Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Crescono le truffe ai danni dei consumatori, preoccupano quelle basate su IA. Il report di Bitdefender
Fantasy Hub: scoperto un nuovo RAT Android che prende il controllo totale del dispositivo
Torna GlassWorm, il primo worm che colpisce le estensioni di VS Code
Knownsec colpita da un catastrofico breach: esposti oltre 12.000 documenti sensibili
CERT-AGID 1–7 novembre: phishing su Banca d’Italia e Agenzia delle Entrate

I pirati “ritirano” il ransomware PEC 2017

Mag 15, 2017 Marco Schiaffino Malware, Minacce, News, Ransomware, RSS 0

I cyber-criminali hanno pubblicato su Internet lo strumento gratuito per decodificare i file. Sulla pagina Web la scritta “PEC Project Close”.

È durata una manciata di giorni la campagna di distribuzione del ransomware PEC 2017, un malware programmato per colpire solo gli utenti italiani che ha creato un certo allarme tra gli esperti di sicurezza nel nostro paese.

A dispetto del nome, il ransomware non veniva distribuito attraverso email di posta certificata, come era accaduto qualche mese fa nel corso di una campagna legata al “cugino” Cryptol0cker.

Nel caso specifico, le email sembravano provenire da un account di posta collegato all’Agenzia delle Entrate e contenevano un falso Curriculum Vitae in formato DOC con riferimenti a nomi di fantasia come “Floriana Fallico” o “Navia Ferrara”.

Al momento dell’apertura del file, all’utente veniva richiesta l’attivazione delle Macro di Word e veniva avviata l’installazione del ransomware sfruttando una vulnerabilità (CVE-2017-0199) di Office emersa nell’aprile scorso.

A questo punto, PEC 2017 veniva scaricato sul PC e cominciava la sua azione distruttiva. Il ransomware individuava i file corrispondenti a determinate estensioni, li crittografava con un algoritmo AES 256 e ne modificava l’estensione con .PEC.

Sullo schermo, infine, veniva visualizzata la richiesta di riscatto e un indirizzo email che la vittima avrebbe dovuto contattare per ottenere la chiave che consentiva di decodificare i file presi in ostaggio.

Lo schema per il pagamento e l’ottenimento del software di decodifica non era particolarmente elaborato. Una volta eseguito il pagamento, veniva infatti fornito un indirizzo Internet su dominio .onion (il cosiddetto Dark Web) dal quale era possibile scaricare il tool.

Venerdì scorso, la svolta: all’indirizzo Internet 104.250.127.148 compare uno stringato messaggio che annuncia il “ritiro dalle scene” e contiene un link che permette di scaricare gratuitamente il software che consente il recupero dei file crittografati da PEC 2017.

Difficile capire se il capitolo finale sia stato scritto dagli stessi cyber-criminali o da qualcuno che è “intervenuto” per mettere fine all’attacco. In ogni caso, il tool è disponibile anche a questo indirizzo.

Condividi l'articolo