VantaCore: gruppo pro-Ucraina rilancia con ransomware custom…

VantaCore, rebrand del gruppo pro-ucraino Thor, colpisce organizzazioni russe con un arsenale proprietario di ransomware e strumenti di accesso remoto. Il passaggio

Il gruppo ransomware VantaCore ha colpito almeno sette vittime in Russia utilizzando un intero stack di malware sviluppato internamente. L'arsenale include un ransomware proprietario, un loader per movimento laterale, una backdoor e un modulo di evasione antivirus. Secondo F6, azienda di sicurezza informatica russa, VantaCore è il rebrand di Thor, collettivo pro-ucraino attivo nel 2025 con almeno dodici attacchi attribuiti. Le richieste di riscatto raggiungono milioni di dollari.

Punti chiave

VantaCore ha preso di mira almeno sette organizzazioni russe con richieste di riscatto che raggiungono milioni di dollari, operando secondo il modello ransomware-as-a-service
Il gruppo impiega quattro strumenti proprietari: VantaCore ransomware per la criptazione, VantaCoreLoader per distribuzione e movimento laterale, VantaCoreRAT per accesso remoto e raccolta informazioni, e SnowKiller per disabilitare soluzioni antivirus
F6 considera VantaCore un rebrand di Thor, gruppo pro-ucraino attivo nel 2025 con almeno 12 attacchi attribuiti, ma non emerge una conferma definitiva sull'identità degli operatori
L'accesso iniziale avviene tramite VPN mal configurate, tool di accesso remoto, vulnerabilità in applicazioni esposte a internet e credenziali compromesse
Le tattiche sono valutate "largamente efficaci, sebbene né sofisticate né innovative" da F6

Da Thor a VantaCore: la ricostruzione di F6

Gli analisti di F6 hanno collegato VantaCore a Thor, gruppo pro-ucraino che nel 2025 ha accumulato almeno 12 attacchi attribuiti. La prima attività di VantaCore è stata rilevata in agosto 2026, ma il sito di leak del gruppo risale a giugno dello stesso anno. Questa timeline suggerisce un periodo di preparazione infrastrutturale di due mesi prima dell'operatività dichiarata.

La ricostruzione di F6 si ferma però al livello di "believe" e "rebrand": non è confermato che Thor e VantaCore condividano gli stessi operatori. Il dossier non specifica elementi di sovrapposizione infrastrutturale che colleghino inequivocabilmente i due gruppi. Questo limite è rilevante per chi traccia gli attori: il rebrand potrebbe nascondere fusioni, acquisizioni di toolset, o marketing tattico.

Il quartetto di VantaCore: come funziona l'arsenale proprietario

Il malware custom di VantaCore si articola in quattro componenti con funzioni distinte. VantaCore ransomware cripta dati su server e computer dei dipendenti. VantaCoreLoader si occupa della distribuzione del ransomware e del movimento laterale nella rete compromessa. VantaCoreRAT funge da backdoor per raccolta di informazioni, trasferimento di file ed esecuzione remota di comandi. SnowKiller completa il quadro disabilitando software di sicurezza, inclusi antivirus.

Questa architettura modulare è standard per il settore, ma la sua realizzazione interna è il dato nuovo. Secondo F6, le tattiche, tecniche e procedure del gruppo sono "largamente efficaci, sebbene né sofisticate né innovative". La parsimonia tecnica non impedisce il danno: l'accesso iniziale avviene attraverso superfici di attacco ben note. La successiva propagazione sfrutta la prevedibile scarsa segmentazione delle reti bersaglio.

Il modello RaaS e la monetizzazione

VantaCore opera come ransomware-as-a-service. La comunicazione con le vittime passa attraverso un servizio chat basato su Tor. Il gruppo mantiene un leak site per la pubblicazione dei dati rubati. Le richieste di riscatto raggiungono milioni di dollari, un livello che posiziona VantaCore nella fascia alta del mercato.

I dati sottratti possono essere pubblicati, venduti o riutilizzati per ulteriori operazioni contro obiettivi russi. Questa triplice opzione distingue VantaCore dai gruppi puramente finanziari: la componente geopolitica rimane presente, anche se subordinata al profitto. Il modello RaaS amplifica la portata: affiliati esterni possono condurre gli accessi iniziali, mentre VantaCore gestisce il brand, l'infrastruttura di leak e le negoziazioni.

"Researchers have seen some of these groups stop using widely available ransomware such as LockBit 3 Black and Babuk and instead build their own malware. The shift is partly driven by weaknesses found in those ransomware tools over time, as well as reluctance among pro-Ukrainian hackers to rely on software with Russian roots."

Il fenomeno più ampio: quando l'hacktivismo diventa industria proprietaria

L'emergere di VantaCore si inserisce in una riorganizzazione più ampia dei gruppi pro-ucraini che F6 ha osservato nel 2025-2026. Il passaggio da locker noti a malware custom ha due driver. Il primo è tecnico: debolezze riscontrate nel tempo in quegli strumenti. Il secondo è politico-culturale: la riluttanza a dipendere da software con radici russe.

Questo trend trova corroborazione convergente in un altro gruppo monitorato da F6, Bearlyfy, che ha colpito oltre 70 aziende russe con ransomware custom. Le prime richieste di riscatto di Bearlyfy si aggiravano intorno agli 80.000 euro. Bearlyfy e VantaCore sono entità distinte, ma la coesistenza di almeno due gruppi con la stessa strategia indica un mutamento strutturale dell'ecosistema, non un caso isolato.

Cosa fare adesso

Per le organizzazioni che operano in Russia o con supply chain russa, il dossier F6 suggerisce tre priorità di monitoraggio concrete. Primo: tracciare i rebrand di gruppi pro-ucraini come indicatore debolmente affidabile di continuità operativa, dato che identità, infrastrutture e toolset possono ricostruirsi rapidamente. Secondo: verificare la configurazione delle VPN e l'esposizione di applicazioni internet-facing, vettori documentati di accesso iniziale per VantaCore. Terzo: valutare la segmentazione di rete, poiché la propagazione del gruppo sfrutta la scarsa separazione tra ambienti aziendali.

Per i threat intelligence analyst, il punto critico è la singolarità della fonte primaria: F6 attraverso The Record. Nessun altro vendor ha corroborato indipendentemente i dettagli tecnici di VantaCore. Il dossier non documenta nomi di vittime, settori colpiti, dimensioni aziendali, né indicatori di compromissione condivisibili. L'attribuzione a Thor resta un'ipotesi di lavoro, non una certezza operativa.

Domande frequenti

VantaCore è collegato al governo ucraino?

La fonte parla di "pro-Ukrainian hackers", non di legame istituzionale con il governo ucraino o le forze armate. Non emergono nel dossier elementi che colleghino il gruppo a strutture statali.

Perché il gruppo ha abbandonato LockBit e Babuk?

Secondo F6, il passaggio a malware custom è spinto da debolezze tecniche riscontrate in quei locker nel tempo, e dalla riluttanza degli operatori a usare software con origini russe.

Il malware è sofisticato?

No. F6 lo valuta esplicitamente "né sofisticato né innovative", pur riconoscendone l'efficacia operativa. La pericolosità deriva dalla combinazione di accesso iniziale, persistenza e monetizzazione, non dall'eccellenza tecnica.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

Fonti e riferimenti

Ricevi DeafLetter