Il 19 dicembre il Dipartimento di Giustizia statunitense ha annunciato un’operazione contro ALPHV, noto anche come BlackCat, il secondo gruppo ransomware più attivo al mondo, lo stesso che a settembre aveva rivendicato l’attacco ai casinò di MGM a Las Vegas.
Per mesi gli investigatori sono stati dentro la rete del gruppo. Grazie a una fonte infiltrata come affiliato hanno raggiunto il pannello con cui ALPHV gestiva le vittime e hanno raccolto le chiavi necessarie per costruire uno strumento di decifratura. Lo hanno offerto a oltre 500 vittime nel mondo, che hanno evitato riscatti per circa 68 milioni di dollari. Hanno anche ottenuto 946 coppie di chiavi dei siti nascosti nella rete Tor usati per trattative e pubblicazioni, e il sito principale del gruppo ora mostra un avviso di sequestro.
Il dissequestro
Qui la storia prende una piega quasi comica. Poche ore dopo ALPHV ha ripreso il controllo di uno dei suoi indirizzi, usando le stesse chiavi in possesso dell’FBI, e ha pubblicato un proprio banner di «dissequestro». Per qualche ora i due avvisi si sono alternati sullo stesso sito, come in una partita a chi lo cambia per ultimo.
La reazione, però, non ha niente di comico. Il gruppo ha annunciato che d’ora in poi gli affiliati potranno colpire anche ospedali e infrastrutture critiche, e ha offerto loro percentuali più alte per trattenerli. Un nuovo sito per pubblicare i dati delle vittime era già attivo prima dell’operazione.
Il bilancio resta positivo. Centinaia di aziende hanno recuperato i dati senza pagare, e il gruppo perde credibilità presso affiliati che ora sanno di essere stati osservati per mesi. Ma nessuno è stato arrestato, e un’organizzazione ferita e ancora in piedi può diventare più aggressiva nel breve periodo.
Se sei stato colpito da BlackCat, contatta la polizia postale o l’FBI: potresti recuperare i dati con lo strumento di decifratura. E non cancellare i file cifrati da vecchi attacchi, di nessun gruppo, perché prima o poi potrebbero tornare leggibili. Segnala sempre gli attacchi alle autorità, anche quando sembra inutile: operazioni come questa nascono anche dalle informazioni delle vittime.
Per il resto, le basi non cambiano: MFA resistente al phishing, procedure di help desk rigorose, backup offline e un piano di ripristino provato davvero.
