Operazione ELICIUS, anatomia di un ransomware group smantellato dalla Polizia Postale

L’Operazione ELICIUS, nota anche come smantellamento della gang “Diskstation”, è stata condotta dalla Polizia Postale di Milano con il supporto di Europol e la collaborazione delle forze di polizia rumene e francesi. L’indagine ha preso avvio dalle segnalazioni di aziende italiane e onlus vittime di attacchi ransomware mirati, in cui i criminali cifravano sistemi e dati e richiedevano riscatti in criptovalute.

Gli hacker utilizzavano payload ransomware per cifrare file critici sui server aziendali, interrompendo ogni attività fino al pagamento richiesto. Dietro questi attacchi si celava un’infrastruttura avanzata: reti di comando e controllo distribuite, server in Romania (e migrati in alternativa su VPN/relay in Francia e altri paesi) e canali comunicativi criptati .

Il gruppo impiegava tecniche OSINT per selezionare obiettivi vulnerabili, avviando campagne di phishing mirato e sfruttando falle note o credenziali rubate. Dopo l’accesso iniziale, installavano ransomware e strumenti di comunicazione cifrata per negoziare da remoto. Le comunicazioni venivano incrociate con pattern di rete, tempistiche di accesso e geolocalizzazione implicita. Questi dati fornirono agli investigatori un quadro preciso di attori e meccanismi .

Parallelamente, gli investigatori della Postale hanno condotto intercettazioni autorizzate su canali VoIP cifrati, geolocalizzato i dispositivi coinvolti e mappato la rete logistica digitale: router, VPN, server compromessi, strumenti di criptazione e dispositivi usati per accedere alle vittime. Hanno utilizzato correlazioni temporali tra risate di comando e variazioni di traffico dati per identificare la posizione dei server di comando e controllo.

Il ruolo della cooperazione internazionale è stato cruciale: la task force coordinata da Europol ha permesso l’arresto del leader a Bucarest, dopo aver ricondotto la sorgente degli attacchi al gruppo rumeno. Il sequestro di dispositivi e l’analisi forense hanno confermato l’uso di ransomware professionali, wallet bitcoin e infrastrutture relay.

L’Operazione ELICIUS dimostra come la Polizia Postale, grazie al CNAIPIC, abbia integrato tecniche OSINT, telemetria di rete, intercettazioni VoIP e cooperazione internazionale in un’azione coordinata. È un modello operativo che dimostra come la prevenzione non si limiti alla risposta agli attacchi, ma includa monitoraggio continuo di infrastrutture critiche, alerting proattivo, segnalazioni di indicatori di compromissione (IoC) e attività forense post-incidente.

Nel caso Diskstation, l’approccio tecnico ha seguito il flusso completo: raccolta OSINT preliminare, compromissione via phishing e credential stuffing, cifratura ransomware, negoziazione via canali criptati, esfiltrazione e pagamento in criptovalute, e infine smantellamento dell’infrastruttura tramite arresti e sequestri. Questo workflow conferma una maturità investigativa orientata alla disruption completa delle attività criminali, non solo alla mera risposta reattiva.