Accedi al tuo profilo

Selezione la tua area di interesse

News Recenti

Big Head, un nuovo ransomware che si finge un aggiornamento Windows

Lug 11, 2023 Marina Londei Attacchi, In evidenza, Minacce, News, RSS 0

I ricercatori di Trend Micro hanno individuato e analizzato una nuova famiglia di ransomware chiamata “Big Head”. Le prime attività del ransomware, di cui al momento esistono tre varianti, risalgono allo scorso maggio.

Tutte e tre le versioni del ransomware vengono distribuite tramite pubblicità malevola, fingendosi aggiornamenti di Windows o installer per Word.

Dall’analisi di Trend Micro è emerso che il ransomware, nella sua versione “base”, installa tre file sul sistema: il primo, chiamato “1.exe”, contiene una copia del malware e viene usato per propagarlo nella rete di dispositivi; il secondo, “Archive.exe”, è un bot Telegram usato per stabilire la connessione con gli attaccanti; infine, “Xarch.exe” si occupa di cifrare i file del sistema e di mostrare una schermata di aggiornamento finta per far credere all’utente che il processo sia legittimo.

All’interno del file 1.exe è presente anche una nota di riscatto dove è scritto l’indirizzo email da contattare per negoziare il pagamento. Il ransomware, concluso il processo di cifratura, modifica anche lo sfondo del desktop della vittima impostando un’immagine con le indicazioni su contatti e pagamenti.

Credits: Pixabay

Le altre due varianti si comportano in maniera simile, anche se possiedono capacità aggiuntive: una incorpora funzioni per raccogliere dati sensibili e inviarli all’attaccante; l’altra include Neshta, un virus che colpisce gli eseguibili del sistema target.

Secondo TrendMicro, il gruppo o l’individuo dietro BigHead sembra ancora inesperto, e il fatto che siano state rilasciate tre versioni del ransomware in così poco tempo indica che il malware non è ancora stabile; dal punto di vista tecnico inoltre, spiegano i ricercatori, Big Head usa metodi di cifratura prevedibili e implementa tecniche di evasione deboli e facilmente individuabili.

Stando agli ultimi aggiornamenti di KELA, riportati da BleepingComputer, sembra che il principale autore, se non l’unico, del ransomware sia di origini indonesiane: la firma ha individuato un utente su Telegram che per molto tempo ha usato gli stessi nomi e lo stesso avatar presenti nella nota del riscatto.

L’utente ha poi cambiato nome a giugno 2022, e a marzo scorso ha cominciato a cercare dei collaboratori per sviluppare un builder per ransomware. Nonostante la relativa semplicità del ransomware, i ricercatori invitano gli utenti a fare attenzione e a scaricare gli aggiornamenti solo dal sito ufficiale del vendor.

Condividi l'articolo