici per ricevere indicazioni specifiche. Avere sistemi di monitoraggio attivi che segnalino comportamenti anomali può fare la differenza nei minuti o nelle ore cruciali.
Takeaway finali
- Storm-1175 è un gruppo criminale attivo con affiliazione a Medusa ransomware, capace di completare un attacco in meno di 24 ore sfruttando vulnerabilità in software comuni.
- I settori sanitario, educativo, finanziario e dei servizi professionali in Australia, Regno Unito e Stati Uniti sono stati identificati come bersagli principali.
- Aggiornare i software esposti a Internet e monitorare attivamente i propri sistemi rimane la difesa più efficace e immediata.
Fonti:
https://www.bleepingcomputer.com/news/security/microsoft-links-medusa-ransomware-affiliate-to-zero-day-attacks/
https://www.microsoft.com/en-us/security/blog/2026/04/06/storm-1175-focuses-gaze-on-vulnerable-web-facing-assets-in-high-tempo-medusa-ransomware-operations/
Fonte: Articolo originale