Il gruppo ransomware Trigona ha aggiunto un nuovo tassello al proprio arsenale offensivo: un tool di esfiltrazione su misura, progettato per sottrarre dati con maggiore velocità e sfuggire ai sistemi di rilevamento. Le attività più recenti, osservate nel marzo 2026, confermano che il collettivo criminale — nonostante le difficoltà subite in passato — non ha mai smesso di evolversi.
—
## Chi è Trigona
Trigona è un gruppo ransomware-as-a-service (RaaS) emerso nell’ottobre del 2022. Come molti suoi analoghi nel panorama della criminalità informatica organizzata, opera secondo un modello di doppia estorsione: cifra i dati delle vittime e minaccia di pubblicarli qualora non venga pagato il riscatto, richiesto esclusivamente in Monero, la criptovaluta scelta per le sue caratteristiche di anonimato.
Nel ottobre del 2023, attivisti informatici ucraini riuscirono a colpire duramente l’infrastruttura del gruppo, violando i loro server e sottraendo sia il codice sorgente che i database operativi. Un colpo significativo, che tuttavia non si è rivelato definitivo: Trigona ha ripreso le proprie operazioni, aggiornando strumenti e tattiche.
—
## Il nuovo strumento: `uploader_client.exe`
Al centro delle campagne più recenti c’è un tool da riga di comando denominato `uploader_client.exe`, sviluppato su misura per massimizzare l’efficienza dell’esfiltrazione e minimizzare le tracce lasciate sui sistemi compromessi.
Le caratteristiche tecniche dello strumento risultano particolarmente rilevanti:
- **Cinque connessioni simultanee per file**, per accelerare il trasferimento dei dati;
- **Rotazione TCP dopo ogni 2 GB trasmessi**, una tecnica che rende più difficile l’identificazione del traffico malevolo da parte dei sistemi di monitoraggio di rete;
- **Esfiltrazione selettiva dei file**, che consente agli operatori di scegliere con precisione quali dati sottrarre, riducendo il rumore operativo;
- **Chiave di autenticazione**, per garantire che lo strumento possa essere utilizzato solo dagli attori autorizzati all’interno della catena di affiliazione.
Questo approccio personalizzato riflette una tendenza più ampia nel mondo del ransomware: la progressiva sostituzione di strumenti pubblici e ben noti — come Rclone — con soluzioni proprietarie, più difficili da rilevare e classificare da parte delle soluzioni di sicurezza tradizionali.
—
## Un arsenale più ampio
`uploader_client.exe` non opera in isolamento. I ricercatori hanno rilevato che il tool viene impiegato in combinazione con altri strumenti, ciascuno con un ruolo specifico nella catena d’attacco:
- **AnyDesk**: per stabilire accesso remoto persistente ai sistemi compromessi;
- **Mimikatz**: per il furto di credenziali e l’escalation dei privilegi;
- **HRSword**: per disabilitare le soluzioni di sicurezza presenti sugli endpoint.
La combinazione di questi strumenti consente agli affiliati di muoversi lateralmente all’interno della rete, raccogliere credenziali, neutralizzare le difese e poi procedere all’esfiltrazione e alla cifratura dei dati in modo coordinato.
—
## Implicazioni per la difesa
Di fronte a questo aggiornamento tattico, le organizzazioni devono rafforzare le proprie strategie di rilevamento e risposta. Alcune misure prioritarie includono:
**Bloccare gli IoC noti**: i file `uploader_client.exe` e HRSword sono già presenti nelle liste di indicatori di compromissione pubblicate da Symantec e altri vendor.
**Monitoraggio comportamentale degli endpoint**: soluzioni EDR in grado di resistere ai tentativi di terminazione basati su driver — tecnica spesso sfruttata tramite strumenti come PCHunter o Gmer — sono essenziali per individuare attività sospette anche in assenza di firme specifiche.
**Segmentazione di rete e controlli sui privilegi**: limitare il movimento laterale resta una delle contromisure più efficaci contro gli attori RaaS.
**Autenticazione a più fattori e principio del minimo privilegio**: misure fondamentali per contrastare il furto e l’abuso di credenziali.
**Threat hunting proattivo**: monitorare schemi di connessioni TCP parallele e rotazioni anomale del traffico di rete può consentire di identificare attività di esfiltrazione in corso prima che il danno sia irreversibile.
—
Trigona dimostra che la resilienza dei gruppi ransomware non va sottovalutata. Anche dopo interventi diretti contro la propria infrastruttura, i collettivi criminali sono in grado di riorganizzarsi e perfezionare i propri strumenti. La risposta difensiva deve essere altrettanto dinamica.
—
- *Fonti:**
- https://www.bleepingcomputer.com/news/security/trigona-ransomware-attacks-use-custom-exfiltration-tool-to-steal-data/
- https://www.sentinelone.com/anthology/trigona/
- https://cybertechnologyinsights.com/application-security/trigona-ransomware-uses-custom-tool-for-data-exfiltration/
- https://www.scworld.com/news/trigona-ransomware-attackers-use-novel-tool-for-data-exfiltration
- https://securityaffairs.com/191294/cyber-crime/trigona-ransomware-adopts-custom-tool-to-steal-data-and-evade-detection
Fonte: Articolo originale
L’evoluzione di gruppi come Trigona, capaci di rinnovarsi rapidamente dopo gravi colpi alla propria infrastruttura, sottolinea quanto sia critico per le organizzazioni condividere tempestivamente informazioni sulle minacce. Piattaforme come IsacChain rispondono a questa esigenza abilitando la condivisione sicura di threat intelligence tra organizzazioni, con tracciabilità e integrità garantite dalla verifica blockchain. Al tempo stesso, la compliance NIS2 automatizzata integrata nella piattaforma consente di allineare le misure difensive ai requisiti normativi senza oneri aggiuntivi, trasformando la condivisione delle informazioni in un vantaggio strategico concreto. Scopri come IsacChain può aiutare la tua organizzazione su www.isacchain.com