Boom dei ransomware low-quality. Scarsi, ma efficaci

Set 23, 2016 Marco Schiaffino Approfondimenti, In evidenza, Malware, RSS 0

Il business dei ransomware fa gola a tutti. Accanto ai professionisti dell’estorsione digitale si sta facendo largo un esercito di criminali improvvisati, tra bug ed errori di programmazione.

Non tutti i prati informatici sono dei maghi della programmazione. A lanciarsi nel cyber-crimine sono anche personaggi semplicemente attratti dall’idea di facili guadagni, che si arrangiano come possono utilizzando porzioni di codice raccattate qua e là per la Rete.

Il fenomeno, in netta crescita, è stato messo a fuoco da una ricerca di G Data, che ha realizzato una vera “galleria degli orrori” nel campo dei ransomware di bassa qualità.

E non si tratta sempre di una buona notizia. Accanto ai malware che possono essere facilmente aggirati, infatti, ci sono anche quelli che utilizzano sistemi di crittografia difettosi.

In questi casi l’impatto danneggia (una volta di più) le vittime: anche una volta ottenuta la chiave, infatti, risulta impossibile recuperare i file presi in ostaggio. La cronaca, poi, ha registrato episodi in cui il sistema di crittografia non è semplicemente presente e i file sono stati semplicemente cancellati, come nel caso di Nukeware.

Fortunatamente, la maggior parte dei ransomware di serie B si limitano a utilizzare tecniche piuttosto “fragili” sotto il profilo tecnico e risultano di conseguenza facilmente aggirabili.

Il più “scarso” è NoobCrypt, un ransomware che nel messaggio con la richiesta di riscatto finge di essere CryptoLocker, ma che non ne ha le stesse caratteristiche tecniche. I suoi autori, infatti, utilizzano una password unica per tutti i computer colpiti e che è ormai di dominio pubblico.

Un’unica password per tutte le installazioni del malware NoobCrypt.

Lo stratagemma di sfruttare il nome di un ransomware di alto livello per cercare di spaventare le vittime e indurle a non cercare una soluzione per recuperare i file crittografati non è una novità: in passato ci avevano provato anche gli autori di PowerWare, con scarsi risultati.

La famiglia di ransomware “low-quality” più diffusa è quella di Cryptear. Si tratta di malware basati su un ransomware open source chiamato Hidden-Tear, il cui codice è stato pubblicato sul Web qualche tempo fa e poi completamente abbandonato.

Al momento esistono almeno 28 varianti del ransomware e, per fortuna, tutte hanno la stessa vulnerabilità che consente di decrittare i file presi in ostaggio.

Il sistema usato dai ransomware della famiglia Cryptear per creare la chiave crittografica, infatti, utilizza come variabile il numero di millisecondi trascorsi dall’avvio del sistema. Una caratteristica che consente di ridurre notevolmente il campo di ricerca e consente quindi di violare la chiave utilizzando un semplice brute forcing.

La famiglia XRat, invece, è composta da una serie di varianti (meno efficaci) del ransowmare XOR, per il quale è comunque disponibile uno strumento di decodifica messo a punto da Kaspersky Lab lo scorso agosto.

Non hanno fatto meglio gli autori di Stampado, un ransomware piuttosto elementare per il quale è stato messo a punto uno strumento di decodifica ancora prima che il malware potesse essere distribuito su Internet.

La cattiva notizia, però, è che nonostante lo scarso livello tecnico, i cyber-criminali di basso livello continuano a incassare denaro. In molti casi, infatti, le vittime dei ransomware non hanno la freddezza di mettersi alla ricerca di una soluzione e cedono al ricatto anche se potrebbero recuperare i file senza spendere un euro.

Un meccanismo che spiega la permanenza sul “mercato” di malware come Jigsaw, le cui tecniche di ingegneria sociale portano spesso gli utenti a cedere anche di fronte a una minaccia a vuoto.

Condividi l'articolo