Ransomware NotLockBit: la minaccia ingannevole che colpisce Windows e Mac

Cos'è il ransomware NotLockBit?

NotLockBit è una variante sofisticata del ransomware progettata per apparire come il noto ransomware LockBit , una tattica che mira a confondere le vittime ed eludere il rilevamento. A differenza di molte minacce ransomware che si concentrano su un sistema operativo, NotLockBit è progettato per colpire sia i computer Windows che Mac, ampliando notevolmente la sua portata. Una volta all'interno di un sistema, crittografa ed esfiltra i file, il che fornisce agli aggressori il controllo sui dati crittografati, consentendo loro anche di minacciare le vittime con l'esposizione di informazioni sensibili. Inoltre, NotLockBit apporta modifiche allo sfondo del desktop dell'utente, lasciando un promemoria digitale della sua presenza.

Oltre alla crittografia, NotLockBit rinomina i file utilizzando un formato distinto che include un vettore di inizializzazione e un'estensione ".abcd". Questo processo di rinomina interessa un'ampia gamma di tipi di file, come documenti, immagini e altri dati essenziali per gli utenti. Ad esempio, il file "document.pdf" potrebbe essere trasformato in "document.pdf.3544329bb141eea628f7c3bff6c79c11.abcd", rendendo chiaro alle vittime che gli aggressori hanno bloccato i loro file.

La nota di riscatto: un avvertimento mascherato

La nota di riscatto presentata da NotLockBit è progettata per imitare quella del vero ransomware LockBit, con l'obiettivo di ingannare le vittime facendogli credere di avere a che fare con questo famigerato gruppo ransomware. Nella nota, gli aggressori informano le vittime che i loro file sono stati sia crittografati che rubati, dando agli aggressori la leva per minacciare sia la perdita di dati che l'esposizione pubblica. Questa doppia tattica di estorsione sta diventando sempre più comune, poiché mette sotto pressione le vittime non solo con la perdita di dati, ma anche con potenziali danni alla reputazione se i file sensibili vengono divulgati.

In un insolito colpo di scena, la nota presenta alle vittime una proposta allettante: se aiutano a infiltrarsi nelle reti di altre aziende, possono "guadagnare milioni" tramite queste attività illegali. Alle vittime viene chiesto di fornire credenziali di accesso per servizi come RDP, VPN o account di posta elettronica aziendali o persino di eseguire un file malware su un computer aziendale. La comunicazione con gli aggressori è facilitata tramite Tox Messenger, un'applicazione di chat sicura, e la nota include un ToxID per il contatto diretto.

Come funziona il ransomware NotLockBit

Il processo operativo di NotLockBit su una macchina infetta è altamente mirato. Quando si avvia per la prima volta, il ransomware recupera l'ID univoco della macchina e quindi esegue la scansione dei file nel sistema. Su macOS, il ransomware prende di mira i file nella directory principale, bypassando alcune directory per evitare il rilevamento. File come documenti, immagini e vari tipi di dati sono particolarmente a rischio, poiché sono crittografati e inviati a un bucket Amazon S3 controllato dagli aggressori. Questa combinazione di crittografia ed esfiltrazione di file aggiunge un livello di pericolo unico, poiché gli utenti rischiano di perdere sia i propri file che la privacy dei propri dati.

Su macOS, NotLockBit utilizza il comando "osascript" per cambiare lo sfondo del desktop e, per Windows, impiega la funzione SystemParametersInfoW per apportare queste modifiche. In alcune varianti di Windows, NotLockBit include anche codice progettato per eliminare copie shadow o backup, rendendo ancora più difficile per gli utenti ripristinare i propri file senza pagare il riscatto.

Il panorama del ransomware: NotLockBit e i suoi simili

Il ransomware è diventato uno dei tipi di minacce informatiche più diffuse e finanziariamente dannose. Bloccando le vittime fuori dai loro file e chiedendo un riscatto per l'accesso, ransomware come NotLockBit costringe le vittime a prendere decisioni difficili sotto pressione. Mentre alcuni individui e aziende potrebbero tentare di negoziare o persino pagare per recuperare i loro file, gli esperti sconsigliano vivamente questo approccio, poiché non garantisce che gli aggressori porteranno a termine la decrittazione. Casi passati hanno dimostrato che anche dopo il pagamento, alcuni aggressori potrebbero continuare a trattenere i dati, rendendo il pagamento una strategia rischiosa.

La famiglia di ransomware LockBit, insieme a varianti come NK e Ztax , fa parte di una tendenza globale in cui i criminali informatici sfruttano il ransomware per trarne profitto. L'approccio unico di NotLockBit, che si maschera da un'altra variante e prende di mira sia Windows che Mac, evidenzia la continua innovazione nel panorama dei ransomware, rendendo essenziale la vigilanza.

Metodi di distribuzione del ransomware

Gli sviluppatori di ransomware impiegano un'ampia gamma di tecniche per infettare i sistemi delle vittime. NotLockBit e minacce simili vengono spesso diffuse tramite e-mail di phishing contenenti allegati o link dannosi. Inoltre, i criminali informatici possono incorporare il ransomware in software pirata, generatori di chiavi e strumenti di cracking, rendendo fondamentale evitare download di software non autorizzati. Anche gli utenti che scaricano file piratati o interagiscono con annunci e pop-up online discutibili rischiano di cadere preda del ransomware.

Un altro metodo di distribuzione comune è lo sfruttamento delle vulnerabilità del software. Gli autori delle minacce sfruttano i sistemi non patchati, entrando attraverso i punti deboli del software. Altre tattiche includono l'uso di unità USB infette, reti peer-to-peer e siti di download di terze parti. Spesso, file dannosi come documenti MS Office, PDF, file eseguibili e JavaScript vengono utilizzati per ingannare gli utenti e infettare inconsapevolmente i loro sistemi.

Protezione contro il ransomware NotLockBit

Con la crescente sofisticazione di ransomware come NotLockBit, è essenziale adottare un comportamento sicuro online e mantenere misure di sicurezza regolari. Una strategia preventiva fondamentale è quella di creare backup regolari archiviati su unità esterne o su un archivio cloud sicuro, assicurando che i dati possano essere recuperati senza dover interagire con gli aggressori. Inoltre, mantenere aggiornati i software antivirus e antimalware, nonché aggiornare regolarmente i sistemi operativi, i browser e il software, può aiutare a colmare potenziali lacune di sicurezza che il ransomware potrebbe sfruttare.

Anche rimanere vigili contro e-mail, allegati e link sospetti è essenziale per ridurre il rischio di infezione. Evita di cliccare su annunci o pop-up da siti Web non affidabili e sii cauto quando scarichi file da fonti sconosciute. Questo approccio proattivo può essere una solida linea di difesa contro ransomware come NotLockBit.

Come restare al passo con le minacce ransomware

NotLockBit rappresenta la crescente complessità degli attacchi ransomware moderni, che ora utilizzano tecniche ingannevoli per colpire una gamma più ampia di utenti su più piattaforme. Restando informati su queste tattiche in evoluzione e implementando solide pratiche di sicurezza informatica, sia gli individui che le organizzazioni possono ridurre il rischio di attacchi ransomware. Con le giuste precauzioni in atto, gli utenti possono navigare nel mondo online in modo più sicuro e rispondere in modo efficace se incontrano minacce come NotLockBit.