SuperBlack Ransomware: un'altra minaccia da evitare

Capire il ransomware SuperBlack

SuperBlack è una variante del ransomware che si ritiene derivi dalla famiglia di ransomware LockBit 3.0 . Questa infezione crittografa i file e richiede un riscatto per la loro decifratura, lasciando alle vittime poche o nessuna possibilità di recupero dei file a meno che non abbiano dei backup. Dopo l'infezione, SuperBlack rinomina i file aggiungendo una stringa casuale ai loro nomi originali. Ad esempio, un file denominato "document.pdf" potrebbe diventare "document.pdf.fB1SZ2i3X".

Oltre a crittografare i dati, SuperBlack modifica lo sfondo del desktop della vittima e rilascia una nota di riscatto intitolata con una stringa generata casualmente (ad esempio, "[random_string].README.txt"). La nota di riscatto istruisce la vittima su come contattare gli aggressori e mette in guardia dall'utilizzo di strumenti di recupero di terze parti, sostenendo che potrebbero danneggiare in modo permanente i file crittografati.

Ecco cosa dice la richiesta di riscatto:

>>>> Your data are stolen and encrypted!

>>>> Sensitive data on your system was DOWNLOADED and it will be PUBLISHED if you refuse to cooperate. Your competitors or law enforcement may get them on the web.

Data includes:
- Employees personal data, CVs, DL, SSN.
- Complete network map including credentials for local and remote services.
- Financial information including clients data, bills, budgets, annual reports, bank statements.
- Complete datagrams/schemas/drawings for manufacturing in solidworks format
- And more...

You can request the tree of files that we have.

>>>> You need contact us and decrypt one file for free, send a small file for test decryption with your personal DECRYPTION ID to tox chat:

>>>> Your personal DECRYPTION ID: 7FBC34A4128F7B75E19B7F2A4E1938A0

1)Download and install TOX chat: hxxps://tox.chat
2)Write to this tox id: DED25DCB2AAAF65A05BEA584A0D1BB1D55DD 2D8BB4185FA39B5175C60C8DDD0C0A7F8A8EC815 and wait for the answer, we will always answer you.

>>>> DO NOT MODIFY FILES YOURSELF.
>>>> DO NOT USE THIRD PARTY SOFTWARE TO RESTORE YOUR DATA.
>>>> YOU MAY DAMAGE YOUR FILES, IT WILL RESULT IN PERMANENT DATA LOSS.
>>>> YOUR DATA IS STRONGLY ENCRYPTED, YOU CAN NOT DECRYPT IT WITHOUT CIPHER KEY.

Le tattiche e gli obiettivi del ransomware SuperBlack

SuperBlack è utilizzato principalmente da un gruppo di criminali informatici noto come "Mora_001", un presunto autore di minacce di lingua russa. Questa campagna ransomware è stata più attiva tra gennaio e marzo 2025. Il gruppo si infiltra nei sistemi delle vittime, crittografando i loro file e rubando dati sensibili. Le informazioni rubate includono dettagli di rete, registri finanziari, dati di produzione e informazioni personali di dipendenti e clienti.

La richiesta di riscatto afferma che se la vittima si rifiuta di obbedire, gli aggressori faranno trapelare i dati rubati online. Per esercitare ulteriore pressione sulle vittime, gli aggressori si offrono di provare l'esfiltrazione dei dati fornendo un campione e dimostrando la decrittazione di un file crittografato. Questa tattica gioca sulla paura e l'urgenza, aumentando la probabilità che le vittime cedano alle richieste di riscatto.

La connessione di SuperBlack con il ransomware LockBit

Le prove suggeriscono che SuperBlack condivide somiglianze con il ransomware LockBit, in particolare nella sua struttura di codice e nelle tecniche di crittografia. Inoltre, SuperBlack è stato osservato mentre utilizzava Tox ID (identificatori di messaggistica anonima) precedentemente associati agli operatori LockBit. Tuttavia, SuperBlack non utilizza l'infrastruttura di LockBit, il che indica che, sebbene i due ceppi di ransomware possano essere collegati, sono entità distinte con operazioni separate.

A differenza degli attacchi altamente mirati, le campagne SuperBlack sono opportunistiche, ovvero sfruttano sistemi vulnerabili senza un targeting specifico. È noto che gli aggressori abusano delle debolezze di sicurezza nei firewall Fortinet per ottenere l'accesso iniziale, dopodiché aumentano i privilegi, stabiliscono la persistenza e si muovono lateralmente attraverso la rete. La fase finale dell'attacco culmina nell'esfiltrazione dei dati seguita dalla crittografia dei file.

Cosa succede se si viene infettati?

Per la maggior parte degli attacchi ransomware, la decifrazione senza la collaborazione dell'aggressore è quasi impossibile. I criminali informatici utilizzano tecniche di crittografia avanzate, rendendo difficile per gli esperti di sicurezza sviluppare strumenti di decifrazione. SuperBlack non fa eccezione. Le vittime che non hanno backup spesso affrontano una perdita permanente di dati.

Anche se le vittime pagano il riscatto, nessuno può essere sicuro di ricevere una chiave di decifratura. Molti gruppi di criminali informatici non riescono a fornire gli strumenti necessari anche dopo il pagamento e il pagamento finanzia solo ulteriori attività criminali. Gli esperti di sicurezza sconsigliano vivamente di pagare il riscatto e raccomandano invece di rimuovere il malware e tentare il recupero dei dati dai backup.

Come si diffonde il ransomware

Ransomware come SuperBlack si diffonde attraverso vari vettori di attacco. Alcuni dei metodi più comuni includono:

• E-mail di phishing: gli aggressori utilizzano e-mail fraudolente contenenti link o allegati dannosi che eseguono il ransomware.
• Sfruttamento delle vulnerabilità del software: gli hacker sfruttano software obsoleti o non aggiornati, come le debolezze del firewall, per ottenere l'accesso.
• Download drive-by: gli utenti scaricano inconsapevolmente il ransomware visitando siti web compromessi o cliccando su annunci pubblicitari dannosi.
• Trojan Downloader: alcuni programmi malware installano il ransomware come payload secondario all'insaputa dell'utente.
• Software pirata e crack: i download di software illegali contengono spesso malware nascosti, tra cui ransomware.
• Supporti rimovibili e propagazione in rete: il ransomware può diffondersi tramite unità USB, dischi rigidi esterni e persino tramite reti locali.

Come proteggersi dal ransomware SuperBlack

Per prevenire le infezioni da ransomware è necessaria una combinazione di misure di sicurezza proattive e consapevolezza dell'utente. Ecco alcune best practice per proteggersi da SuperBlack e minacce simili:

• Conserva i backup in più posizioni: esegui regolarmente il backup dei dati importanti su unità esterne, storage cloud e storage offline per garantirne il recupero.
• Utilizza soluzioni di sicurezza efficaci: installa e mantieni aggiornati strumenti antivirus e antimalware per rilevare e bloccare le minacce.
• Aggiorna regolarmente il software: applica patch alle vulnerabilità del sistema operativo, dei firewall e di altri software per ridurre i rischi di attacco.
• Fai attenzione alle e-mail e ai link: evita di aprire allegati o cliccare su link provenienti da mittenti sconosciuti, poiché potrebbero contenere ransomware.
• Scarica software da fonti attendibili: utilizza solo siti Web ufficiali e app store affidabili per software e aggiornamenti.
• Limita i privilegi amministrativi: limita i permessi degli utenti per impedire modifiche non autorizzate ai file di sistema.
• Utilizza l'autenticazione a più fattori (MFA): rafforza la sicurezza richiedendo più passaggi di autenticazione per gli account sensibili.

Cosa fare se sei infetto

Se il tuo sistema è compromesso dal ransomware SuperBlack, adotta immediatamente le seguenti misure:

1. Disconnettiti dalla rete: isola il sistema infetto per impedire al ransomware di diffondersi ad altri dispositivi.
2. Non pagare il riscatto: il pagamento non garantisce il recupero del file e potrebbe incoraggiare ulteriori attacchi.
3. Rimuovere il malware: utilizzare un software di sicurezza per individuare ed eliminare il ransomware.
4. Tentativo di recupero dati: ripristina i file dai backup, se disponibili. Controlla le risorse di sicurezza online per potenziali strumenti di decrittazione.
5. Segnala l'attacco: informa le forze dell'ordine e le agenzie di sicurezza informatica per aiutare a rintracciare gli autori della minaccia.

Punti chiave

Il ransomware SuperBlack è un malware sofisticato e pericoloso che crittografa i file e minaccia di far trapelare i dati rubati se la vittima non ottempera alle richieste di riscatto. Sebbene condivida alcune somiglianze con il ransomware LockBit, opera in modo indipendente, utilizzando la propria infrastruttura e metodologie.

Le vittime non dovrebbero mai pagare il riscatto, poiché farlo supporta l'attività criminale e non garantisce il recupero dei dati. Invece, dovrebbero concentrarsi sulla rimozione del malware, sul rafforzamento delle misure di sicurezza e sul mantenimento di backup regolari. Restando informati e praticando le migliori pratiche di sicurezza informatica, gli utenti possono ridurre il rischio di attacchi ransomware come SuperBlack.