I ricercatori di Kroll, azienda di consulenza con sede a New York, hanno individuato un nuovo ransomware chiamato “Cactus” in grado di criptare i propri file binari per superare i controlli di sicurezza.

Come riportato da BleepingComputer, il ransomware è attivo da inizio marzo e ha utilizzato le vulnerabilità presenti nelle VPN Fortinet per ottenere l’accesso alle reti aziendali.

Come funziona il ransomware Cactus

Ottenuto l’accesso alla rete, gli attaccanti usano una backdoor SSH per avere controllo persistente sui dispositivi; Cactus, inoltre, fa uso di netscan per individuare i target più interessanti nella rete. Il ransomware utilizza anche tool come Splahtop e AnyDesk per ottenere accessi remoti multipli, e Cobalt Strike per comunicare col server Command and Control.

Cactus in seguito procede per ottenere i privilegi di amministratore e disinstallare i prodotti di sicurezza presenti nel dispositivo. Il ransomware è anche in grado di sottrarre dati e trasferirli nel cloud tramite il tool Rclone; dopo aver trasferito i dati, gli attaccanti utilizzato lo script TotalExec per automatizzare il processo di cifratura.

Al momento non si conoscono i dettagli sui tempi e le cifre imposti alle vittime, né è stato individuato un sito dove il gruppo pubblica le informazioni sottratte; tuttavia, gli attaccanti hanno previsto una nota in cui minacciano la vittima di pubblicare i dati se non viene pagato il riscatto.

Visto che finora il ransomware ha sfruttato le vulnerabilità delle VPN Fortinet, il consiglio è di aggiornare quanto prima i dispositivi con le patch di sicurezza del fornitore.