L'intero ransomware minaccia fughe di dati

Durante la nostra indagine sui campioni di malware appena inviati, i nostri ricercatori si sono imbattuti in un programma ransomware denominato "Whole". Abbiamo stabilito che deriva dal ransomware Keylock. Questo software dannoso crittografa i dati e richiede un riscatto in cambio della decrittografia.

Durante i nostri test, il ransomware "Whole" ha crittografato i file e ha aggiunto l'estensione ".whole" ai nomi dei file. Ad esempio, un file originariamente denominato "1.jpg" verrebbe visualizzato come "1.jpg.whole" e "2.png" come "2.png.whole".

Una volta terminato il processo di crittografia, lo sfondo del desktop è stato modificato ed è stata generata una richiesta di riscatto intitolata "README-ID-[victim's_ID].txt". Dal contenuto di questa nota, è evidente che questo ransomware prende di mira principalmente le aziende piuttosto che i singoli utenti.

Il messaggio visualizzato sullo sfondo del desktop "Intero" indica alla vittima di leggere il file di testo associato ("README-ID-[victim's_ID].txt"). Questa richiesta di riscatto spiega che i file della vittima sono stati crittografati e assicura loro che la loro chiave di decrittazione univoca è archiviata in modo sicuro sui server degli aggressori.

Il ripristino può essere testato gratuitamente inviando alcuni file crittografati ai criminali informatici (entro determinate linee guida). Se la vittima non tenta di contattare gli aggressori entro 3 giorni, i suoi dati aziendali sensibili potrebbero essere esposti o venduti.

Il messaggio include anche avvisi, che informano la vittima che la ridenominazione o la modifica dei file interessati, nonché l'utilizzo di strumenti di ripristino di terze parti o software antivirus, potrebbero rendere i dati irrecuperabili.

L'intero ransomware rilascia una lunga nota

Il testo completo dell'intera richiesta di riscatto recita come segue:

I TUOI FILE SONO CRIPTATI

I tuoi file sono stati crittografati con algoritmi di crittografia avanzati e modificati!
Non preoccuparti, la tua chiave di crittografia univoca è archiviata in modo sicuro sul nostro server e i tuoi dati possono essere decrittografati in modo rapido e sicuro.

Possiamo dimostrare che possiamo decrittografare tutti i tuoi dati. Ti preghiamo di inviarci semplicemente 3 file crittografati non importanti, piccoli (~2 MB), che vengono archiviati in modo casuale sul tuo server. Allega anche il tuo file README-ID-.txt lasciato da noi in ogni cartella.
Decifreremo questi file e te li invieremo come prova. Tieni presente che i file per la decrittazione di prova gratuita non devono contenere informazioni preziose.

Se non avvierai un dialogo con noi entro 72 ore saremo costretti a pubblicare i tuoi file nel pubblico dominio. I tuoi clienti e partner verranno informati della fuga di dati.
In questo modo la tua reputazione sarà rovinata. Se non reagirai, saremo costretti a vendere le informazioni più importanti come database e dati personali alle parti interessate per generare qualche profitto.

Se vuoi risolvere questa situazione, allega nella lettera questo file README-ID-.txt e scrivi a TUTTI questi 2 indirizzi email:

pmmx@techmail.info
Wholekey@mailfence.com

IMPORTANTE!
Ti consigliamo di contattarci direttamente per evitare di pagare più del dovuto gli agenti.
Chiediamo di inviare il tuo messaggio a TUTTI i nostri 2 indirizzi e-mail perché, per vari motivi, la tua e-mail potrebbe non essere consegnata.
Il nostro messaggio potrebbe essere riconosciuto come spam, quindi assicurati di controllare la cartella spam.
Se non ti rispondiamo entro 24 ore, scrivici da un altro indirizzo email.
Per favore non perdere tempo, ciò comporterà solo ulteriori danni alla tua azienda.
Si prega di non rinominare e provare a decrittografare i file da soli. Non saremo in grado di aiutarti se i file verranno modificati.
Se proverai a utilizzare software di terze parti per ripristinare i tuoi dati o soluzioni antivirus, esegui un backup di tutti i file crittografati.
Se elimini file crittografati dal computer corrente, potresti non essere in grado di decrittografarli.

Come può il ransomware entrare nel tuo sistema?

Il ransomware può infiltrarsi nel tuo sistema in vari modi e comprendere questi punti di ingresso è fondamentale per proteggere il tuo sistema da tali attacchi. Ecco alcuni modi comuni in cui il ransomware può penetrare nel tuo sistema:

• Allegati e-mail: le e-mail di phishing sono un metodo prevalente per la distribuzione del ransomware. I criminali informatici inviano e-mail apparentemente legittime con allegati infetti (ad esempio PDF, documenti Word o file ZIP) o collegamenti a siti Web dannosi. Quando gli utenti aprono questi allegati o fanno clic sui collegamenti, il ransomware viene scaricato ed eseguito sui loro sistemi.
• Collegamenti dannosi: il ransomware può essere diffuso anche tramite collegamenti ingannevoli o dannosi contenuti in e-mail, messaggi istantanei o siti Web. Facendo clic su questi collegamenti è possibile scaricare ed eseguire il ransomware.
• Malvertising: i criminali informatici possono utilizzare pubblicità dannose (malvertisement) su siti Web legittimi per distribuire ransomware. La semplice visita di un sito Web compromesso con questi annunci può attivare un download automatico del malware.
• Sfruttare le vulnerabilità: gli autori di ransomware possono sfruttare le vulnerabilità del software nel sistema operativo o nelle applicazioni. Se il tuo sistema non è aggiornato con le patch di sicurezza, potrebbe essere vulnerabile agli attacchi basati su exploit.
• Download drive-by: il ransomware può essere distribuito tramite "download drive-by", tramite i quali gli utenti scaricano inconsapevolmente codice dannoso mentre visitano siti Web compromessi o dannosi. Questi download possono avvenire senza alcuna interazione o consenso da parte dell'utente.
• Attacchi RDP (Remote Desktop Protocol): gli aggressori possono sfruttare credenziali RDP deboli o predefinite per ottenere l'accesso ai sistemi remoti. Una volta entrati, possono installare ransomware e crittografare i file.
• Download di software: il download di software o file da fonti non attendibili o piratate può esporre il sistema a ransomware. Software illegittimi o versioni crackate spesso contengono malware nascosti.