Accenture minimizza ma l'attacco ransomware c'è stato: cosa è successo?

Accenture, il gigante della consulenza tra i più giganti al mondo, è stato preso di mira da un gruppo ransomware (Lockbit2.0) che afferma di essere penetrato nelle difese dell'azienda e rilascerà una cache di dati rubati nelle prossime ore (ore 20:50 - in realtà il countdown sul sito di Lockbit2.0 è già terminato ma a causa di un bug del sito, i file non sono ancora disponibili per il download).

Secondo quanto riferito, gli hacker hanno utilizzato il ransomware Lockbit2.0 e si sono offerti di vendere le informazioni "insider" a chiunque fosse interessato. Un post sul sito onion del gruppo criminale (sul dark web) dice "Queste persone sono al di là della privacy e della sicurezza. Spero davvero che i loro servizi siano migliori di quelli che ho visto come insider. Se sei interessato ad acquistare alcuni database, contattaci". 

Secondo Le Parisien, il gruppo di criminali informatici Lockbit ha pubblicato la minaccia di svelare i dati sulla sua pagina Dark Web.

La conferma di Accenture

L'azienda ha confermato l'hacking e ha affermato di aver identificato l'attività irregolare e di aver immediatamente contenuto la questione isolando i server interessati.

Ovviamente dopo la conferma c'è stata una grave ripercussione anche economicamente sul fronte azionario che ha visto il titolo scendere proprio in quelle ore.

6 TB di file rubati con riscatto di 50 milioni di dollari

Nelle conversazioni intercorse dal team di ricerca di Cyble, la banda di ransomware LockBit afferma di aver rubato sei terabyte di dati da Accenture e chiede un riscatto di 50 milioni di dollari.

Gli autori delle minacce affermano di aver avuto accesso alla rete di Accenture tramite un "insider" aziendale.

Fonti vicine all'attacco hanno riferito a BleepingComputer che Accenture ha confermato l'attacco ransomware ad almeno un fornitore CTI e che il fornitore di servizi IT sta anche informando più clienti.

Inoltre, la società di intelligence sulla criminalità informatica Hudson Rock ha condiviso che Accenture aveva 2.500 computer compromessi appartenenti a dipendenti e partner:

UPDATE 19.08.2021 - 20.55 La trattativa continua

Dopo giorni seguiti da giorni di interminabili countdown, con ogni giornata che rimanda alla seguente, siamo arrivati al 19 agosto, che ancora non c'è un esito definitivo di questo leak: trattativa in corso?

Per il momento, l'ultimo conto alla rovescia dei criminali di Lockbit, è terminato da circa un'ora e mezza e il sito, nel quale devono essere pubblicati i dati riservati di Accenture, catturati durante l'attacco, è inaccessibile per errore di autenticazione: il gruppo criminale ha preventivamente impostato una password lato server di modo che nessuno possa accedere, in questa maniera è sicuro che evitano il DDos ormai quotidiano.

UPDATE 13.08.2021 - 23.50

L'appuntamento era per le 20.43 di questa giornata, come sempre andato a vuoto, stavolta anche rendendo inaccessibile il sito per diverse ore. LockBit torna online, ma con un nuovo countdown, stavolta più lungo delle solite 24 ore, il nuovo appuntamento è fissato per la serata del 15 agosto 2021.

UPDATE 12.08.2021 - 23.40

Un esempio di lista di file che sono stati pubblicati, anche se ancora non disponibili per il download a causa dell'ingente traffico sul sito. Un gist su Github è sicuramente più esplicativo.

WIN-ENVD/Z/ddd/dec/cisqj_decoded.docx,cisqj_decoded.docx,11.Aug.2021,194.25kBWIN-ENVD/Z/ddd/dec/cisqsecuritycompliancereport_decoded.docx,cisqsecuritycompliancereport_decoded.docx,11.Aug.2021,115.56kBWIN-ENVD/Z/ddd/dec/cisqsecuritydetailedreport_decoded.docx,cisqsecuritydetailedreport_decoded.docx,11.Aug.2021,117.90kBWIN-ENVD/Z/ddd/dec/cisqsecurityfulldetailedreport_decoded.xlsx,cisqsecurityfulldetailedreport_decoded.xlsx,11.Aug.2021,17.33kBWIN-ENVD/Z/ddd/dec/cisquj_decoded.docx,cisquj_decoded.docx,11.Aug.2021,125.76kBWIN-ENVD/Z/ddd/dec/clientcreationtemplate_decoded.xlsx,clientcreationtemplate_decoded.xlsx,11.Aug.2021,14.13kBWIN-ENVD/Z/ddd/dec/clientdc1_decoded.xlsx,clientdc1_decoded.xlsx,11.Aug.2021,9.77kBWIN-ENVD/Z/ddd/dec/clientdetailstemplate_decoded.xlsx,clientdetailstemplate_decoded.xlsx,11.Aug.2021,14.12kBWIN-ENVD/Z/ddd/dec/clientinstalls-fenergoinstallationguide8.6amber_decoded.pdf,clientinstalls-fenergoinstallationguide8.6amber_decoded.pdf,11.Aug.2021,421.94kBWIN-ENVD/Z/ddd/dec/clientinstalls-healthcheckguide8.6amber1_decoded.pdf,clientinstalls-healthcheckguide8.6amber1_decoded.pdf,11.Aug.2021,2.14MBWIN-ENVD/Z/ddd/dec/clientinstalls-prerequisitesguide8.6amber_decoded.pdf,clientinstalls-prerequisitesguide8.6amber_decoded.pdf,11.Aug.2021,401.63kBWIN-ENVD/Z/ddd/dec/clientinstalls-securityrecommendationsguide8.6amber_decoded.pdf,clientinstalls-securityrecommendationsguide8.6amber_decoded.pdf,11.Aug.2021,381.53kBWIN-ENVD/Z/ddd/dec/clientinstalls-troubleshootingguide8.6amber_decoded.pdf,clientinstalls-troubleshootingguide8.6amber_decoded.pdf,11.Aug.2021,812.58kBWIN-ENVD/Z/ddd/dec/clientnative_decoded.xlsx,clientnative_decoded.xlsx,11.Aug.2021,28.75kBWIN-ENVD/Z/ddd/dec/clientnativehelp_decoded.pdf,clientnativehelp_decoded.pdf,11.Aug.2021,1.25MBWIN-ENVD/Z/ddd/dec/clientsol1_decoded.xlsx,clientsol1_decoded.xlsx,11.Aug.2021,18.00MBWIN-ENVD/Z/ddd/dec/codeless_decoded.xls,codeless_decoded.xls,11.Aug.2021,42.00kBWIN-ENVD/Z/ddd/dec/commoditycodeupdate_decoded.xlsx,commoditycodeupdate_decoded.xlsx,11.Aug.2021,8.79kBWIN-ENVD/Z/ddd/dec/commontest-1.19.1_decoded.pdf,commontest-1.19.1_decoded.pdf,11.Aug.2021,646.49kBWIN-ENVD/Z/ddd/dec/comparisons_decoded.pdf,comparisons_decoded.pdf,11.Aug.2021,75.46kBWIN-ENVD/Z/ddd/dec/compiler-7.6.6_decoded.pdf,compiler-7.6.6_decoded.pdf,11.Aug.2021,70.91kBWIN-ENVD/Z/ddd/dec/completenessreport20210628083240_decoded.xlsx,completenessreport20210628083240_decoded.xlsx,11.Aug.2021,147.92kBWIN-ENVD/Z/ddd/dec/completenessreport20210707113750_decoded.xlsx,completenessreport20210707113750_decoded.xlsx,11.Aug.2021,22.26kBWIN-ENVD/Z/ddd/dec/completenessreport20210709092906_decoded.xlsx,completenessreport20210709092906_decoded.xlsx,11.Aug.2021,147.73kBWIN-ENVD/Z/ddd/dec/completenessreport20210719102839_decoded.xlsx,completenessreport20210719102839_decoded.xlsx,11.Aug.2021,23.42kBWIN-ENVD/Z/ddd/dec/completenessreport20210719124107_decoded.xlsx,completenessreport20210719124107_decoded.xlsx,11.Aug.2021,23.47kBWIN-ENVD/Z/ddd/dec/completenessreport20210721111035_decoded.xlsx,completenessreport20210721111035_decoded.xlsx,11.Aug.2021,24.35kBWIN-ENVD/Z/ddd/dec/completenessreport20210721131155_decoded.xlsx,completenessreport20210721131155_decoded.xlsx,11.Aug.2021,24.20kBWIN-ENVD/Z/ddd/dec/completenessreport20210727114411_decoded.xlsx,completenessreport20210727114411_decoded.xlsx,11.Aug.2021,23.78kBWIN-ENVD/Z/ddd/dec/concordance_decoded.pdf,concordance_decoded.pdf,11.Aug.2021,203.05kB

Il link originale al file e al progetto di scraping JS: https://gist.github.com/nuke86/eb18a8a6a3cf068219cdb03749eb1fd3

https://github.com/ka7ana/accenture_filelist

UPDATE 11.08.2021 - 23.40

Il conteggio è stato rinviato alla giornata di domani. Seconda pubblicazione, dopo che la prima era inaccessibile a causa dell'elevato traffico sul sito TOR. Vedremo se questa concessione di tempo è dovuta a trattative in corso con il gruppo ransomware.

UPDATE 11.08.2021 - 23:06

Al momento da quel poco che si è riuscito a leggere i file sembrano essere PowerPoint, casi di studio e citazioni, ma la piattaforma ha grossi rallentamenti causati dal traffico! Il mondo intero è collegato sul sito di Lockbit2.0 per avere aggiornamenti sul destino di Accenture.

Kevin Beaumont, capo del centro operativo di sicurezza per il gigante della vendita al dettaglio di moda con sede a Londra Arcadia Group, riferisce che la banda ha seguito alla lettera la sua minaccia e ha pubblicato i file.

---

Seguiranno aggiornamenti qui quando ci sarà la disponibilità dei file di esempio rubati, per capire di cosa si tratta.