Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Transparency Center Initiative di Kaspersky Lab: cosa significa per l’Italia
Misterioso guasto satellitare: centinaia di Porsche “bloccate” in Russia
Patch Tuesday, Microsoft risolve una vulnerabilità già sfruttata e due zero-day
Prompt injection, un problema che potrebbe non venire mai risolto. La visione dell’NCSC
React2Shell: più di 160.000 indirizzi IP vulnerabili, oltre 30 organizzazioni già colpite
CERT-AGID 29 novembre – 5 dicembre: phishing a tema Governo italiano e Agenzia delle Entrate

Reyptson: il ransomware che si diffonde sfruttando Thunderbird

Lug 18, 2017 Marco Schiaffino Malware, Minacce, News, Ransomware, RSS 0

Il malware usa la lista contatti per inviare email con un allegato infetto. È il primo ransomware (dopo WannaCry) che usa tecniche per diffondersi da solo.

Chi ha detto che ai pirati non piace l’open source? Gli autori di Reyptson sembrano amare i software liberi e hanno deciso di usare uno dei più popolari per diffondere il loro ransomware.

Reypston, come spiega un ricercatore di Emsisoft, è il primo ransomware che utilizza un programma di posta elettronica per inviare una copia di sé stesso all’elenco contatti memorizzato sul PC infetto. E per farlo ha deciso di sfruttare Thunderbird, il client email “open” di Mozilla.

Il malware, una volta raggiunto il computer della vittima, controlla come prima cosa se sul sistema sia installato Thunderbird. Se la verifica è positiva, cerca di estrarre l’elenco dei contatti e li usa per inviare loro email con allegata una copia del ransomware.

Thunderbird non è particolarmente diffuso, ma evidentemente i pirati hanno trovato il modo di accedere alla sua rubrica e lo hanno eletto come strumento per diffondere il loro ransomware.

Fino a oggi i ransomware (con la notevole eccezione di WannaCry) non hanno mai sfruttato tecniche che gli consentissero di diffondersi autonomamente. Reypston, quindi, rappresenta una novità.

La campagna di distribuzione individuata da Emsisoft prende di mira la Spagna e sfrutta una classica tecnica di ingegneria sociale, utilizzando email in lingua spagnola che sembrano accompagnare la trasmissione di una fattura in PDF.

In realtà il documento allegato avvia l’installazione del ransomware che una volta eseguito individua e crittografa tutti i documenti che corrispondono a uno specifico elenco di estensioni utilizzando un algoritmo AES-128. I file crittografati vengono rinominati utilizzando il nome “Reypsont come nuova estensione.

In ogni cartella viene poi copiato un file di testo che contiene le istruzioni per pagare l’immancabile riscatto e ottenere la chiave crittografica che permette di recuperare i file.

Il riscatto è fissato in 200 dollari, ma i pirati hanno previsto una sorta di “incentivo” per spingere le vittime a pagare presto. Dopo 72 ore, il riscatto sale a 500 dollari.

Condividi l'articolo