Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Semplice ed efficace: il ransomware Bart sfrutta il formato ZIP

Lug 04, 2016 Marco Schiaffino Malware, Minacce, News, Ransomware 0

La partita a scacchi tra autori di ransomware ed esperti di sicurezza continua. L’ultima mossa dei cyber-criminali è un fulgido esempio di ottimizzazione degli sforzi.

In un colpo solo, infatti, i pirati hanno trovato il modo di rendere più semplice la tecnica di attacco e ostacolare l’azione degli antivirus nella rilevazione dell’attacco.

Il malware che preoccupa gli analisti si chiama Bart e adotta una tecnica innovativa per prendere in ostaggio i file della vittima: utilizza il sistema di compressione per “impacchettarli” in archivi ZIP protetti da password. Quest’ultima, naturalmente, può essere ottenuta solo pagando un riscatto.

Niente doppia chiave: Bart usa il sistema di compressione ZIP con protezione della password. Tanto i file sono cifrati con AES…

L’uso di questa tecnica rende Bart estremamente difficile da rilevare perché a differenza dei suoi colleghi, il malware non ha alcuna necessità di collegarsi a un server Command and Control per scambiare la chiave privata necessaria per la decodifica dei file.

Il malware è stato distribuito via email, sotto forma di un Javascript inserito in un archivio compresso. Una volta aperto, il Javascript scarica e avvia un loader, che a sua volta installa il ransomware.

A questo punto Bart avvia la crittografia dei file, che vengono convertiti in file ZIP protetti da password utilizzando la sintassi nome_file.estensione_file.bart.zip.

Il malware, come da copione, visualizza poi la richiesta di riscatto, piuttosto esosa: gli autori di Bart chiedono infatti 3 Bitcoin (al cambio attuale sono quasi 2.000 dollari) per ottenere la password che permette di estrarre i file.

Secondo gli esperti di sicurezza di PhishMe, dietro la comparsa di Bart potrebbero esserci gli stessi creatori di Locky. Un indizio in questo senso è rappresentato dalla straordinaria somiglianza delle pagine Web a cui vengono indirizzate le vittime per effettuare i pagamenti.

La pagina Web per il pagamento del riscatto è identica a quella di Locky. Stessa mano o stesso servizio dedicato?

Un fatto che, però, potrebbe spiegarsi anche in un altro modo, cioè con la possibilità che il sistema di riscossione del riscatto sia “appaltato” a un gruppo specializzato che offre ai criminali questo tipo di servizio.

Condividi l'articolo