NotPetya sarebbe un finto ransomware. Un altro “virus di stato”?

Giu 29, 2017 Marco Schiaffino Attacchi, Hacking, Malware, News, RSS 0

Il malware non contiene un sistema che permetta di fornire la chiave di sblocco alle vittime. Un errore o l’unico obiettivo è quello di mettere K.O. i computer?

NotPetya, il malware che nella giornata di ieri ha colpito migliaia di computer in tutto il mondo, è un “finto ransomware”. Sarebbe questa la conclusione a cui sono giunti i ricercatori di Kaspersky che, analizzando il malware, hanno scoperto che non contiene un sistema che permetta ai pirati informatici di fornire la chiave di decrittazione alle vittime che pagano il riscatto.

Nel dettaglio, NotPetya esegue la crittografia usando una chiave generata casualmente, ma non contiene alcun sistema che comunichi ai cyber-criminali l’identificativo del computer compromesso in modo che possa essere messo in relazione con la chiave stessa. Insomma: i pirati stessi non hanno alcun modo per decodificare il Master File Table.

La scoperta complica la situazione, prima di tutto perché in questo scenario diventa probabile che le migliaia di vittime non abbiano alcuna speranza di recuperare i loro file. In secondo luogo perché questa “mancanza” apre una serie di domande sull’origine del malware e sul reale scopo dei pirati informatici che lo hanno diffuso.

Impossibile ottenere la chiave di decrittazione. E non solo perché l’indirizzo email dei pirati è bloccato…

L’ipotesi che si tratti di un semplice errore di programmazione è ben poco convincente. Stando alle dichiarazioni di molti esperti di sicurezza, tra cui Sean Sullivan di F-Secure, NotPetya è infatti un malware piuttosto complesso e assemblato da professionisti. È mai possibile che abbiano dimenticato di inserire un elemento così importante nel loro ransomware?

Una possibilità è quella che, in realtà, i pirati contassero di incassare soltanto i riscatti della prima “ondata” di infezioni, mettendo in conto che i pagamenti si sarebbero fermati una volta che si fosse scoperto che non potevano fornire la chiave.

Anche questa ipotesi, però, è piuttosto traballante. Perché escludere a priori la possibilità di portare avanti gli attacchi per un periodo più lungo e assicurarsi così maggiori guadagni?

Secondo Matt Suiche di Comae Technologies, NotPetya non sarebbe altro che un wiper, cioè un malware programmato per danneggiare il computer rendendo i dati inaccessibili al pari di altri software dannosi come Shamoon e StoneDrill, che in passato hanno colpito numerosi bersagli in Medioriente.

Suiche, in un post pubblicato questa notte, spiega che il malware sovrascriverebbe il Master Boot Record e il Master File Table, danneggiando irreparabilmente il disco e rendendo impossibile il recupero dei dati. La richiesta di riscatto, quindi, sarebbe solo uno specchietto per le allodole per i media, mentre il reale intento sarebbe un altro.

Una teoria, questa che andrebbe ad avvalorare l’ipotesi che NotPetya sia un “virus di stato” diffuso con l’intento di danneggiare obiettivi specifici, come sostenuto dal Ministro degli Esteri ucraino Pavlo Klimkin, che nella giornata di ieri ha accusato la Russia di aver orchestrato l’attacco per danneggiare il governo ucraino.

Un’ipotesi certamente suggestiva, ma anche questa poco convincente. Vero che l’Ucraina (i cui rapporti con la Russia sono tesissimi) è stata il bersaglio principale dell’attacco. Resta da capire, però, perché usare modalità di questo tipo, cercando di “camuffare” l’azione facendola passare per un normale attacco ransomware e diffondendolo anche nel resto del mondo.

E ancora: se un eventuale gruppo hacker sponsorizzato dai servizi segreti russi avesse voluto portare un attacco fingendo che fosse opera di normali cyber-criminali, perché non inserire un sistema di pagamento funzionante in modo da rendere più credibile la copertura?

Domande complesse, che probabilmente non potranno mai trovare una risposta certa. Per il momento, l’unica certezza che abbiamo è che i dati contenuti nelle migliaia di computer compromessi da NotPetya hanno ben poche speranze di essere recuperati.

Condividi l'articolo