www.MegaLab.it

Sul finire della settimana scorsa, Sophos ha segnalato l'esistenza di un nuovo malware utilizzato a fini d'estorsione.

Una volta aver infettato un PC, il codice chiamato Troj/Ransom-U dal gruppo, crea una copia crittografata di tutti i documenti da ufficio, le foto, i database, i file multimediali ed altro ancora, quindi elimina gli originali dal disco fisso.

A questo punto, il programma ostile cambia lo sfondo del desktop con un messaggio di notifica che avvisa il proprietario del computer dell'infezione ed invita a consultare un documento di testo per avere maggiori informazioni in merito.

Una volta aperto il txt indicato, le intenzioni dei cyber-criminali divengono chiare: per riavere i propri dati, la vittima deve contrattare un determinato indirizzo e-mail e prepararsi a pagare un riscatto di 120 $.

Al termine della spiegazione è presente una lunga stringa alfanumerica che varia ad ogni infezione: le istruzioni degli estorsori spiegano che la sequenza deve essere presentata in fase di trattativa. È presumibilmente quindi che il codice costituisca una parte della chiave crittografica utilizzata, indispensabile per estrapolare la relativa decodifica.

Per spargere l'infezione, ha spiegato Sophos, la gang alle spalle di Ransom-U sta impiegando file PDF "avvelenati" innestati all'interno di siti web a propria volta compromessi.

Non è la prima volta che i criminali digitali tentano la strada dell'estorsione in questo modo: a metà 2008, ad esempio, Gpcode aveva mostrato un comportamento del tutto analogo.

Come già per il predecessore, sottostare alla richiesta di pagamento non è una buona idea: nulla impedisce infatti ai criminali di limitarsi a chiedere altri denari senza fornire alcuna soluzione dopo il primo versamento.

D'altro canto, tentatore di recuperare i file agendo sulle copie crittografate è computazionalmente impraticabile, poiché la chiave utilizzata è di tipo RSA a 1024 bit e violarla sarebbe persino oltre la portata di un supercomputer.

L'unica speranza di riavere i propri documenti è quella di ricorrere alle copie di backup che ognuno dovrebbe realizzare periodicamente. Coloro che non fossero stati sufficientemente previdenti, possono tentare di accedere direttamente alle copie cancellate, così come segnalato per le infezioni da Gpcode.

L'analisi preliminare di Kaspersky Lab ha evidenziato che la tecnica di recupero proposta in occasione del debutto di Gpcode non funziona con questo nuovo malware.