CRPx0 – la nuova minaccia ransomware che unisce estorsione e furto di criptovalute
I ransomware continuano a evolversi rapidamente e, a luglio 2026, CRPx0 ha attirato l’attenzione degli analisti di sicurezza. Secondo il Bitdefender Threat Debrief, il gruppo è passato da meno di 10 vittime rivendicate a giugno a 46 a luglio, un incremento che solleva interrogativi sulla reale natura della sua crescita.
Una crescita sospetta
Le prime vittime di CRPx0 erano principalmente piccoli studi dentistici. In meno di due settimane, il gruppo ha ampliato il proprio target includendo organizzazioni più grandi nei settori tecnologico e finanziario, mentre è cresciuto il numero di vittime in Turchia. Il fenomeno presenta alcune analogie con il comportamento osservato da Qilin nella sua operazione Korean Leaks, senza però evidenze di un collegamento con una compromissione della supply chain turca.
La rapida pubblicazione delle vittime e i countdown di riscatto quasi sincronizzati hanno portato Bitdefender a ipotizzare che CRPx0 possa aver gonfiato il numero delle vittime dichiarate per costruire credibilità e attirare nuovi acquirenti del proprio programma RaaS. È però solo una delle possibili spiegazioni: il gruppo potrebbe anche aver avuto accesso a molteplici fonti di dati provenienti da precedenti breach.
Un modello di business anomalo
CRPx0 si distingue anche per il proprio modello commerciale:
- 100% dei profitti per gli operatori white-label, con una fee una tantum di 10.000 dollari;
- un programma parallelo di Hacking-as-a-Service (HaaS);
- 70% di profit-sharing per gli affiliati standard.
Il 100% rappresenta un’offerta fuori dagli standard del mercato criminale, dove il precedente massimo riportato era il 90%, offerto da gruppi come The Gentlemen. Secondo Bitdefender, potrebbe essere una strategia per attirare nuovi affiliati oppure una possibile truffa ai danni di aspiranti cybercriminali.
Il furto di criptovalute
L’elemento più distintivo di CRPx0 è però il furto di criptovalute. Il payload, oltre a cifrare i dati, contiene un clipper e un modulo in grado di estrarre seed phrase o chiavi associate ai wallet crypto. Questa strategia offre un’alternativa alla monetizzazione attraverso il riscatto, riducendo la dipendenza da trattative che possono richiedere tempo e non portare ad alcun pagamento.
Cosa significa per le aziende
Il caso CRPx0 evidenzia l’efficacia potenziale della combinazione tra infostealer, altri vettori di initial access e ransomware, rispetto alla sola exploitation di vulnerabilità e al deployment di encryptor, che possono aumentare il rischio di rilevamento.
Per le aziende, quindi, la sicurezza non può concentrarsi esclusivamente sulla cifratura dei dati. Le tecnologie di protezione devono essere configurate per rilevare e bloccare sia i comportamenti legati al furto di criptovalute sia quelli associati alla cifratura.
Il quadro generale
Nel report di luglio, The Gentlemen mantiene il primo posto tra i gruppi ransomware più attivi, grazie anche all’adattamento di tecniche utilizzate da Qilin e all’impiego dell’intelligenza artificiale per potenziare strumenti e metodologie.
Tra gli altri gruppi evidenziati da Bitdefender:
- INC Ransom, che ha sfruttato due vulnerabilità dei dispositivi SonicWall SMA 1000;
- Global Secret Group, il cui codice deriva da LockBit Black e che ha rivendicato vittime anche nei settori energy e utilities;
- LAPSUS$, che ha nuovamente annunciato il proprio ritiro dal ransomware, un annuncio che Bitdefender considera tutt’altro che definitivo.
Il caso CRPx0 dimostra come il ransomware stia evolvendo verso modelli di attacco sempre più diversificati, nei quali cifratura, furto di dati e sottrazione di criptovalute possono convivere nello stesso attacco.
Per approfondire clicca Threat