Hacking Cat distribuisce Gorilla RAT e Monkey Ransomware contro obiettivi russi

Le operazioni filo-ucraine si spostano verso la distruzione dei dati

I ricercatori di Kaspersky hanno collegato due famiglie di malware documentate di recente a Hacking Cat, un gruppo hacktivista filo-ucraino che dal febbraio 2024 circa prende di mira organizzazioni russe.

Inizialmente il gruppo si concentrava sul deturpamento di siti web e sul furto di dati. Entro l’estate 2025, tuttavia, le sue operazioni hanno iniziato a includere sempre più spesso la cifratura dei file delle vittime o la distruzione completa dei dati, secondo i risultati della ricerca.

Tra i malware identificati figurano Gorilla RAT, uno strumento di accesso remoto dotato di funzionalità di tunneling di rete, e Monkey Ransomware, un cifratore di file che aggiunge l’estensione .monkey ai dati interessati. Sui sistemi compromessi durante operazioni attribuite a Hacking Cat sono comparse diverse varianti di Monkey.

I ricercatori hanno inoltre osservato il wiper Nemo durante un attacco congiunto condotto da Hacking Cat e dalla Ukrainian Cyber Alliance. Il suo scopo apparente era interrompere le operazioni e provocare la perdita permanente dei dati, non ottenere pagamenti di riscatto.

Le organizzazioni colpite sono principalmente enti russi o organizzazioni che operano in territori occupati dalla Russia. Non sono stati divulgati l’elenco completo delle vittime, il numero di sistemi compromessi né l’entità della conseguente perdita di dati.

Gorilla RAT apre varchi nelle reti interne

Gorilla RAT è uno strumento di accesso remoto non documentato in precedenza, in grado di instradare il traffico di rete attraverso un sistema infetto. Questo offre all’operatore una possibile via dal dispositivo inizialmente compromesso verso altri servizi o macchine non direttamente raggiungibili da Internet.

Il tunneling modifica il ruolo del primo dispositivo infettato. Invece di fungere soltanto da punto di sorveglianza, può diventare un intermediario per esplorare i segmenti interni della rete e raggiungere altri sistemi.

In alcuni incidenti attribuiti al gruppo, gli aggressori hanno prima compromesso server Microsoft Exchange e poi installato Gorilla RAT. Non sono note le specifiche vulnerabilità di Exchange sfruttate per ottenere l’accesso iniziale. Non sono stati divulgati identificativi CVE, edizioni di Exchange interessate o versioni vulnerabili precise.

Questa lacuna limita le attività di rilevamento e correzione basate su vulnerabilità specifiche. I responsabili dei sistemi non possono stabilire, sulla base dei soli risultati disponibili, se gli aggressori abbiano sfruttato una vulnerabilità scoperta di recente, una vulnerabilità più vecchia non corretta o una debolezza di configurazione.

L’esposizione generale, tuttavia, è evidente. Un server Exchange esposto a Internet può fornire sia un punto d’ingresso sia una posizione persistente all’interno dell’organizzazione, se è vulnerabile o protetto in modo inadeguato.

Kaspersky non ha divulgato hash, nomi di file, infrastrutture di comando e controllo o dettagli del protocollo relativi a Gorilla RAT. I team di difesa devono quindi cercare comportamenti sospetti, senza affidarsi esclusivamente a indicatori statici. Tra i segnali rilevanti figurano connessioni in uscita non giustificate dai sistemi Exchange, traffico insolito simile a quello di un proxy e accessi da un server di posta a risorse interne che normalmente non contatta.

Monkey Ransomware si è evoluto attraverso diverse implementazioni

Monkey Ransomware è comparso per la prima volta tra la fine dell’estate e l’inizio dell’autunno 2025. Nei mesi successivi, i suoi operatori lo hanno modificato ripetutamente, producendo versioni scritte in diversi linguaggi di programmazione.

Il malware cifra i dati degli utenti e contrassegna i file interessati con l’estensione .monkey. Sono state recuperate più varianti da ambienti compromessi, a indicare uno sviluppo continuo anziché l’impiego di una singola build statica.

Kaspersky ha valutato che la rapidità e l’ampiezza di questi cambiamenti potrebbero riflettere l’uso dell’IA generativa. Un modello potrebbe aiutare a riscrivere funzioni, tradurre il codice tra diversi linguaggi o generare implementazioni alternative più rapidamente di un piccolo team al lavoro manualmente.

Si tratta comunque di una valutazione, non di una prova. Un’iterazione rapida potrebbe anche derivare da sperimentazioni tradizionali, dal riutilizzo di codice esistente o dal lavoro di più sviluppatori. Non sono state divulgate prove dirette che dimostrino che Hacking Cat abbia inserito prompt in un servizio di IA o integrato codice generato da un modello.

La distinzione è importante per comprendere la capacità di sviluppo, ma non modifica la risposta agli incidenti. Indipendentemente dal modo in cui sono state create, le riscritture frequenti possono ridurre l’efficacia del rilevamento basato sulle firme e complicare il confronto tra i campioni.

Le informazioni disponibili non specificano l’algoritmo di cifratura di Monkey, la gestione delle chiavi, il formato della nota di riscatto né se sia tecnicamente possibile recuperare i file. Non è inoltre chiaro se i suoi operatori dispongano di un processo di decrittazione affidabile per le vittime che pagano.

Nemo Wiper indica obiettivi che vanno oltre l’estorsione

L’attività di Hacking Cat non può essere considerata esclusivamente come ransomware motivato da ragioni finanziarie. I ricercatori hanno osservato Nemo Wiper in un’operazione congiunta con la Ukrainian Cyber Alliance, valutando che il malware fosse destinato a distruggere informazioni e interrompere il funzionamento delle infrastrutture.

A giugno, in un anno non reso noto, i due gruppi hanno condotto un attacco distruttivo contro Donbassteploenergo. Il fornitore statale di servizi di riscaldamento opera in aree della regione ucraina di Donetsk occupate dalla Russia.

Un wiper comporta un rischio diverso da quello del ransomware tradizionale. La cifratura usata per l’estorsione lascia teoricamente aperta la possibilità di decrittazione, anche se il pagamento non garantisce mai il recupero dei dati. Un malware distruttivo può invece sovrascrivere o corrompere le informazioni senza preservare alcun meccanismo pratico di ripristino.

Hacking Cat ha inoltre collaborato con il gruppo filo-ucraino Cyber Anarchy Squad. A marzo, anche in questo caso senza indicazione dell’anno, i gruppi hanno rivendicato la compromissione di un appaltatore che supporta Rosatom, la società statale russa per l’energia nucleare. Non sono noti i dettagli sul metodo di accesso iniziale, sui sistemi compromessi e sugli effetti operativi.

Queste collaborazioni indicano che le campagne possono combinare accesso, strumenti e rivendicazioni pubbliche provenienti da più attori. Una singola intrusione può quindi coinvolgere più di un gruppo e più di un obiettivo.

La condivisione dei malware rende incerta l’attribuzione

L’attribuzione di Kaspersky non è unanimemente accettata. In un messaggio su Telegram, Hacking Cat ha riconosciuto la paternità di alcuni strumenti, ma ha negato che i ransomware locker appartenessero al gruppo. Ha accusato i ricercatori di aver riunito erroneamente malware di attori non collegati e ha contestato alcuni aspetti del loro lavoro di reverse engineering.

I ricercatori hanno inoltre trovato lo stesso malware in operazioni associate a gruppi distinti. In alcuni casi, attori diversi sembravano utilizzare catene di infezione articolate in più fasi, ma identiche.

Una possibile spiegazione è uno sviluppo centralizzato o semi-centralizzato. Un singolo programmatore o un piccolo team di sviluppo potrebbe creare e gestire strumenti successivamente distribuiti a diversi gruppi hacktivisti filo-ucraini.

Questo modello renderebbe meno netta la distinzione tra sviluppatori e operatori. La presenza di una determinata famiglia di malware sul sistema di una vittima non identificherebbe necessariamente il gruppo che ha selezionato l’obiettivo, condotto l’intrusione o controllato l’infrastruttura.

La condivisione degli strumenti aumenta inoltre il rischio di attribuzioni circolari. Gli investigatori potrebbero associare un malware a un gruppo sulla base di un incidente precedente e usare poi quell’associazione per attribuire attacchi successivi, anche dopo che lo strumento è passato ad altri operatori.

I risultati disponibili sostengono quindi un’associazione tra Hacking Cat, le campagne osservate e alcuni strumenti personalizzati, ma non dimostrano la proprietà esclusiva di ogni variante di Monkey Ransomware.

Gli operatori di Exchange devono cercare attività successive alla compromissione

Per queste campagne non sono state pubblicate istruzioni formali di mitigazione né indicatori specifici del fornitore. Le organizzazioni che gestiscono Microsoft Exchange dovrebbero iniziare installando gli aggiornamenti di sicurezza supportati e verificando che i server accessibili dall’esterno non siano privi delle patch pertinenti del fornitore.

Poiché le vulnerabilità sfruttate e le versioni interessate restano sconosciute, l’applicazione delle patch, da sola, non deve essere considerata una prova che un sistema non sia mai stato compromesso. I responsabili dei sistemi dovrebbero esaminare le attività storiche di Exchange, i registri di autenticazione, gli account creati di recente e i processi avviati dai componenti del server di posta.

L’accesso alle interfacce di gestione dovrebbe essere limitato laddove possibile dal punto di vista operativo. Le connessioni inattese dagli host Exchange verso i sistemi interni meritano un’analisi, soprattutto quando presentano caratteristiche di tunneling, proxy o movimento laterale.

I team di difesa dovrebbero inoltre cercare su endpoint e file server file che terminano con .monkey, modifiche massive ai file prive di spiegazione e attività di cifratura simultanee in più directory. I sistemi di backup devono essere verificati separatamente, per assicurarsi che gli aggressori non abbiano cancellato o corrotto le copie di ripristino.

Un potenziale comportamento da wiper richiede un isolamento rapido. Tra gli indicatori figurano scritture distruttive su larga scala, corruzione improvvisa dei file, cancellazione dei materiali necessari al ripristino e interruzioni coordinate su più macchine.

L’approccio difensivo più efficace consiste nel collegare questi segnali, anziché analizzarli singolarmente. Attività sospette su Exchange seguite da tunneling interno, distribuzione di software di accesso remoto sconosciuto e modifiche diffuse ai file possono rivelare l’intera catena d’intrusione prima che la cifratura o la distruzione raggiungano il resto della rete.