Aggiornamenti recenti Aprile 29th, 2024 4:47 PM
Lug 11, 2023 Marina Londei Attacchi, In evidenza, Minacce, News, RSS 0
I ricercatori di Trend Micro hanno individuato e analizzato una nuova famiglia di ransomware chiamata “Big Head”. Le prime attività del ransomware, di cui al momento esistono tre varianti, risalgono allo scorso maggio.
Tutte e tre le versioni del ransomware vengono distribuite tramite pubblicità malevola, fingendosi aggiornamenti di Windows o installer per Word.
Dall’analisi di Trend Micro è emerso che il ransomware, nella sua versione “base”, installa tre file sul sistema: il primo, chiamato “1.exe”, contiene una copia del malware e viene usato per propagarlo nella rete di dispositivi; il secondo, “Archive.exe”, è un bot Telegram usato per stabilire la connessione con gli attaccanti; infine, “Xarch.exe” si occupa di cifrare i file del sistema e di mostrare una schermata di aggiornamento finta per far credere all’utente che il processo sia legittimo.
All’interno del file 1.exe è presente anche una nota di riscatto dove è scritto l’indirizzo email da contattare per negoziare il pagamento. Il ransomware, concluso il processo di cifratura, modifica anche lo sfondo del desktop della vittima impostando un’immagine con le indicazioni su contatti e pagamenti.
Le altre due varianti si comportano in maniera simile, anche se possiedono capacità aggiuntive: una incorpora funzioni per raccogliere dati sensibili e inviarli all’attaccante; l’altra include Neshta, un virus che colpisce gli eseguibili del sistema target.
Secondo TrendMicro, il gruppo o l’individuo dietro BigHead sembra ancora inesperto, e il fatto che siano state rilasciate tre versioni del ransomware in così poco tempo indica che il malware non è ancora stabile; dal punto di vista tecnico inoltre, spiegano i ricercatori, Big Head usa metodi di cifratura prevedibili e implementa tecniche di evasione deboli e facilmente individuabili.
Stando agli ultimi aggiornamenti di KELA, riportati da BleepingComputer, sembra che il principale autore, se non l’unico, del ransomware sia di origini indonesiane: la firma ha individuato un utente su Telegram che per molto tempo ha usato gli stessi nomi e lo stesso avatar presenti nella nota del riscatto.
L’utente ha poi cambiato nome a giugno 2022, e a marzo scorso ha cominciato a cercare dei collaboratori per sviluppare un builder per ransomware. Nonostante la relativa semplicità del ransomware, i ricercatori invitano gli utenti a fare attenzione e a scaricare gli aggiornamenti solo dal sito ufficiale del vendor.
Apr 29, 2024 0
Apr 23, 2024 0
Apr 22, 2024 0
Apr 22, 2024 0
Apr 29, 2024 0
Apr 26, 2024 0
Apr 24, 2024 0
Apr 24, 2024 0
Apr 29, 2024 0
Lo United States Postal Service (USPS), l’agenzia...Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 18, 2024 0
La corsa all’IA generativa ha spinto i produttori di...Apr 16, 2024 0
LockBit continua a colpire le organizzazioni di tutto il...Apr 15, 2024 0
Il 41% delle imprese italiane subisce mensilmente attacchi...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Ott 11, 2016 0
Dopo la raffica di figuracce, l’azienda sospende per...Apr 29, 2024 0
Nel periodo compreso tra il 20 e il 26 aprile,...Apr 26, 2024 0
I ricercatori di Avast hanno scoperto una nuova campagna...Apr 24, 2024 0
I ricercatori di Cisco Talos hanno scoperto una nuova...Apr 24, 2024 0
ToddyCat, un gruppo APT che colpisce prevalentemente...Apr 23, 2024 0
In occasione dell’Italian Partner Conferencetenutasi...