TeamPCP colpisce ancora: AstraZeneca, Databricks e il riscatto doppio

Quando il monitoraggio batte l'allarme

Le 3:47 del mattino. Luca ha il caffè freddo nella tazza con il logo sbiadito della sua azienda, quello che non riesce mai a trovare quando ha sonno. Lo schermo del SOC è l'unica luce in una stanza al terzo piano di un business park alle porte di Milano. Stava per chiudere il turno quando il crawler ha beccato qualcosa di nuovo sul forum underground 'Base'. Un post fresco, pubblicato 47 minuti fa. Titolo: "AstraZeneca - Complete Database".

Luca si è alzato in piedi. Non è un nome qualsiasi. È uno dei clienti più importanti della supply chain farmaceutica che la sua azienda serve. E quel post non era solo una minaccia. Erano link magnetici, screenshot di server interni, file PDF con intestazioni rosse che dicevano "Confidential - Clinical Trials Phase III".

Mentre chiamava il responsabile, un secondo alert ha illuminato il monitor. Stesso autore, stesso timestamp preciso. "Databricks - Investigation Update". TeamPCP aveva appena rilasciato l'update numero quattro della sua campagna contro la supply chain. E stavolta aveva giocato la carta del doppio riscatto. Luca ha sentito il ghiaccio nello stomaco: non stavano semplicemente cifrando i dati. Stavano dimostrando di avere accesso a due mondi diversi, due architetture tecnologiche, due imperi che credevano di essere separati.

La catena che si spezza

TeamPCP non è un gruppo che cerca la luce dei riflettori. Non ha il sito vistoso di altri ransomware gang, non fa proclami su Twitter. Opera come un pesce scuro: silenzioso, paziente, letale. Il loro modello di business si chiama "supply chain compromise", un termine che suona tecnico ma nasconde una verità semplice: è più facile rubare la chiave di casa del portinaio che scassinare la porta blindata del palazzo.

Negli ultimi due anni, i report di threat intelligence hanno evidenziato una crescita esponenziale di attacchi che non colpiscono direttamente il target finale, ma i vendor, i fornitori di servizi, le piattaforme intermedie. Databricks è un nome che pesa: gestisce analytics e dati per migliaia di aziende, tra cui molte Fortune 500. Se qualcuno entra lì, ha potenzialmente accesso a un tesoro di informazioni sensibili che non appartengono solo a Databricks, ma a tutti i suoi clienti.

AstraZeneca, dall'altro lato, rappresenta il Santo Graal per i ransomware: dati di ricerca farmaceutica, brevetti in fase di sviluppo, informazioni su pazienti, contratti con governi per vaccini e terapie. La combinazione di questi due target nell'update 004 non è casuale. Mostra che TeamPCP ha capito come muoversi tra il cloud analytics e i dati industriali, sfruttando le connessioni che queste aziende hanno tra loro attraverso partnership, condivisione dati e accessi condivisi.

La novità più inquietante è la tattica del "dual ransomware". Non si tratta di un singolo malware che cripta i file. Immagina di trovare la casa tua con la porta bloccata da due serrature diverse, ognuna con una chiave che costa un riscatto separato. O peggio: una serratura che si attiva quando provi a forzare l'altra. Questo approccio serve a massimizzare la pressione psicologica e tecnica sulle vittime, rendendo quasi impossibile un ripristino parziale o una difesa mirata.

Due pistole, un solo collo

Per capire come funziona questo attacco, dobbiamo entrare nella testa degli aggressori. TeamPCP non lancia spam a casaccio. Fa ricerca. Studia i rapporti commerciali, identifica chi ha accesso a chi. Nel caso dell'update 004, l'ipotesi più probabile è che l'ingresso sia avvenuto attraverso una email mirata, un spear-phishing indirizzato a un dipendente di un vendor terzo che lavora sia con Databricks che con AstraZeneca.

La prima fase è la ricognizione. I broker di accesso iniziali (IAB) vendono credenziali rubate o exploit per sistemi non aggiornati. TeamPCP compra queste chiavi d'ingresso e poi inizia a muoversi lateralmente. Non usano malware vistosi. Preferono strumenti legittimi già presenti nei sistemi, una tecnica chiamata "Living off the Land". PowerShell, strumenti di amministrazione remota, client VPN: tutto ciò che un amministratore usa ogni giorno diventa un'arma invisibile.

Una volta dentro l'ecosistema Databricks, il gruppo non ha attaccato subito. Ha fatto reconnaissance, ha mappato le connessioni verso AstraZeneca, ha identificato i bucket S3 o i database dove risiedevano i dati sensibili. Questa fase può durare settimane, a volte mesi. Il silenzio è la loro copertura.

Poi arriva la fase dell'exfiltrazione. Prima di cifrare qualsiasi cosa, rubano i dati. Terabyte di informazioni che vengono compressi, criptati e spediti fuori attraverso canali che sembrano traffico legittimo, magari durante l'orario lavorativo per mimetizzarsi nel rumore di fondo.

Finalmente, il "dual ransomware". TeamPCP deploya due famiglie di ransomware diverse, magari una per i sistemi Windows basati su cloud (come una variante di LockBit o Akira) e un'altra per ambienti Linux o containerizzati (come Hive o una versione customizzata). Perché due? Primo, perché se la vittima riesce a trovare un decryptor per uno, rimane bloccata dall'altro. Secondo, perché alcuni ransomware sono più efficaci su determinati tipi di storage o backup. Terzo, perché il doppio attacco crea un caos operativo totale, paralizzando i team di risposta che devono gestire due crisi simultanee.

L'ultimo step è la pubblicazione sui leak site. Se i riscatti non vengono pagati, o se semplicemente vogliono dimostrare la potenza dello stiletto, rilasciano i dati. È quello che è successo con AstraZeneca: non una minaccia, ma un dump reale, scaricabile da chiunque abbia il link.

Il conto da pagare

Le conseguenze di questo attacco si misurano su più livelli, tutti dolorosi. Per AstraZeneca, la perdita dei dati clinici di fase III non è solo un problema di privacy. È una minaccia concreta alla proprietà intellettuale, a anni di ricerca e investimenti miliardari. Se formule di farmaci in sviluppo finiscono nelle mani sbagliate, la competizione può replicarli, o peggio, sabotarli. E poi c'è il danno reputazionale: chi si fida di una farmaceutica che non riesce a proteggere i dati dei pazienti?

Per Databricks, il rischio è diverso ma altrettanto serio. Se la piattaforma è stata usata come vettore per colpire i clienti, la fiducia nell'ecosistema cloud vacilla. Aziende che hanno migrato i loro data lake su Databricks iniziano a chiedersi se non sia più sicuro tornare a server on-premise, nonostante i costi.

I costi diretti sono astronomiche: forensics, ricostruzione dei sistemi, legali per rispondere alle autorità GDPR (con multe che possono arrivare al 4% del fatturato globale), risarcimenti ai partner della supply chain che hanno subito danni indiretti. E poi c'è il costo nascosto: mesi di lavoro perso a ricostruire ambienti di sviluppo, a verificare che i dati siano integri, a rassicurare pazienti e investitori.

Rompere il circolo

Cosa si poteva fare per impedire che un singolo vendor compromettesse due giganti? La risposta non è una, ma un tessuto di contromisure che inizia molto prima del ransomware.

Primo: la segmentazione di rete. Se i sistemi di Databricks e quelli di AstraZeneca comunicano, devono farlo attraverso tunnel criptati e monitorati, con accessi temporanei e mai privilegi permanenti. Un vendor non deve poter vedere tutto, solo il minimo indispensabile per svolgere il suo lavoro.

Secondo: lo Zero Trust. Non fidarsi mai, verificare sempre. Ogni accesso, anche se proveniente da un indirizzo IP conosciuto o da un account che sembra legittimo, deve essere autenticato con MFA robusto e controllato per anomalie comportamentali.

Terzo: la gestione dei vendor. Audit continui, simulazioni di phishing sui fornitori stessi, clausole contrattuali che obbligano a notificare immediatamente qualsiasi compromissione. Molte aziende scoprono di essere state violate solo quando leggono la notizia su un blog di cybersecurity.

Quarto, e qui entra il cuore della prevenzione iniziale: la sicurezza dell'email. La maggior parte di questi attacchi inizia con una email che sembra un ordine di acquisto, una fattura, un invito a collaborare. Un sistema che analizza il contesto semantico dei messaggi e isola gli allegati in ambienti sandbox prima che arrivino alla casella dell'utente, come fa MailSniper, può bloccare la lancia di iniziale che apre il varco. Ma serve anche una strategia di backup immutable, conservati offline, che permetta di ripristinare i dati anche se i ransomware hanno cifrato tutto il resto.

Strumenti come MailSniper si integrano direttamente con Office 365 e Google Workspace per monitorare non solo l'inbound, ma anche l'outbound, rilevando quando un account compromesso inizia a spedire dati verso destinazioni sospette. È un pezzo del puzzle, non la foto completa.

Domande senza risposta

Quando Luca ha spento il monitor all'alba, dopo aver consegnato il report al responsabile della sicurezza, si è fermato un attimo a guardare il cielo che si schiariva. Si è chiesto quante altre aziende stessero in quel momento condividendo file su piattaforme cloud, convinte che la sicurezza fosse affare del provider. Quante catene di approvvigionamento si reggevano su un filo di email non verificate.

La domanda che rimane sospesa non è tecnica. È una questione di fiducia: quando un singolo click in una casella di posta di un fornitore terzo può mettere in pericolo la ricerca su farmaci salvavita, dove sta esattamente il punto di rottura della nostra interconnessione? TeamPCP tornerà con l'update 005. E la prossima volta, il caffè freddo potrebbe toccare a te.