Ransomware con accesso manuale e file recenti nel mirino
Il punto debole non è il payload, ma la finestra in cui l’operatore entra come un amministratore legittimo. Con credenziali RDP rubate e sessioni RemotePC valide, il gruppo può muoversi dentro il sistema, scegliere i file più recenti e colpire il lavoro ancora attivo prima che la difesa legga l’evento come un normale ransomware.
Threatdown attribuisce a Prinz Eugen un uso hands-on-keyboard di RDP e RemotePC, con un account amministratore di backdoor per la persistenza. Il gruppo non lascia ransom note e non si comporta come un tipico RaaS: l’encryption privilegia i file modificati di recente, con i più vecchi trattati dopo, e punta quindi su ciò che ha più valore operativo nel momento dell’attacco.
Per chi espone RDP o RemotePC verso server, il problema è il livello di fiducia concesso all’accesso remoto: un attaccante già dentro può operare come un tecnico autorizzato, non come malware rumoroso su un endpoint.