I gruppi ransomware ampliano le tattiche con la vulnerabilità Citrix, il BYOVD e l’accesso alla supply chain

I ricercatori di cybersecurity stanno monitorando un insieme sempre più ampio di tecniche utilizzate dagli operatori ransomware, tra cui lo sfruttamento di una recente falla Citrix, l’abuso di strumenti legittimi di amministrazione remota e le collaborazioni basate sulla compromissione della supply chain.

Secondo Arctic Wolf, gli affiliati legati all’operazione ransomware Anubis hanno utilizzato Citrix Bleed 2, tracciato come CVE-2025-5777, per ottenere l’accesso iniziale alle reti delle vittime. Il gruppo è stato inoltre osservato mentre utilizzava credenziali VPN valide, la cui origine esatta non è chiara. Gli analisti hanno affermato che tali credenziali potrebbero essere state ottenute tramite precedenti intrusioni, credential stuffing, log di information stealer o broker di accesso.

Una volta all’interno, gli aggressori si sarebbero affidati a comuni software di amministrazione come ScreenConnect, Zoho Assist, MeshAgent, Remotely, UltraVNC e Total Software Deployment per mantenere l’accesso e confondersi con la normale attività IT. Gli investigatori hanno inoltre osservato l’uso di RDP, SMB, PsExec e strumenti di trasferimento cloud per muoversi lateralmente ed esfiltrare dati prima della distribuzione del ransomware. In alcuni casi, i difensori hanno rilevato tentativi di disabilitare gli strumenti di sicurezza, cancellare i log e ostacolare la risposta agli incidenti.

Altri gruppi RaaS utilizzano metodi simili

Kaspersky ha descritto separatamente attività collegate al gruppo ransomware The Gentlemen, che ha utilizzato credenziali rubate o deboli insieme a vulnerabilità note per violare i sistemi bersaglio. I ricercatori hanno affermato che il gruppo ha distribuito una backdoor basata su Go in grado di raccogliere informazioni sul sistema, inviarle a un server esterno ed eseguire comandi oppure creare un proxy SOCKS per consentire ulteriori spostamenti nella rete.

Expel ha inoltre riferito che The Gentlemen ha sfruttato una vulnerabilità zero-day in un driver di terze parti, ktapi.sys, nell’ambito di una strategia bring-your-own-vulnerable-driver, o BYOVD. Questo approccio può garantire agli aggressori un accesso a livello kernel e consentire loro di disabilitare prodotti di sicurezza protetti di diversi fornitori.

L’accesso alla supply chain sta diventando parte del modello ransomware

Un altro sviluppo riguarda la collaborazione tra VECT e TeamPCP, che secondo Sophos è stata concepita per trasformare le compromissioni della supply chain in opportunità ransomware. La collaborazione sembra mirare a monetizzare le infezioni legate agli attacchi alla supply chain di Trivy e LiteLLM. Precedenti resoconti avevano inoltre collegato TeamPCP al marchio CipherForce, prima che il gruppo cambiasse nome nel 2026.

• Citrix Bleed 2 viene utilizzato per ottenere l’accesso iniziale
• Gli strumenti legittimi di accesso remoto aiutano gli aggressori a rimanere nascosti
• Il BYOVD rimane un metodo rapido per indebolire le difese degli endpoint
• Le compromissioni della supply chain alimentano sempre più le operazioni ransomware

I ricercatori affermano che il tema comune a queste campagne è la persistenza: gli attori delle minacce combinano accessi validi, strumenti affidabili e molteplici percorsi di intrusione per ridurre la probabilità di rilevamento e aumentare la pressione sulle vittime.