I gruppi ransomware moderni (LockBit, BlackCat/ALPHV) operano come affiliati di un servizio (RaaS) e seguono una kill chain ripetibile. Conoscerne le fasi permette al Blue Team di intercettare l'attacco prima della cifratura, quando il danno è ancora reversibile.

1. Initial access e IoC iniziali

L'ingresso avviene tipicamente via phishing con loader, RDP esposto o sfruttamento di una CVE sull'edge. Primi indicatori:

  • Processo Office che genera powershell.exe o wscript.exe (parent/child anomalo).
  • Connessioni a domini di staging recenti, certificati TLS self-signed.
  • Beacon periodico con jitter (tipico di Cobalt Strike).

2. Privilege escalation e credential access

L'attaccante punta subito alle credenziali: Mimikatz per dumpare LSASS, poi Cobalt Strike come C2 e per il movimento. Telemetria chiave: Sysmon EID 1 (process create) e EID 10 (process access su LSASS).

# Sysmon EID 10 - accesso sospetto a LSASS
EventID=10 TargetImage="*\\lsass.exe"
AND GrantedAccess IN ("0x1410","0x1010","0x1438","0x143a")
AND SourceImage NOT IN (allowlist_edr_av)
| stats count by Computer, SourceImage, GrantedAccess
Kill chain del ransomware
La finestra utile al Blue Team è tra l'initial access e l'Impact.

3. Detection con YARA ed EDR

Le firme statiche da sole non bastano, ma una regola YARA ben fatta intercetta tool noti su disco e in memoria. Esempio per gli indicatori di Mimikatz:

rule Mimikatz_Indicators
{
    meta:
        author = "Blue Team"
        description = "Stringhe note di Mimikatz"
    strings:
        $a = "sekurlsa::logonpasswords" ascii wide nocase
        $b = "privilege::debug" ascii wide nocase
        $c = "gentilkiwi" ascii wide nocase
    condition:
        2 of them
}

Affianca alla firma una detection comportamentale: ciò che conta è l'azione (accesso a LSASS, injection), non solo il nome del file.

4. Lateral movement e Impact

Prima di cifrare, l'attaccante elimina le copie shadow per impedire il ripristino: un segnale ad altissima fedeltà.

# Detection ad alta fedeltà: cancellazione delle shadow copy
process IN ("vssadmin.exe","wmic.exe","powershell.exe","wbadmin.exe","bcdedit.exe")
AND command_line CONTAINS_ANY (
    "delete shadows", "shadowcopy delete",
    "Win32_ShadowCopy", "recoveryenabled no", "delete catalog"
)
| alert severity="critical"
  • Movimento via SMB admin$, PsExec o WMI verso più host.
  • Creazione di GPO o task schedulati per il deploy di massa del payload.
  • Picco di rinominazioni file con estensione anomala (l'inizio della cifratura).

5. Contenimento

  • Isolare gli host coinvolti (network containment via EDR), non spegnerli (preserva la memoria).
  • Revocare e ruotare le credenziali compromesse, a partire dagli account privilegiati.
  • Hunt per persistenza (servizi, task, account nuovi) prima di riconnettere.

Conclusione

Il ransomware non è un singolo evento ma una catena: ogni anello è un'opportunità di detection. Logging completo degli endpoint, regole YARA aggiornate e detection comportamentale su LSASS e shadow copy permettono di fermare l'attacco mentre è ancora reversibile.