Il Symantec Threat Hunter Team ha rivelato una nuova famiglia ransomware denominata Spirals, scritta in Rust, impiegata in un attacco di double extortion contro un'azienda di servizi IT in Sud Asia nel giugno 2026. Il deployment completo è avvenuto in meno di 24 ore dall'accesso iniziale. La velocità operativa e la sofisticazione tecnica del payload sfidano i parametri convenzionali di detection e response.
- Spirals è una famiglia ransomware in Rust con crittografia ibrida ECDH P-256 per il wrapping delle chiavi e AES-128 per i file, con ottimizzazione su file superiori a 5 MB.
- L'accesso iniziale è avvenuto tramite web shell ASP.NET su server IIS esposto a Internet; in tre ore l'attaccante ha stabilito persistenza, disabilitato endpoint security e dumpato credenziali.
- Il deployment di dominio via PsExec come SYSTEM, il 17 giugno 2026, ha colpito oltre una dozzina di macchine in circa 30 minuti con payload distribuito anche tramite directory SYSVOL.
- L'analisi Symantec documenta otto hash SHA256 di IoC e tre canali di comando e controllo: reverse-SOCKS, Cloudflare Tunnel e Chisel, tutti installati nei primi dieci minuti dell'attività malevola.
La cronologia di un attacco chirurgico: 16-17 giugno 2026
La prima attività malevola è stata osservata il 16 giugno 2026 alle 22:21 ora locale. Gli attaccanti avevano compromesso un server IIS esposto a Internet e caricato una web shell ASP.NET. Da lì, hanno avviato una sessione hands-on-keyboard tramite cmd.exe e powershell.exe eseguiti dal processo IIS worker.
In tre ore consecutive, l'attore ha completato una sequenza precisa: bypass UAC per l'escalation locale, abilitazione RDP, creazione di un account locale, dump della SAM hive in un archivio protetto da password e dump LSASS su multiple macchine tramite rundll32.exe e comsvcs.dll. Parallelamente, ha disinstallato software di sicurezza endpoint e distribuito tre tool di tunneling: tunn.exe, revsocks.exe e Chisel, quest'ultimo rinominato chrome.exe per il mascheramento.
Il movimento laterale WMI è iniziato alle 23:33 dello stesso giorno, con targeting di oltre una dozzina di macchine. Il giorno successivo, alle 14:12, è iniziato il deployment massivo via PsExec come SYSTEM. La finestra si è chiusa intorno alle 14:44, con un ritmo superiore a una nuova macchina ogni pochi secondi. Il payload PowerShell, codificato in base64, disabilitava Windows Defender e terminava 23 servizi di backup, database e virtualizzazione prima dell'esecuzione del ransomware vero e proprio.
"Less than 24 hours after the initial breach, the ransomware payload was being pushed to machines on the network." — Symantec Threat Hunter Team
Il payload Rust: crittografia ibrida e ottimizzazione delle performance
Il payload di Spirals è scritto in Rust, un linguaggio che offre performance vicine al C con garanzie di sicurezza della memoria. La scelta tecnica non è neutra: il codice compilato in Rust è più difficile da analizzare rispetto a payload tradizionali in C++ o .NET, e la mancanza di runtime pesante riduce la superficie di rilevamento.
La crittografia implementa uno schema ibrido. Ogni file riceve una chiave AES-128 generata per file, wrappata con una chiave pubblica ECDH P-256 controllata dall'attaccante. Questa architettura elimina la necessità di trasmettere la chiave simmetrica in chiaro: solo il possessore della chiave privata ECDH corrispondente può recuperare le chiavi AES e decifrare i dati. Per i file superiori a 5 MB, il ransomware applica una crittografia intermittente su chunk con jitter, una tecnica che massimizza la velocità di esecuzione mantenendo l'inefficienza del ripristino senza chiave.
Il payload eseguibile è stato rinominato bitsadmin.exe per mimetizzarsi come utility Windows legittima. La nota di riscatto è stata posizionata in C:\RECOVERY\_SECTION.log, con una minaccia esplicita: pubblicazione dei dati rubati dopo sei giorni in assenza di pagamento. Il sito onion per le negoziazioni identifica il ransomware con il nome "Spirals".
La persistenza multi-canale e il posizionamento in SYSVOL
L'attaccante ha costruito una robusta infrastruttura di persistenza e C2 già nella fase iniziale. Oltre ai tre tool di tunneling distribuiti nei primi dieci minuti, l'analisi documenta un reverse-SOCKS proxy su un IP esterno porta 443 e un tunnel Cloudflare rinominato per evitare rilevamenti basati su firme. Il payload e i tool sono stati stagiati da un IP esterno e due domini dedicati, con mascheramento dell'estensione in .jpg.
Un elemento particolarmente rilevante per gli ambienti Active Directory è il posizionamento del payload nella directory SYSVOL, nello specifico nella cartella domain scripts, e in share di domain controller. Questa scelta abilita la replica automatica del payload a tutti i controller di dominio, trasformando l'infrastruttura AD stessa in vettore di propagazione.
Il token impersonation tool (tokens.exe) è stato eseguito per acquisire privilegi elevati, completando una catena di evasione che va dall'accesso web a SYSTEM su tutto il dominio in meno di un giorno.
Cosa fare adesso
Le implicazioni per le difese enterprise sono concrete e immediate. La velocità dell'attacco documentato—tre ore per la preparazione dell'ambiente, meno di 24 per il deployment totale—è significativamente inferiore ai tempi medi di detection e containment riportati nei benchmark di incident response. Questa asimmetria richiede un riposizionamento degli investimenti difensivi.
- Monitorare l'esecuzione di PsExec, WMI e PowerShell encoded da host non amministrativi, con alerting su pattern di movimento laterale a burst.
- Restringere l'uso di tool di amministrazione remota tramite liste di controllo degli accessi e whitelisting applicativa, impedendo l'esecuzione come SYSTEM da parte di account non autorizzati.
- Ispezionare regolarmente il contenuto di SYSVOL e delle share di dominio per file non autorizzati, con particolare attenzione a eseguibili mascherati o rinominati.
- Implementare rilevamento comportamentale su processi IIS worker che spawnano cmd.exe o powershell.exe, indicatore di compromissione web server.
Lettura: quando la metrica diventa la minaccia
Spirals non introduce vulnerabilità zero-day o exploit inediti. La sua pericolosità risiede nella professionalizzazione della velocità: l'attaccante ha trattato il deployment ransomware come un'operazione logistica, con enumerazione AD precoce che ha generato una target list pronta per l'esecuzione parallela. La tecnica non è nuova, ma la compressione temporale sì.
L'uso di Rust, la crittografia ibrida con curve ellittiche standard NIST, il posizionamento in SYSVOL e il mascheramento sistematico dei nomi dei processi indicano un livello di preparazione che non richiede un gruppo threat actor noto o una piattaforma RaaS consolidata. L'identità dell'attore resta sconosciuta allo stato attuale, e non emergono sovrapposizioni infrastrutturali con campagne documentate in precedenza.
Il dossier non specifica se la vittima abbia pagato il riscatto o se i dati siano stati effettivamente pubblicati, né l'entità della somma richiesta. Questi limiti non attenuano il valore dell'analisi: il caso Spirals documenta una soglia operativa che le difese tradizionali, ancora ancorate a metriche di rilevamento espresse in giorni, non sono strutturate a contenere.
Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.
Fonti
- https://www.broadcom.com/support/security-center/protection-bulletin/spirals-new-stealthy-ransomware-deployed-against-asian-it-company
- https://radar.offseq.com/threat/spirals-new-stealthy-ransomware-deployed-against-a-66e64dea6bf45ffb
- https://www.security.com/threat-intelligence/ransomware-spirals-extortion
- https://radar.offseq.com/
- https://radar.offseq.com/threats
- https://radar.offseq.com/pricing
- https://radar.offseq.com/console