Tra il 27 e il 29 maggio le forze dell’ordine di diversi Paesi, coordinate da Europol, hanno condotto l’Operazione Endgame, presentata come la più grande azione di sempre contro le botnet. Il bersaglio non erano i gruppi ransomware, ma chi apre loro la porta: i dropper, i programmi che entrano per primi nei computer delle vittime e poi scaricano altri malware.
Le famiglie colpite sono sei, tra le più usate dai criminali: IcedID, SystemBC, Pikabot, Smokeloader, Bumblebee e Trickbot. Secondo gli investigatori sono collegate ad almeno quindici gruppi ransomware. Si diffondono soprattutto con email di phishing che contengono allegati o link malevoli.
I numeri sono quelli di una retata vera. Oltre 100 server smantellati o neutralizzati in dieci Paesi, tra cui Germania, Paesi Bassi, Regno Unito e Stati Uniti. Più di 2.000 domini passati sotto il controllo delle forze dell’ordine. Quattro arresti, tre in Ucraina e uno in Armenia, e 16 perquisizioni. Otto persone sono state aggiunte all’elenco dei latitanti più ricercati d’Europa, e uno dei principali indagati avrebbe guadagnato almeno 69 milioni di euro in criptovalute affittando infrastrutture per attacchi ransomware.
Il primo anello della catena
Colpire i dropper significa intervenire dove tutto comincia. Senza un accesso iniziale i gruppi ransomware devono cercare altri canali, e ricostruire un’infrastruttura costa tempo e denaro. Europol ha anche annunciato che l’operazione proseguirà, e ha accompagnato l’annuncio con video rivolti ai criminali, nello stile di una serie televisiva: un modo per far sapere agli altri che potrebbero essere i prossimi.
L’esperienza degli smantellamenti precedenti, da Emotet a Qakbot, invita però alla prudenza. I criminali tendono a riorganizzarsi, e i loro clienti trovano in fretta un nuovo fornitore.
Parte dei dati recuperati, tra cui milioni di indirizzi email, è stata consegnata ai servizi pubblici che permettono di verificare se i propri dati compaiono in una violazione: controlla i tuoi. Se un computer risultava infetto, la disattivazione del malware non basta. Esaminalo a fondo e cambia le password usate su quella macchina.
Nella posta, blocca i tipi di allegato preferiti da questi programmi, come archivi protetti da password, file JavaScript, collegamenti e immagini disco, se non servono al lavoro. E tieni un EDR attivo sulle postazioni: spesso è il primo a vedere partire un dropper.
