GhostLocker Ransomware crittograferà i file delle vittime
GhostLocker rappresenta un programma ransomware creato dal gruppo criminale informatico GhostSec. Questo tipo di malware, classificato come ransomware, è progettato per crittografare i dati e richiedere un pagamento per la decrittografia.
Nel nostro ambiente di test, GhostLocker ha crittografato i file e ha aggiunto l'estensione ".ghost" ai loro nomi. Ad esempio, un file originale denominato "1.jpg" si trasformerebbe in "1.jpg.ghost", mentre "2.png" diventerebbe "2.png.ghost" e questo modello veniva applicato a tutti i file interessati.
Una volta completato il processo di crittografia, veniva depositata una richiesta di riscatto, generalmente intitolata "lmao.html". Vale la pena notare che il nome del documento HTML potrebbe variare.
Il messaggio di GhostLocker informa la vittima che i suoi file sono stati crittografati utilizzando gli algoritmi crittografici RSA-2048 e AES-12 e che sono stati rubati dati sensibili.
Per decrittografare i file è necessario pagare un riscatto. Alla vittima viene concessa una finestra di 48 ore per contattare gli aggressori e il mancato rispetto di tale scadenza comporterà un aumento dell'importo del riscatto. Il rifiuto di soddisfare le richieste dei criminali informatici porterà alla distruzione dei dati.
La nota mette in guardia contro la ridenominazione dei file crittografati o l'utilizzo di strumenti di ripristino di terze parti, poiché ciò potrebbe causare la perdita permanente dei dati. La vittima viene inoltre avvisata che la richiesta di assistenza a terzi o autorità comporterà la perdita di dati e l'esposizione di contenuti rubati.
La richiesta di riscatto di GhostLocker tenta di sembrare intelligente
Il testo completo della richiesta di riscatto generata all'interno del file "lmao.html" è il seguente:
GhostLocker
Corriamo merda perché possiamoTUTTI I TUOI FILE IMPORTANTI VENGONO RUBATI E CRITTOGRAFATI
IL TUO ID DI CRITTOGRAFIA PERSONALE: - (SALVA QUESTO)Tutti i tuoi file importanti sono stati rubati e crittografati con codici di livello militare RSA-2048 e AES-128. Ciò significa che, indipendentemente da quanto proverai, l'unico modo per recuperare i tuoi file è lavorare con noi e seguire le nostre richieste.
Hai 48 ore (2 giorni) per contattarci. Se non ti impegni a contattarci entro tale lasso di tempo, l'importo del riscatto aumenterà.
Se non paghi il riscatto, i tuoi file verranno distrutti per sempre.
Puoi contattarci al seguente indirizzo
Attenzione
NON pagare il riscatto a nessun altro oltre alle informazioni di contatto principali menzionate lassù.
NON rinominare i file crittografati
NON tentare di decrittografare i tuoi dati utilizzando software di terze parti, potrebbe causare la perdita permanente dei dati
Qualsiasi coinvolgimento delle forze dell'ordine/team di recupero dati/fornitori di sicurezza di terze parti porterà alla perdita permanente dei dati e all'immediato rilascio pubblico dei dati
Come può il ransomware infiltrarsi nel tuo sistema?
Il ransomware può infiltrarsi nel tuo sistema attraverso vari metodi e comprendere questi punti di ingresso è fondamentale per prevenire tali attacchi. Ecco alcuni modi comuni in cui il ransomware può accedere al tuo sistema:
- E-mail di phishing: il metodo più comune è tramite e-mail di phishing. Potresti ricevere un'e-mail che sembra provenire da una fonte legittima, ma contiene allegati o collegamenti dannosi. L'apertura di questi allegati o il clic su questi collegamenti può attivare il download e l'esecuzione del ransomware sul tuo computer.
- Siti Web dannosi: visitare siti Web dannosi o compromessi può esporre il sistema al ransomware. Questi siti Web potrebbero sfruttare le vulnerabilità del browser Web o dei plug-in per scaricare ed eseguire il ransomware.
- Malvertising: gli annunci online possono essere utilizzati per distribuire ransomware. I criminali informatici possono inserire annunci dannosi su siti Web legittimi e, se si fa clic su di essi, è possibile scaricare inavvertitamente ransomware.
- Download drive-by: alcuni siti Web sono progettati per scaricare automaticamente file sul tuo computer senza il tuo consenso. Questi download drive-by possono installare ransomware se il tuo sistema non è adeguatamente protetto.
- Vulnerabilità del software: il software obsoleto o senza patch può presentare vulnerabilità di sicurezza che il ransomware può sfruttare. È fondamentale mantenere aggiornati il sistema operativo, le applicazioni e il software di sicurezza.
- Attacchi RDP (Remote Desktop Protocol): i criminali informatici possono sfruttare credenziali RDP deboli o predefinite per ottenere l'accesso al computer da remoto. Una volta entrati, possono distribuire ransomware.
- Allegati dannosi: il ransomware può essere distribuito tramite allegati e-mail dannosi, come documenti Microsoft Office o file eseguibili infetti. Questi allegati possono sfruttare le vulnerabilità del software o indurti a eseguirli.
