close

CryptoLocker

Vai alla navigazione Vai alla ricerca
CryptoLocker
Tipo di Trojan , ransomware
Anno di apparizione 5 settembre 2013
Descrizione Symantec

L'attacco ransomware CryptoLocker è stato un attacco informatico effettuato con il ransomware CryptoLocker avvenuto tra il 5 settembre 2013 e la fine di maggio 2014. L'attacco ha utilizzato un Trojan che infetta i computer che eseguono il sistema operativo Microsoft Windows [1] e si ritiene che sia stato pubblicato per la prima volta su Internet il 5 settembre 2013 [2] . Il Trojan si è diffuso attraverso allegati e-mail infetti, siti Web infetti e tramite una botnet esistente sul computer dell'utente . Quando infetta un computer, il malware crittografa alcuni tipi di file archiviati su unità di rete locali e mappate utilizzando il sistema crittografico a chiave pubblica RSA , con la chiave privata archiviata solo sui server di controllo del malware. Il malware visualizza quindi un messaggio che offre di decrittografare i dati se viene effettuato un pagamento (tramite Bitcoin o un voucher in contanti prepagato) entro il limite di tempo specificato e l'utente viene minacciato di cancellazione della chiave privata se il limite di tempo scade. Se questa scadenza non viene rispettata, il malware si offre di decrittare i dati attraverso un servizio online fornito dagli operatori del malware a un prezzo in bitcoin significativamente più alto, senza alcuna garanzia che il pagamento porti alla decrittazione del contenuto.

Sebbene lo stesso CryptoLocker possa essere facilmente rimosso, i file interessati sono rimasti crittografati in un modo che i ricercatori consideravano impossibile da decifrare. Molti credono che il riscatto non debba essere pagato, ma non offre alcun modo per recuperare i file; altri sostengono che pagare un riscatto sia l'unico modo per recuperare file che non sono stati salvati tramite un backup . Alcune vittime hanno affermato che il pagamento del riscatto non porta sempre alla decrittazione dei file.

CryptoLocker è stato isolato alla fine di maggio 2014 a seguito dell'operazione Tovar [en] , e contemporaneamente è stata catturata anche la botnet Gameover ZeuS , utilizzata per distribuire malware. Durante l'operazione, una società di sicurezza coinvolta nel processo ha ottenuto un database di chiavi segrete utilizzate da CryptoLocker, che a sua volta è stato utilizzato per creare uno strumento online per recuperare chiavi e file senza pagare un riscatto. Si ritiene che gli operatori di CryptoLocker abbiano ottenuto con successo, in totale, circa 3 milioni di dollari dalle vittime di Trojan. Altre istanze del seguente ransomware hanno utilizzato il nome (o varianti) di CryptoLocker, ma per il resto non sono correlate.

Lavoro

CryptoLocker viene solitamente distribuito come allegato a un messaggio di posta elettronica apparentemente innocuo che sembra provenire da un'azienda legittima [3] . Il file di posta allegato al messaggio di posta elettronica contiene un file eseguibile con il nome del file e l'icona mascherati da file PDF : sfruttando così il comportamento predefinito di Windows per nascondere l'estensione dai nomi dei file per nascondere l'estensione reale - .EXE. CryptoLocker è stato anche distribuito utilizzando il trojan Gameover ZeuS e la botnet [4] [5] [6] .

Alla prima esecuzione , il payload del Trojan viene installato nella cartella del profilo dell'utente e aggiunge una chiave al registro che ne provoca l'esecuzione all'avvio del computer. Quindi tenta di contattare uno dei numerosi server di comando e controllo assegnati; dopo la connessione, il server genera una coppia di chiavi RSA a 2048 bit e invia la chiave pubblica al computer infetto [1] [5] . I server possono essere proxy locali e passare attraverso altri server, spesso spostandosi in paesi diversi per renderli difficili da rintracciare [7] [8] .

Il payload crittografa quindi i file sui dischi rigidi locali e sulle unità di rete mappate con una chiave pubblica e registra ogni file crittografandoli in una chiave di registro. Il processo crittografa solo i file di dati con determinate estensioni, inclusi Microsoft Office , OpenDocument e altri documenti, immagini e file AutoCAD [6] . Il payload mostra un messaggio che informa l'utente che i file sono stati crittografati e richiede il pagamento di $ 400 o EUR tramite un voucher in contanti prepagato anonimo (come MoneyPak o Ukash [en] ) o l' equivalente Bitcoin (BTC) entro 72 o 100 ore (a partire da 2 BTC, il prezzo di riscatto è stato adeguato dagli operatori a 0,3 BTC per riflettere il valore fluttuante di bitcoin) [9] , oppure la chiave privata sul server verrà distrutta e "nessuno potrà mai recuperare i file " [1] [5] . Il pagamento del riscatto consente all'utente di scaricare il programma di decrittazione, che è precaricato con la chiave privata dell'utente [5] . Alcune vittime infette affermano di aver pagato gli aggressori, ma i loro file non sono stati decifrati [3] .

Nel novembre 2013, gli operatori di CryptoLocker hanno lanciato un servizio online che consente agli utenti di decrittare i propri file senza il programma CryptoLocker e di acquistare una chiave di decrittazione dopo la scadenza; il processo prevedeva il caricamento di un file crittografato sul sito come esempio e l'attesa che il servizio trovasse una corrispondenza; il sito ha affermato che la chiave sarebbe stata trovata entro 24 ore. Una volta scoperta, l'utente può pagare la chiave online, ma se è scaduto il termine di 72 ore il costo viene aumentato a 10 bitcoin [10] [11] .

Eliminazione e ripristino di file

Il 2 giugno 2014, il Dipartimento di Giustizia degli Stati Uniti ha annunciato ufficialmente che durante il fine settimana precedente, l'Operazione Tovar [en] , un consorzio che comprende: un gruppo di forze dell'ordine (tra cui l' FBI e l' Interpol ), fornitori di software di sicurezza e diversi università — è stato catturato dalla botnet Gameover ZeuS , che è stata utilizzata per distribuire CryptoLocker e altri malware. Il Dipartimento di Giustizia ha inoltre incriminato pubblicamente l'hacker russo Yevgeny Bogachev per il suo presunto coinvolgimento nella botnet [4] [12] [13] .

Nell'ambito di questa operazione, l'azienda olandese Fox-IT è riuscita ad ottenere un database di chiavi segrete utilizzate da CryptoLocker. Nell'agosto 2014, Fox-IT e un'altra azienda, FireEye , hanno introdotto un servizio online che consente agli utenti con computer infetti di estrarre la propria chiave privata scaricando un file di esempio e quindi ricevendo uno strumento di decrittazione [14] [15] .

Mitigazione

Sebbene il software di sicurezza sia progettato per rilevare tali minacce, potrebbe non rilevare affatto CryptoLocker durante la crittografia o dopo che la crittografia è stata completata, soprattutto se viene distribuita una nuova versione sconosciuta al software di sicurezza. Se un attacco viene sospettato o rilevato nelle fasi iniziali, il Trojan ha bisogno di più tempo per crittografarlo: rimuovere immediatamente il malware (un processo relativamente semplice) prima che sia completato limiterà solo la corruzione dei dati [16] [17] . Gli esperti hanno suggerito precauzioni come l'utilizzo di software o altre politiche di sicurezza per bloccare il payload di CryptoLocker [1] [5] [6] [8] [17] .

A causa della natura del funzionamento di CryptoLocker, alcuni esperti hanno suggerito con riluttanza che pagare un riscatto è l'unico modo per recuperare file da CryptoLocker in assenza di backup correnti (backup offline eseguiti prima che si verificasse l'infezione, inaccessibili dai computer infetti, non possono essere attaccati di CryptoLocker) [3] , a causa della lunghezza della chiave utilizzata da CryptoLocker, gli esperti hanno ritenuto quasi impossibile con la forza bruta ottenere la chiave necessaria per decrittare i file senza pagare un riscatto; un simile Trojan Gpcode.AK del 2008 utilizzava una chiave a 1024 bit, considerata abbastanza lunga da rendere impossibile calcolarne la chiave, senza la possibilità di sforzi concertati e distribuiti, o rilevare una lacuna che poteva essere utilizzata per decrittografare [5 ] [11] [ 18] [19] . L' analista della sicurezza di Sophos Paul Ducklin ha ipotizzato  che il servizio di decrittazione online di CryptoLocker includesse un attacco del dizionario contro la propria crittografia utilizzando il suo database di chiavi, spiegando la necessità di attendere fino a 24 ore per ottenere un risultato [11] .

Riscatto pagato

Nel dicembre 2013, ZDNet ha rintracciato quattro indirizzi bitcoin ospitati da utenti i cui computer sono stati infettati da CryptoLocker nel tentativo di stimare i costi degli operatori. Questi quattro indirizzi hanno mostrato un trend di 41.928 BTC dal 15 ottobre al 18 dicembre: circa 27 milioni di dollari all'epoca [9] .

Nei sondaggi dei ricercatori dell'Università del Kent [it] , il 41% di coloro che hanno affermato di essere stati vittime ha dichiarato di aver scelto di pagare il riscatto: la percentuale di coloro che hanno pagato il riscatto è stata molto più alta del previsto. Symantec stima che il 3% delle vittime abbia pagato e Dell SecureWorks stima che circa lo 0,4% delle vittime abbia pagato [20] . Dopo lo spegnimento della botnet che serviva per distribuire CryptoLocker, si stima che circa l'1,3% degli infetti abbia pagato il riscatto; molti di loro sono stati in grado di ripristinare i file tramite il backup, mentre si ritiene che altri abbiano perso enormi quantità di dati. Tuttavia, si ritiene che gli operatori del Trojan siano riusciti a ottenere un totale di circa 3 milioni di dollari [15] .

Clona

Il successo di CryptoLocker ha generato una serie di ransomware Trojan (Ransomware) non correlati e con nomi simili che operano essenzialmente nello stesso modo [21] [22] [23] [24] , inclusi alcuni che si definiscono "CryptoLocker" ma, secondo per i ricercatori la sicurezza non è correlata all'originale CryptoLocker [21] [25] [26] .

Nel settembre 2014, cloni come CryptoWall e TorrentLocker (il cui payload si identifica come "CryptoLocker" ma è chiamato per utilizzare una chiave di registro denominata "BitTorrent Application") [27] hanno iniziato a diffondersi in Australia. Il ransomware utilizza e-mail infette presumibilmente inviate dai dipartimenti governativi (ad esempio, Australia Post per indicare la mancata consegna del pacco) come carico utile. Per evitare il rilevamento da parte di scanner di posta elettronica automatizzati che potrebbero seguire i collegamenti, questa opzione è stata progettata per richiedere agli utenti di visitare una pagina Web e inserire un codice CAPTCHA prima del download effettivo. Symantec ha stabilito che queste nuove varianti, identificate come "CryptoLocker.F", non erano correlate all'originale [24] [26] [28] [29] .

Note

  1. ↑ 1 2 3 4 Dan Goodin. Sei infetto: se vuoi rivedere i tuoi dati, pagaci $ 300 in Bitcoin .  Il ransomware diventa maggiorenne con criptovalute infrangibili e pagamenti anonimi . Ars Technica (18 ottobre 2013) . Estratto 1 giugno 2017 Archiviato dall'originale il 23 ottobre 2013.
  2. ^ Leo Kelion. Il ransomware Cryptolocker ha "infettato circa 250.000 PC  " . BBC (24 dicembre 2013). Estratto 1 giugno 2017 Archiviato dall'originale il 22 marzo 2019.
  3. ↑ 1 2 3 Ryan Naraine. Infezioni da Cryptolocker in aumento;  Avviso sui problemi di US-CERT . Security Week (19 novembre 2013). Estratto 1 giugno 2017 Archiviato dall'originale il 10 giugno 2016.
  4. ^ 1 2 Brian Krebs. "Beni operativi" mira a "Gameover" ZeuS Botnet, CryptoLocker  Flagello . Krebs sulla sicurezza (2 giugno 2014). Estratto il 1 giugno 2017 Archiviato dall'originale il 4 giugno 2014.
  5. ↑ 1 2 3 4 5 6 Lawrence Abrams. Guida alle informazioni e domande frequenti sul ransomware CryptoLocker  . Bleeping Computer (14 ottobre 2013). Estratto 1 giugno 2017 Archiviato dall'originale il 31 maggio 2017.
  6. ↑ 1 2 3 Jonathan Hassell. Cryptolocker : come evitare di essere infettati e cosa fare se lo sei  . Computerworld (25 ottobre 2013). Estratto 1 giugno 2017 Archiviato dall'originale l'11 giugno 2017.
  7. ^ Paul Ducklin. Malware distruttivo "CryptoLocker" a piede libero: ecco cosa fare  (inglese) . Naked Security (12 ottobre 2013). Estratto 1 giugno 2017 Archiviato dall'originale il 22 ottobre 2013.
  8. ↑ 1 2 Donna Ferguson. Attacchi CryptoLocker che bloccano il tuo  computer . The Guardian (19 ottobre 2013). Estratto 1 giugno 2017 Archiviato dall'originale il 5 marzo 2017.
  9. ^ 12 Blu violetto . L'ondata criminale di CryptoLocker: una scia di milioni di bitcoin riciclati (inglese) . ZDNet (22 dicembre 2013). Estratto 1 giugno 2017 Archiviato dall'originale il 17 maggio 2017.  
  10. ↑ La signora Fabbro. I truffatori di CryptoLocker addebitano 10 Bitcoin per il servizio di decrittazione della seconda possibilità  . Network World (4 novembre 2013). Estratto 1 giugno 2017 Archiviato dall'originale il 15 aprile 2017.
  11. ↑ 1 2 3 Lucian Constantin. I creatori di CryptoLocker cercano di estorcere ancora più denaro alle vittime con un nuovo  servizio . PC World (4 novembre 2013). Estratto 1 giugno 2017 Archiviato dall'originale il 30 aprile 2017.
  12. ↑ Darlene Tempesta. Wham bam : l'operazione globale Tovar colpisce il ransomware CryptoLocker e la botnet GameOver Zeus  . Computerworld (2 giugno 2014). Estratto 1 giugno 2017 Archiviato dall'originale il 18 maggio 2017.
  13. ↑ Gli Stati Uniti guidano un'azione multinazionale contro la botnet "Gameover Zeus" e il ransomware "Cryptolocker", accusano l'  amministratore della botnet . Dipartimento di Giustizia degli Stati Uniti (2 giugno 2014). Estratto il 1 giugno 2017 Archiviato dall'originale il 1 giugno 2017.
  14. ^ Brian Krebs. Il nuovo sito recupera i file bloccati da Cryptolocker Ransomware  . Krebs sulla sicurezza (6 agosto 2014). Estratto il 1 giugno 2017 Archiviato dall'originale il 7 giugno 2017.
  15. ^ 12 Mark Ward . Vittime di Cryptolocker per recuperare i file gratuitamente . BBC (6 agosto 2014). Estratto 1 giugno 2017 Archiviato dall'originale il 23 maggio 2017.  
  16. ^ Joshua Cannell. Cryptolocker Ransomware: cosa devi sapere  (inglese) . Malwarebytes (8 ottobre 2013). Estratto 1 giugno 2017 Archiviato dall'originale il 30 settembre 2021.
  17. ^ 12 John Leida . Fiendish CryptoLocker ransomware : qualunque cosa tu faccia, non PAGARE . Il Registro (18 ottobre 2013). Estratto 1 giugno 2017 Archiviato dall'originale il 18 ottobre 2013.  
  18. ^ Ryan Naraine. Blackmail ransomware ritorna con chiave di crittografia a 1024 bit  . ZDNet (6 giugno 2008). Data di accesso: 1 giugno 2017 Archiviata dall'originale il 17 novembre 2016.
  19. ^ Robert Lemos. Ransomware che resiste agli  sforzi di cracking delle criptovalute . Focus sulla sicurezza (13 giugno 2008). Estratto il 1 giugno 2017 Archiviato dall'originale il 3 marzo 2016.
  20. ^ Julio Hernandez-Castro, Eerke Boiten e Magali Barnoux. Risultati del sondaggio online del Centro di ricerca interdisciplinare sulla sicurezza informatica dell'Università del Kent a Canterbury  (  link inaccessibile) . Università del Kent. Estratto 1 giugno 2017 Archiviato dall'originale il 24 agosto 2017.
  21. ↑ 1 2 Abigail Pichel. Il nuovo CryptoLocker si diffonde tramite  unità rimovibili . Trend Micro (25 dicembre 2013). Estratto 1 giugno 2017 Archiviato dall'originale il 4 novembre 2016.
  22. ^ Jeremy Kirk. Il ransomware CryptoDefense lascia la chiave di decrittazione  accessibile . Computerworld (1 aprile 2014). Estratto 1 giugno 2017 Archiviato dall'originale il 18 settembre 2017.
  23. ^ Iain Thomson. I tuoi file tenuti in ostaggio da CryptoDefense? Non pagare!  La chiave di decrittazione è sul disco rigido . Il Registro (3 aprile 2014). Estratto 1 giugno 2017 Archiviato dall'originale il 26 dicembre 2016.
  24. ^ 1 2 Patrizio Budmar. Australia specificamente presa di mira da Cryptolocker: Symantec . Il fornitore di sicurezza trova l'ultima variante del  cryptomalware . ARNnet (3 ottobre 2014) . Estratto il 1 giugno 2017 Archiviato dall'originale il 16 giugno 2018.
  25. ^ Robert Lipovsky. Cryptolocker 2.0 - nuova versione o copycat?  (inglese) . WeLiveSecurity (19 dicembre 2013). Estratto 1 giugno 2017 Archiviato dall'originale il 2 giugno 2017.
  26. ↑ 1 2 Australiani sempre più colpiti dalla marea globale di cryptomalware  (eng.)  (link non disponibile) . Symantec (26 settembre 2014). Estratto il 1 giugno 2017 Archiviato dall'originale il 16 giugno 2018.
  27. ^ Marc-Etienne M. Léveille. TorrentLocker ora prende di mira il Regno Unito con il  phishing di Royal Mail . WeLiveSecurity (4 settembre 2014). Estratto 1 giugno 2017 Archiviato dall'originale il 7 novembre 2017.
  28. ^ Adam Turner. I truffatori utilizzano Australia Post per mascherare gli  attacchi via e-mail . The Sydney Morning Herald (15 ottobre 2014). Estratto 1 giugno 2017 Archiviato dall'originale l'8 novembre 2017.
  29. ^ Steve Ragan. Un attacco ransomware interrompe  la trasmissione televisiva . CSO in linea (7 ottobre 2014). Estratto 1 giugno 2017 Archiviato dall'originale il 7 novembre 2017.
Fonte - https://ru.wikipedia.org/w/index.php?title=CryptoLocker&oldid=122125755