“«Gli analisti hanno ricostruito che l’accesso iniziale è avvenuto sfruttando le credenziali VPN di un dipendente di Frosinone». Subito dopo «sono state stabilite connessioni da un altro computer con credenziali admin valide». A quel punto è stato facile inserire «una backdoor che consente facile accesso e il criptatore che cripta tutti i dati e attiva il ransomware».
Gli hacker, quindi, sono penetrati nel sistema usando username e password di un dipendente proprio come fa qualsiasi lavoratore che si trova in smart working. Tramite il RAT Emotet hanno creato una breccia che gli ha permesso di acquisire maggiori privilegi, e quindi infettato il sistema.
Sembra, inoltre, che l’account sfruttato per l’accesso nel sistema non fosse protetto con l’autenticazione a due fattori.
Attualmente la VPN resta ancora bloccata, come il sito di prenotazione dei vaccini della regione Lazio. Ma la cattiva notizia è che gli analisti hanno verificato che «i dati criptati non hanno ulteriori backup e pertanto se non si recupera la chiave non potranno essere ripristinati». Al momento comunque si sta lavorando per eradicare il virus «prima del ripristino dell’attività».”
