Aggiornamenti recenti Maggio 17th, 2024 11:08 AM
Lug 11, 2023 Marina Londei Attacchi, In evidenza, Minacce, News, RSS 0
I ricercatori di Trend Micro hanno individuato e analizzato una nuova famiglia di ransomware chiamata “Big Head”. Le prime attività del ransomware, di cui al momento esistono tre varianti, risalgono allo scorso maggio.
Tutte e tre le versioni del ransomware vengono distribuite tramite pubblicità malevola, fingendosi aggiornamenti di Windows o installer per Word.
Dall’analisi di Trend Micro è emerso che il ransomware, nella sua versione “base”, installa tre file sul sistema: il primo, chiamato “1.exe”, contiene una copia del malware e viene usato per propagarlo nella rete di dispositivi; il secondo, “Archive.exe”, è un bot Telegram usato per stabilire la connessione con gli attaccanti; infine, “Xarch.exe” si occupa di cifrare i file del sistema e di mostrare una schermata di aggiornamento finta per far credere all’utente che il processo sia legittimo.
All’interno del file 1.exe è presente anche una nota di riscatto dove è scritto l’indirizzo email da contattare per negoziare il pagamento. Il ransomware, concluso il processo di cifratura, modifica anche lo sfondo del desktop della vittima impostando un’immagine con le indicazioni su contatti e pagamenti.
Le altre due varianti si comportano in maniera simile, anche se possiedono capacità aggiuntive: una incorpora funzioni per raccogliere dati sensibili e inviarli all’attaccante; l’altra include Neshta, un virus che colpisce gli eseguibili del sistema target.
Secondo TrendMicro, il gruppo o l’individuo dietro BigHead sembra ancora inesperto, e il fatto che siano state rilasciate tre versioni del ransomware in così poco tempo indica che il malware non è ancora stabile; dal punto di vista tecnico inoltre, spiegano i ricercatori, Big Head usa metodi di cifratura prevedibili e implementa tecniche di evasione deboli e facilmente individuabili.
Stando agli ultimi aggiornamenti di KELA, riportati da BleepingComputer, sembra che il principale autore, se non l’unico, del ransomware sia di origini indonesiane: la firma ha individuato un utente su Telegram che per molto tempo ha usato gli stessi nomi e lo stesso avatar presenti nella nota del riscatto.
L’utente ha poi cambiato nome a giugno 2022, e a marzo scorso ha cominciato a cercare dei collaboratori per sviluppare un builder per ransomware. Nonostante la relativa semplicità del ransomware, i ricercatori invitano gli utenti a fare attenzione e a scaricare gli aggiornamenti solo dal sito ufficiale del vendor.
Mag 14, 2024 0
Mag 13, 2024 0
Mag 07, 2024 0
Mag 02, 2024 0
Mag 17, 2024 0
Mag 16, 2024 0
Mag 16, 2024 0
Mag 14, 2024 0
Mag 17, 2024 0
A quattro anni di distanza dall’ultima campagna...Mag 14, 2024 0
Dalla sua prima identificazione nell’aprile 2022 a...Mag 10, 2024 0
A partire dallo scorso gennaio e fino a metà marzo, MITRE...Mag 09, 2024 0
I sistemi Linux stanno diventando sempre più popolari e...Mag 08, 2024 0
Le aziende italiane continuano a essere uno degli obiettivi...Mag 08, 2024 0
L’ultimo non è stato un buon anno per Microsoft:...Mag 04, 2018 0
E se vi dicessimo che la saga di Star Wars ...Nov 14, 2016 2
Abbiamo rubato al blog di Kaspersky un vecchio pezzo di...Nov 08, 2016 2
Il numero uno degli scacchi mondiali Magnus Carlsen ha...Ott 28, 2016 0
Il pirata informatico che ha creato il ransomware cerca...Mag 17, 2024 0
A quattro anni di distanza dall’ultima campagna...Mag 16, 2024 0
Ieri Google ha comunicato di aver risolto una...Mag 16, 2024 0
Nell’ultimo aggiornamento di sicurezza, Microsoft ha...Mag 14, 2024 0
Apple e Google hanno annunciato la disponibilità di...Mag 14, 2024 0
Dalla sua prima identificazione nell’aprile 2022 a...