La notizia in sintesi
- ESET descrive il ransomware come un ecosistema basato su servizi, affiliati e intermediari.
- Nella seconda metà del 2025, ESET rileva una crescita del ransomware del 13%.
- I ricercatori segnalano quasi 90 strumenti usati per disattivare le difese EDR.
- Le imprese devono aggiornare le difese seguendo tecniche e strumenti impiegati dagli attaccanti.
Riassunto generato con AI
Il ransomware opera sempre più come un mercato di servizi criminali, nel quale sviluppatori, broker di accesso, affiliati e fornitori di strumenti svolgono ruoli distinti. È l’analisi proposta da Samuele Zaniboni, Manager of Sales Engineering di ESET Italia, che invita a considerare gli attacchi non come episodi isolati ma come il risultato di una filiera organizzata.
Secondo la ricostruzione, un caso emblematico è emerso nel marzo 2024, quando un affiliato di BlackCat ha accusato il gruppo di non avergli versato la quota ottenuta dopo l’attacco a Change Healthcare. Gli operatori avrebbero incassato il denaro per poi scomparire, pubblicando sul proprio sito un falso avviso di sequestro attribuito all’FBI.
L’episodio mostra, secondo ESET, dinamiche simili a quelle di un rapporto commerciale: chi sviluppa il ransomware può non occuparsi dell’intrusione, mentre gli affiliati acquistano accessi o strumenti da altri soggetti. I broker di accesso iniziale, in particolare, vendono credenziali o punti di ingresso nelle reti senza necessariamente conoscere l’impiego che ne verrà fatto.
Un modello basato sui volumi
I dati citati da ESET indicano una crescita del ransomware del 13% nella seconda metà del 2025, dopo un aumento del 30% nei primi sei mesi dello stesso anno. Il DBIR 2025 di Verizon, richiamato nell’analisi, segnala inoltre che la quota di violazioni associate al ransomware è passata dal 32% al 44%.
Nello stesso periodo, il pagamento medio sarebbe sceso da 150.000 a 115.000 dollari. Una combinazione che, insieme allo spostamento degli attacchi verso organizzazioni più piccole e meno protette segnalato da Mandiant, viene interpretata come una strategia orientata ad aumentare il numero delle vittime anziché il valore del singolo riscatto.
La chiusura di singoli gruppi, inoltre, non elimina il fenomeno. Dopo le azioni delle forze dell’ordine contro LockBit e BlackCat nel 2024, alcuni affiliati si sono spostati verso RansomHub. Quando quest’ultimo gruppo ha cessato le attività, Akira e Qilin ne hanno assorbito una parte dello spazio operativo, secondo la ricostruzione riportata da ESET.
Doppia estorsione e strumenti contro le difese
Gli attacchi non si limitano più alla cifratura dei file. La doppia estorsione prevede anche il furto dei dati e la pubblicazione di campioni su siti dedicati, per aumentare la pressione sulle vittime. FBI e CISA, osserva ESET, definiscono ormai il ransomware come un problema di furto di dati ed estorsione.
Tra le tecniche citate figura ClickFix, una forma di social engineering nella quale un falso messaggio d’errore induce l’utente a copiare e avviare comandi malevoli. Cresce inoltre l’uso di strumenti progettati per neutralizzare i prodotti di Endpoint detection and response ed eXtended detection and response.
I ricercatori di ESET segnalano quasi 90 “EDR killer” in uso. Di questi, 54 utilizzerebbero la tecnica Bring Your Own Vulnerable Driver, o BYOVD: un driver legittimo ma vulnerabile viene caricato sul dispositivo per ottenere privilegi a livello kernel e disattivare le protezioni.
La necessità di aggiornare le difese
Secondo l’analisi, la diffusione di servizi di offuscamento e il possibile ricorso all’intelligenza artificiale nella produzione di malware stanno riducendo le barriere tecniche per gli attaccanti. ESET cita anche il fenomeno del “vibeware”, malware generato con l’AI in grandi quantità per tentare di superare i sistemi di sicurezza.
Per le organizzazioni, l’indicazione è monitorare l’evoluzione delle tecniche utilizzate dai gruppi attivi e valutare se lo stack difensivo sia in grado di contrastare procedure come BYOVD. L’obiettivo non è prevedere quale gruppo colpirà, ma individuare le traiettorie di rischio prima che l’intera catena dell’attacco si completi.
FAQ
Che cos’è il ransomware-as-a-service?
Sì, è un modello in cui sviluppatori, affiliati e fornitori di accessi o strumenti collaborano con ruoli separati nell’esecuzione degli attacchi.
Quanto è cresciuto il ransomware nel 2025?
Sì, secondo i dati ESET è cresciuto del 30% nei primi sei mesi del 2025 e del 13% nella seconda metà dell’anno.
Che cosa significa doppia estorsione?
Sì, indica un attacco che combina la cifratura dei file con il furto dei dati e la possibile pubblicazione di campioni sui siti di leak.
Come funziona la tecnica BYOVD?
Sì, consiste nel caricare un driver legittimo ma vulnerabile per ottenere privilegi kernel e disattivare i prodotti di sicurezza sul dispositivo bersaglio.
Qual è la fonte di questo articolo?
Sì, il contenuto si basa sul comunicato ufficiale diffuso da ESET, verificato e riscritto in forma giornalistica dalla nostra Redazione.
