Il ransomware Settra prende di mira organizzazioni sfruttando credenziali VPN rubate e strumenti di monitoraggio remoto. Gli attacchi hanno interessato aziende dei settori retail e manifatturiero, con tecniche pensate per eludere le difese e cancellare le tracce.
File cifrati, sistemi di recupero disattivati e log cancellati: è questo lo scenario lasciato dal ransomware Settra nelle sue ultime incursioni contro aziende che utilizzano VPN per l'accesso remoto. I ricercatori di Huntress hanno documentato due attacchi distinti: uno a luglio contro una società del settore retail e uno a settembre in un'azienda manifatturiera. In entrambi i casi, gli aggressori hanno puntato su persistenza e cancellazione delle tracce.
Come opera Settra: accesso iniziale e strumenti di controllo
Secondo Huntress e MoxFive, il gruppo responsabile di Settra sfrutta credenziali VPN compromesse per entrare nei sistemi aziendali. Una volta ottenuto l'accesso, installa strumenti di remote monitoring and management come MeshAgent, rinominato mvtcs.exe, per mantenere il controllo sulle macchine infette. In entrambi gli attacchi osservati, il file eseguibile del ransomware aveva lo stesso nome del dominio della vittima, segno di una personalizzazione mirata. L'uso di componenti MeshAgent modificati e la scelta di nomi file legati al dominio indicano una preparazione specifica per ogni rete presa di mira, rendendo più difficile il rilevamento da parte dei sistemi di sicurezza tradizionali.
Tattiche di elusione e cancellazione delle prove
Gli attaccanti non si sono limitati a cifrare i dati. Hanno utilizzato la tecnica BYOVD (bring your own vulnerable driver) per tentare di disabilitare le difese di sicurezza integrate, come rilevato nell'incidente di settembre. Dopo aver lanciato il ransomware, hanno cancellato i Windows Event Logs, disattivato l'ambiente di ripristino e rimosso la partizione di recovery, rendendo più difficile ogni tentativo di recupero. Queste azioni sono state accompagnate dalla rimozione dei backup locali e dalla disattivazione delle funzionalità di ripristino, una strategia che segue le raccomandazioni dell'Agenzia per la Cybersicurezza Nazionale per la protezione delle infrastrutture critiche.
- Lindsey O'Donnell-Welch, Threat Intelligence Researcher, Huntress
Obiettivi e selezione delle vittime
MoxFive segnala che Settra prende di mira organizzazioni con sistemi non aggiornati o gestione degli accessi debole. Il gruppo ha anche pubblicato i nomi delle vittime su un sito di shaming, aumentando la pressione per il pagamento del riscatto. Secondo i dati raccolti da Huntress, Settra è stato osservato per la prima volta a giugno 2026 e già a settembre contava decine di vittime, segno di una rapida espansione e di una strategia di doppia estorsione. L'uso di strumenti noti e tecniche consolidate, secondo Lindsey O'Donnell-Welch di Huntress, mostra una capacità operativa efficace, anche se non particolarmente sofisticata.
Un panorama di minacce in evoluzione
Questi attacchi si inseriscono in un contesto in cui il ransomware continua a evolversi, come mostrano analisi recenti che segnalano una crescita delle estorsioni digitali e l'adozione di tecniche sempre più mirate. L'uso di strumenti di gestione remota e la cancellazione sistematica delle tracce oggi mettono in difficoltà molte aziende, soprattutto quelle che trascurano aggiornamenti e controlli sugli accessi.
Dagli attacchi Settra emerge un dato chiaro: la criminalità informatica non ha bisogno di innovare per causare danni. Bastano credenziali deboli, sistemi non aggiornati e strumenti già collaudati per mettere in crisi anche organizzazioni strutturate. In questo scenario, la gestione superficiale degli accessi e la scarsa attenzione alle patch di sicurezza restano i punti deboli di molte imprese italiane ed europee. Chi non investe in difese proattive e monitoraggio costante rischia di trovarsi improvvisamente senza dati e senza possibilità di recupero.
