L'FBI taglia le gambe a BlackCat: distrutta l'operatività del famigerato gruppo ransomware

Il Dipartimento di Giustizia degli Stati Uniti d'America ha annunciato oggi che l'FBI è riuscita con successo ad intrufolarsi nei server dell'operazione ransomware ALPHV o BlackCat, monitorando le operazioni al fine di ottenere le chiavi di decifratura.

I siti web di ALPHV/BlackCat sono in realtà non raggiungibili da più di una settimana, compresi quelli presenti su Tor. Inizialmente, anche per le comunicazioni diffuse dall'amministratore di ALPHV, si era pensato si trattasse semplicemente di un problema di hosting.

L'infiltrazione dell'FBI nelle operazioni di BlackCat è avvenuta diversi mesi fa, dando modo alle forze dell'ordine di monitorare l'attività e recuperare le chiavi di decifratura per aiutare almeno 500 vittime a recuperare gratuitamente i dati e consentendo di risparmiare circa 68 milioni di dollari di richieste di riscatto. Il dominio utilizzato per il sito tramite cui i criminali hanno diffuso i dati delle proprie vittime è stato sequestrato dalle forze dell'ordine.

L'operazione è stata possibile grazie alla collaborazione delle forze di polizia ed investigative di Stati Uniti, Europol, Danimarca, Germania, Regno Unito, Paesi Bassi, Germania, Australia, Spagna e Austria.

La campagna ransomware ALPHV/BlackCat è in realtà il "rebranding" di una campagna di più lungo corso che durante gli anni ha cambiato nome più volte: nel 2020 è nata sotto il nome DarkSide per essere messa in ginocchio dalle forze dell'ordine a maggio dell'anno successivo dopo l'attacco ai danni di Colonial Pipeline. Nel luglio dello stesso anno le operazioni criminali sono riprese con il nome di BlackMatter, per essere nuovamente interrotte grazie all'intervento della società di sicurezza Emsisoft che ha sfruttato una vulnerabilità e creato uno strumento di decrittazione, portando poi nuovamente al sequestro dei server.

Le operazioni sono riprese poi a novembre dello stesso anno, sotto l'insegna ALPHV/BlackCat e da allora sono proseguite anche attraverso una serie di evoluzioni delle tattiche di attacco ed estorsione. Anche in questo caso gli attori di minaccia non sono stati individuati o arrestati, ed è quindi possibile che a breve il gruppo ransomware tornerà sulla piazza a compiere le proprie scorribande con un nuovo nome, magari sempre a tema "nero".