Attacco ransomware darkweb-syndicate: rivendicazione ed esfiltrazione dati contro custom floors unlimited

L'osservatorio di Threat Intelligence di SecControl ha rilevato sui Dark Web Leak Sites (DLS) una nuova rivendicazione condotta dal gruppo estorsivo DarkWeb-Syndicate. L'attacco ha preso di mira l'organizzazione Custom Floors Unlimited (US), con la minaccia di divulgazione integrale degli archivi aziendali riservati in assenza di riscatto.

L'analisi telemetrica delle campagne condotte dal gruppo DarkWeb-Syndicate evidenzia l'adozione di tattiche consolidate di evasione e doppia estorsione. Gli attaccanti ottengono generalmente l'accesso iniziale tramite credenziali compromesse esfiltrate da InfoStealer (quali RedLine, Lumma o Vidar) oppure sfruttando falle note non patchate su gateway perimetrali esposti (VPN SSL, Citrix, Fortinet).

Una volta all'interno dell'infrastruttura, il gruppo procede con il movimento laterale mediante binari legittimi di sistema (Living-off-the-Land), estrae le credenziali dalla memoria del processo LSASS e compromette il dominio centrale Active Directory prima di avviare l'esfiltrazione massiva dei dati verso server C2 esterni.

La violazione comporta una perdita immediata di riservatezza per gli archivi aziendali e un rischio concreto di interruzione operativa: - Direttiva NIS2 (D.Lgs. 138/2024, Art. 25): Per i soggetti essenziali e importanti ricadenti nel perimetro normativo, sussiste l'obbligo di pre-notifica di allarme tempestivo entro 24 ore dall'incidente significativo verso il CSIRT Italia / ACN. - Regolamento UE 2016/679 (GDPR, Art. 33/34): Qualora gli archivi esfiltrati contengano dati personali o particolari di clienti o dipendenti, è obbligatorio procedere con la notifica al Garante per la Protezione dei Dati Personali entro 72 ore dal rilevamento.