Analisi Ransomware Benzona

Nel novembre 2025, è emerso un nuovo sofisticato ceppo di ransomware noto come Benzona, che si è rapidamente fatto un nome prendendo di mira organizzazioni in Europa, Asia e Africa occidentale. Operando su un modello Ransomware-as-a-Service (RaaS), Benzona impiega tattiche aggressive di doppia estorsione, minacciando di divulgare dati sensibili se le sue richieste non vengono soddisfatte.

Questa analisi tecnica scompone la catena di attacco di Benzona, gli Indicatori di Compromissione (IOC) e le strategie di difesa attuabili per i professionisti della sicurezza.

La Catena di Attacco Benzona

Benzona segue un ciclo di vita dell'attacco strutturato progettato per massimizzare l'impatto e ostacolare il recupero.

1. Accesso Iniziale ed Esecuzione

Gli aggressori ottengono tipicamente l'ingresso tramite campagne di phishing, credenziali compromesse o sfruttando vulnerabilità non patchate in applicazioni pubbliche. Una volta dentro, il ransomware utilizza:

Iniezione di Processo (T1055): Inietta codice dannoso in processi legittimi per eludere il rilevamento.
Interpreti di Scripting (T1059): Sfrutta PowerShell per eseguire comandi e disabilitare i controlli di sicurezza.

2. Evasione e Persistenza

Per mantenere l'accesso ed evitare il rilevamento antivirus, Benzona:

Disabilita il Recupero: Esegue comandi per eliminare le Copie Shadow del Volume (vssadmin.exe Delete Shadows /All /Quiet) e rimuovere i punti di Ripristino Windows.
Termina i Processi: Uccide il software di sicurezza e i processi di virtualizzazione per impedire l'analisi e assicurare che i file non siano bloccati durante la crittografia.
Modifica il Registro: Altera le chiavi di registro per garantire la persistenza attraverso i riavvii.

3. Crittografia ed Esfiltrazione (Doppia Estorsione)

Benzona utilizza forti algoritmi crittografici per bloccare i file delle vittime.

Estensione File: Ai file crittografati viene aggiunta l'estensione .benzona (es. rapporto_finanziario.pdf.benzona).
Furto di Dati: Prima della crittografia, il malware esfiltra dati sensibili verso un server di comando e controllo (C2). Questi dati rubati sono la leva per la seconda fase dell'estorsione.

4. La Nota di Riscatto

Dopo che la crittografia è completa, una nota di riscatto intitolata RECOVERY_INFO.txt viene lasciata nelle directory interessate. La nota contiene tipicamente:

Un avvertimento che i file sono crittografati e i dati sono stati rubati.
Una minaccia di pubblicare i dati se il riscatto non viene pagato entro 72 ore.
Istruzioni per scaricare il Tor Browser e visitare uno specifico portale di chat .onion per la negoziazione.

Indicatori di Compromissione (IOC)

I team di sicurezza dovrebbero scansionare i seguenti indicatori per rilevare l'attività di Benzona.

Indicatori File

Estensione: .benzona
Nota di Riscatto: RECOVERY_INFO.txt

Indicatori di Rete

Portale Chat Tor: http://rwsu75mtgj5oiz3alkfpnxnopcbiqed6wllyoffpuruuu6my6imjzuqd.onion/
Sito Leak: http://benzona6x5ggng3hx52h4mak5sgx5vukrdlrrd3of54g2uppqog2joyd.onion

Hash File (SHA-256)

09f7432834ce15e701aa7fcc84a9c2441c1c7e0a9cb66a6211845be73d2597cc
1c895eeb1d6ab9e5268759558c765b93f4c183557cb2c457857b91532ac61982

Strategie di Difesa e Mitigazione

Al momento non esiste un decryptor gratuito disponibile per il ransomware Benzona. La prevenzione e la risposta rapida sono le tue uniche difese.

Backup Immutabili: Assicurati di avere backup offline e immutabili. Benzona prende di mira ed elimina i backup online e le copie shadow.
Gestione delle Patch: Dai priorità al patching dei sistemi esposti a internet per prevenire l'accesso iniziale.
Segmentazione di Rete: Limita il movimento laterale segmentando le reti critiche.
Endpoint Detection and Response (EDR): Distribuisci soluzioni EDR configurate per bloccare l'iniezione di processi e le modifiche di file di massa.
Formazione Utenti: Conduci simulazioni di phishing per educare i dipendenti a riconoscere le email dannose.

Verificare i backup prima che servano: il test di ripristino

Un backup immutabile non dimostra nulla finché non viene ripristinato. La regola 3-2-1 (tre copie, due supporti diversi, una copia offline) va completata con una "1": un test di ripristino regolare. La procedura minima che raccomandiamo:

Frequenza: trimestralmente, ripristinare un campione casuale di file e una macchina virtuale completa in una rete isolata (una VLAN di test senza accesso a Internet e senza credenziali di dominio).
Verifica dei contenuti: aprire i file ripristinati con le applicazioni reali e confrontare i checksum con quelli registrati al momento del backup. Un backup che si apre con errori è compromesso quanto uno assente.
Misura dell'RTO reale: cronometrare le ore effettive necessarie per riportare in produzione un server critico: scheda di rete, driver, applicazioni, autenticazione. La differenza tra l'RTO dichiarato nel piano di continuità e quello misurato si scopre quasi sempre solo durante un incidente: meglio misurarla adesso.
Prova di immutabilità: tentare di eliminare o sovrascrivere una copia vecchia di una settimana: l'operazione deve fallire. Se riesce, il backup non è immutabile e resta nel raggio d'azione del ransomware.
Errore ricorrente: il backup raggiungibile con le stesse credenziali di amministratore di dominio dei server di produzione. Benzona e i ceppi analoghi enumerano proprio le condivisioni di backup e le appliance che accettano il login di dominio. Un account dedicato, con password mai riusata altrove, è la contromisura meno costosa dell'intera strategia.

Le prime 24 ore dopo l'attacco: procedura operativa per la vittima

Ordine cronologico consigliato al personale IT di un'organizzazione colpita, prima dell'arrivo dei professionisti:

Isolare senza spegnere: scollegare i cavi Ethernet e disattivare il Wi-Fi dei sistemi interessati, ma non spegnere e non riavviare. L'arresto distrugge la memoria volatile da cui i forensi ricostruiscono i comandi eseguiti e le chiavi temporanee residue.
Preservare le prove: copiare su un supporto esterno la nota RECOVERY_INFO.txt, due o tre file .benzona di piccola dimensione e un'esportazione dei log del pannello EDR. Non "ripulire" nulla: ogni elemento cancellato peggiora la ricostruzione a cura degli investigatori.
Segnalare in Italia: presentare un esposto alla Polizia Postale e registrare la segnalazione sulla piattaforma del CSIRT dell'ACN. Per gli enti rientranti nell'ambito NIS2 (D.Lgs. 138/2024), la prima segnalazione all'ACN va fatta entro 24 ore e quella definitiva entro 72 ore: esattamente la finestra che la nota di riscatto impone, un dettaglio da tenere presente nella pianificazione.
Attivare l'assicurazione cyber, se presente: molte polizze richiedono la comunicazione entro finestre brevissime e forniscono un pannello di risposta incidente; notificarla in ritardo può precludere la copertura.
Sospendere, non distruggere: congelare i servizi più rischiosi (VPN, RDP, account di servizio) invece di reinstallare immediatamente: la reinstallazione cancella il punto d'ingresso che i forensi devono identificare per potere escludere una re-infezione.

Caccia agli IOC: come cercare Benzona nella propria rete

Un indicatore diventa utile solo se viene cercato attivamente. Flusso operativo consigliato durante la campagna in corso e per il threat hunting retroattivo:

Endpoint: distribuire i due hash SHA-256 indicati nelle regole di blocco dell'EDR e pianificare una scansione retroattiva sull'intera flotta.
SIEM: interrogare il campo della command line dei processi con Delete Shadows /All, analizzando una finestra retroattiva di almeno 90 giorni di log. Un solo hit va trattato come intrusione confermata, non come falso positivo da archiviare.
Filesystem: enumerare le condivisioni e i volumi utente alla ricerca dell'estensione .benzona e del file RECOVERY_INFO.txt con strumenti amministrativi usati dall'esterno della zona colpita, non dagli endpoint di produzione.
Rete: nei log DNS e nei proxy, cercare connessioni verso i due domini .onion elencati sopra: da workstation aziendali sono praticamente sempre fonte di allerta.
Prioritizzazione: se l'hunting restituisce centinaia di risultati (accade con l'estensione, generata a valle), partire dai sistemi con privilegi elevati: domain controller, server di backup, postazioni degli amministratori.

Quanto costa davvero: ripristino senza riscatto

Le cifre variano con la dimensione dell'organizzazione e la qualità dei backup; le seguenti sono gamme indicative osservate su incidenti di PMI italiani e servono a pianificare il budget, non come preventivi:

Recupero con backup integri e verificati: da 15.000 a 60.000 euro tra sanizzazione dei sistemi, ricostruzione dei server e assistenza forense, con un fermo operativo di 3–7 giorni. È quasi sempre la via più economica se i backup superano il test descritto in precedenza.
Recupero senza backup: la ricostruzione ex novo (analisi forense, reinstallazione, ricomposizione dei dati manualmente) si misura in settimane e può superare i 100.000 euro già per un'azienda da 50 dipendenti, senza contare i ricavi persi durante il fermo.
Prevenzione annuale di una PMI da 50–100 dipendenti: EDR per endpoint (decine di euro a postazione/anno), appliance di backup immutabile da 3.000 a 10.000 euro ammortizzabili in 3–5 anni, patch management centralizzato e simulazioni di phishing periodiche. L'insieme compete tipicamente con il costo di un solo giorno di fermo: è questa la leva decisionale da portare al management.

Checklist dei 30 giorni successivi alla sanizzazione

La chiusura dell'incidente non coincide con l'ultimo server ricostruito. Nel mese successivo:

Credenziali: ruotare tutte le password degli account amministrativi e di servizio, revocare i refresh token degli strumenti cloud e le sessioni attive.
Vettore d'ingresso: applicare la patch o rimuovere la credenziale compromessa che ha permesso l'accesso iniziale; l'incidente non è chiuso se la porta resta com'era.
Active Directory: revisionare gli account creati nel periodo sospetto, l'appartenenza ai gruppi privilegiati e le deleghe Kerberos non riconosciute.
Monitoraggio: rafforzare per 60–90 giorni i rilevamenti sugli IOC elencati e presidiare gli accessi anomali con un riferimento on-call dedicato.
Miglioramento: aggiornare il piano di risposta, ripetere il test di ripristino e produrre un report interno con raccomandazioni approvate dal responsabile IT e dal management.

Conclusione

Benzona rappresenta la continua evoluzione delle minacce RaaS alla fine del 2025. Il suo uso di doppia estorsione e tecniche anti-recupero lo rende un avversario formidabile. Le organizzazioni devono passare da una posizione reattiva a una mentalità proattiva di "assumere la violazione", concentrandosi sulla resilienza e sul recupero rapido.

Se sei stato colpito da Benzona, non pagare il riscatto immediatamente. Contatta un team professionale di risposta agli incidenti per valutare le tue opzioni.

Panoramica

Decisioni chiave, rischi e azioni di implementazione per questo argomento.

Analisi Ransomware Benzona: IOC, Possibilità di Decrittazione e Strategie di Difesa