Il demone Ryuk, cacciatore di grosse prede

Leggenda

Apparso nell'agosto 2018 e legato al gruppo Wizard Spider, arrivava di solito dopo un'infezione di TrickBot o BazarLoader e sceglieva bersagli capaci di pagare molto. Colpì ospedali, comuni e giornali, chiedendo riscatti milionari. Dal 2021 il suo posto fu preso da Conti.

Esorcismo

Si esorcizza fermando prima gli apripista: un infostealer o un loader in rete sono il segnale che sta arrivando. Servono MFA sugli accessi remoti, privilegi amministrativi ridotti e backup immutabili.

Scheda tecnica

Girone: III girone · Ransomware ed estorsione
Prima apparizione: 2018
Stato: Dormiente
Armi (CVE sfruttati): San Zerologon, che si presentò con soli zeri

Big-game-hunting ransomware first seen in August 2018, operated by Wizard Spider and typically deployed after TrickBot or BazarLoader infections. It targeted hospitals, municipalities and newspapers and demanded large ransoms. It faded in 2021 as the operators moved to Conti.

Fonti: attack.mitre.org · attack.mitre.org · cisa.gov · Riferimento MITRE ATT&CK S0446