Il 21 luglio 2026 Securelist di Kaspersky ha pubblicato l’analisi di un nuovo schema di estorsione in America Latina in cui gli attaccanti bloccano i dischi aziendali con BitLocker, la cifratura integrata di Windows, e stampano la richiesta di riscatto dalle stampanti dell’ufficio. Il gruppo, che firma “XEntry Team”, chiede riscatti volutamente piccoli e usa solo strumenti già presenti in rete, senza allearsi con un gruppo ransomware.
La richiesta di riscatto non è arrivata via email. È uscita dalla stampante dell’ufficio, dopo che Windows aveva già bloccato ogni disco con la propria cifratura.
Il 21 luglio 2026 il team di Securelist di Kaspersky ha descritto un nuovo schema di estorsione investigato in America Latina, costruito quasi interamente con strumenti già presenti nelle reti delle vittime. Invece di distribuire un ransomware su misura, gli attaccanti hanno attivato BitLocker, la funzione di cifratura dell’intero disco integrata in Windows, per bloccare i dischi aziendali e poi chiedere un pagamento per la chiave di ripristino. Kaspersky ha analizzato due incidenti, uno in Messico a maggio 2026 e uno in Colombia a giugno 2026, trovando la stessa firma in entrambi: una schermata blu con la scritta “Hacked by XEntry Team”, le credenziali di dominio che smettevano di funzionare e le note di riscatto che poche ore dopo iniziavano a uscire dalle stampanti.
L’attaccante non ha mai portato il proprio ransomware
Ciò che rende notevole questo schema è ciò che gli manca. Non c’è un cifratore su misura né un programma di affiliazione ransomware. L’avversario usa BitLocker, le Group Policy, l’accesso remoto e gli strumenti di gestione remota già presenti in un dominio Windows, il che mantiene il suo arsenale economico e difficile da segnalare come malevolo. L’obiettivo, come dice Kaspersky, è ottenere l’accesso e monetizzarlo senza mai investire in un gruppo ransomware o allearsi con esso.
Cosa ha osservato Kaspersky
Il comportamento documentato nei due incidenti di Securelist:
- I dischi erano cifrati con BitLocker; le vittime notavano prima un’icona a lucchetto accanto ai dischi in Esplora risorse e la richiesta di una chiave di ripristino.
- Le macchine mostravano una schermata blu con la scritta “Hacked by XEntry Team” e le credenziali di dominio smettevano di funzionare.
- Poche ore dopo, le note di riscatto iniziavano a stampare dalle stampanti dell’ufficio in tutta l’organizzazione.
- Gli attaccanti abusavano di meccanismi legittimi, RDP, MSSQL, strumenti di gestione remota (RMM) e Group Policy, per estendere la cifratura dai sistemi critici a ogni macchina sincronizzata con il controller di dominio.
- Le richieste di riscatto erano tenute volutamente basse, parte di una tendenza emergente evidenziata da Kaspersky nel report.
Lo schema in numeri
I dati descrivono i due incidenti analizzati da Kaspersky nel report Securelist del 21 luglio 2026, non un totale globale. Il report sottolinea lo schema, strumenti già presenti nell’ambiente e importi di riscatto modesti, più che la scala di una singola vittima.
Perché l’estorsione living-off-the-land è difficile da intercettare
L’obiettivo dell’avversario è ottenere l’accesso all’infrastruttura evitando di investire in gruppi ransomware o di allearsi con essi, sfruttando invece gli strumenti integrati di Microsoft per facilitare la cifratura dei dati e i pagamenti del riscatto.
Come si sviluppa l’attacco
I due casi hanno seguito un percorso simile, da un punto d’appoggio silenzioso fino a una stampante che sforna note di riscatto. La sequenza qui sotto è quella ricostruita da Kaspersky e rispecchia come si sviluppa un attacco ransomware, con le funzioni legittime di Windows al posto di un cifratore dedicato.
Lo schema a colpo d’occhio
Una campagna, nessun ransomware su misura
Kaspersky Securelist, due incidenti in Messico e Colombia, da maggio a giugno 2026
Cosa dava all’attaccante ogni meccanismo abusato
La tabella collega ogni strumento legittimo abusato dal gruppo a ciò che gli offriva e al controllo che chiude la falla. Nessuno richiede nuovo software, solo un uso più attento di ciò che Windows fornisce già.
| Meccanismo legittimo | Cosa dava all’attaccante | Controllo difensivo |
|---|---|---|
| BitLocker | Cifratura dell’intero disco senza malware separato da rilevare | Deposita le chiavi di ripristino BitLocker in Active Directory e segnala eventi di cifratura inattesi |
| RDP e MSSQL | Accesso iniziale e movimento laterale tramite servizi esposti | Togli i servizi da internet, imponi l’MFA e monitora gli accessi anomali |
| Strumenti RMM | Controllo remoto persistente che si confonde con le operazioni IT | Consenti solo software RMM approvato e segnala ogni altro agente di gestione remota |
| Group Policy | Un modo per spingere le attività di cifratura a ogni host del dominio | Limita chi può modificare le GPO e verifica le modifiche agli oggetti Group Policy |
Dove le difese falliscono contro questo schema
Poiché qui nulla assomiglia al malware classico, sono proprio le solite assunzioni a lasciarlo passare. Ecco le modalità di fallimento che i casi Kaspersky mettono in evidenza.
- ⛔ Fidarsi dell’antivirus a firma, quando la cifratura la fa BitLocker, una funzione Microsoft firmata che nessuno scanner segnalerà.
- ⛔ Lasciare RDP e MSSQL raggiungibili da internet, che è il modo in cui è stato conquistato il punto d’appoggio.
- ⛔ Considerare legittimo ogni agente di gestione remota, quando l’attaccante installa il proprio per confondersi.
- ⛔ Non depositare le chiavi di ripristino BitLocker, così un disco cifrato diventa irrecuperabile senza pagare.
- ⛔ Dare per scontato che un riscatto piccolo sia un problema piccolo, quando l’intero dominio è già stato cifrato.
Un riscatto modesto è pensato per rendere più facile pagare
Kaspersky segnala una tendenza verso richieste di riscatto volutamente piccole. Una cifra bassa è una tattica: abbassa la resistenza della vittima e fa sembrare il pagamento silenzioso più conveniente del ripristino. Tratta la decisione allo stesso modo a prescindere dall’importo, coinvolgi consulenti legali e forze dell’ordine, e ricorda che pagare finanzia la campagna successiva e non garantisce mai una chiave funzionante.
Cosa fare questa settimana
Niente di quanto segue richiede una nuova voce di budget. Chiudono i percorsi specifici che questo schema usa, dai servizi esposti alla cifratura non gestita.
- ✅ Deposita ogni chiave di ripristino BitLocker in Active Directory o nell’MDM, e genera un avviso quando la cifratura viene attivata su un dispositivo che non era in provisioning.
- ✅ Togli RDP e MSSQL da internet pubblico, mettili dietro una VPN o un bastion e imponi l’autenticazione a più fattori.
- ✅ Metti in allowlist il tuo software di gestione remota, così ogni agente RMM inatteso genera un avviso.
- ✅ Blocca chi può modificare gli oggetti Group Policy e verifica ogni loro modifica.
- ✅ Mantieni almeno una copia di backup offline o immutabile, fuori dalla portata delle credenziali di dominio.
- ✅ Prova il ripristino partendo dal presupposto che BitLocker sia stato rivolto contro di te, così chiavi e immagini sono pronte prima che servano.
Il ransomware più economico è quello che possiedi già
Questo schema ricorda che l’estorsione non richiede più malware su misura. Quando il cifratore è una funzione integrata di Windows, la prevenzione è soprattutto configurazione e monitoraggio, non un nuovo prodotto. Se stai rispondendo a un incidente attivo, conserva la nota di riscatto stampata e un disco cifrato prima di reinstallare: è il punto di partenza per recuperare i file crittografati.
Fonti
- Kaspersky Securelist, A new extortion cocktail: office printers, small ransoms, and BitLocker
- Kaspersky Securelist, How ransomware abuses BitLocker
- HelpRansomware, come si sviluppa un attacco ransomware
- HelpRansomware, recuperare i file crittografati
- HelpRansomware, come prevenire un attacco ransomware
Juan Ricardo Palacio
Co-fondatore e CEO per le Americhe, HelpRansomware
Juan Ricardo Palacio è ingegnere elettronico, imprenditore e specialista in telecomunicazioni, cybersecurity e digital forensics, con oltre 25 anni di esperienza professionale. Co-fondatore di HelpRansomware, opera nei campi della cyber resilience, della risposta agli attacchi ransomware, del recupero dati, della crittografia e del reverse engineering, supportando aziende e organizzazioni nella gestione di incidenti informatici ad alta criticità.
📰 Menzionato e citato su Forbes Georgia, Business Insider Africa, LA Weekly e Il Sole 24 Ore.
📅 Ultimo aggiornamento: 22 luglio 2026
