Cryptolocker: Bitdefender pubblica un tool gratuito per MegaCortex

bitdefender megacortex

Il noto brand di antivirus e VPN Bitdefender ha rilasciato recentemente uno strumento gratuito per decrittografare i file bloccati dal ransomware noto come MegaCortex.

Cos’è Megacortex

Si tratta di un malware scoperto a maggio 2019 che utilizzava componenti sia automatizzate che manuali per infettare il maggior numero possibile di vittime. Questo ransomware prende maggiormente di mira le aziende piuttosto che dai singoli utenti e potrebbe sfruttare reti già compromesse in un precedente attacco.

Da novembre 2019 i cybercriminali dietro MegaCortex hanno iniziato ad implementare tattiche di estorsione doppia, arrivando a chiedere alle proprie vittime fino a svariati milioni di dollari in cambio dello strumento di sblocco.

La situazione non è passata inosservata, tanto che l’FBI ha diramato un avviso a dicembre 2019 circa la presenza di campagne ransomware basate su MegaCortex. All’interno della stessa rete erano presenti altri malware come Qbot ed Emotet.

Il tool di Bitdefenderper il ripristino dei dati

Bitdefender ha realizzato e rilasciato gratuitamente il decryptor per MegaCortex in collaborazione con l’Europol e alla Procura di Zurigo, la Polizia svizzera e i ricercatori del progetto NoMoreRansom, organizzazione no profit che da anni si impegna ad aiutare le vittime di attacchi ransomware per il recupero dei dati.

Il tool è disponibile all’indirizzo www.nomoreransom.org ed è stato realizzato partendo da alcune chiavi private provenienti da attacchi ransomware. Queste permettono alle vittime di ripristinare i dati bloccati da MegaCortex senza dover pagare alcun riscatto.

Come emerso da alcuni studi, pagare il riscatto non garantisce sempre il recupero di tutti i dati colpiti da un attacco ransomware. Per questo motivo è consigliabile rivolgersi immediatamente ad esperti nel settore o a organizzazioni come NoMoreRansom, che molto spesso riescono a intervenire in modo risolutivo, grazie al supporto di aziende e ricercatori di sicurezza di tutto il settore.

Cos’è un Cryptolocker

Un cryptolocker è una minaccia malware che ha acquisito parecchia notorietà negli ultimi anni. Una volta avviato, questo infetta il computer e cerca i file da crittografare. Ciò include qualsiasi dato presente sui dischi rigidi e tutti i media collegati, ad esempio USB o qualsiasi unità di rete condivisa.

Inoltre, il malware cerca file e cartelle archiviati nel cloud. Una volta infettato il pc, i file vengono bloccati utilizzando la cosiddetta crittografia asimmetrica.

Questo metodo si basa su due chiavi, una pubblica e una privata. Gli hacker crittografano i dati utilizzando la chiave pubblica, ma questi possono essere decrittografati solo utilizzando la chiave privata univoca in loro possesso.

Metodi di infezione

Il metodo più comune avviene tramite e-mail con allegati sconosciuti. Sebbene gli allegati sembrino spesso file .doc o .pdf, in realtà contengono una doppia estensione: un eseguibile nascosto (.exe). Una volta aperto, l’allegato crea una finestra e attiva un downloader, che infetta il computer.

Poiché il programma è un Trojan, non può auto-replicarsi: deve infatti essere scaricato per poter infettare il pc. Oltre agli allegati e-mail dannosi, questo malware può provenire anche da siti Web che richiedono di scaricare dei plug-in. Quando tutti i file vengono crittografati, si visualizza un avviso che indica che il computer è stato infettato e viene mostrato un conto alla rovescia. Una volta terminato, i dati saranno distrutti.

Se da una parte molti programmi antivirus riescono a rimuovere questo Trojan, dall’altra però non sono in grado di decrittografare i dati, che possono essere sbloccati solo dietro un pagamento in bitcoin.

Come proteggersi dai cryptolocker

La protezione da questo ransomware inizia da un utilizzo sicuro di Internet: non aprire alcun allegato da indirizzi e-mail sconosciuti, anche se affermano di provenire dalla banca o dal posto di lavoro, e non scaricare file da un sito web sconosciuto.

Creando sempre un backup fisico separato dei file critici, eseguendo regolarmente scansioni antivirus ed evitando allegati potenzialmente dannosi, si può però ridurre al minimo la possibilità di infezione.

Hai bisogno di un aiuto professionale per aumentare la sicurezza dei tuoi device aziendali? Contatta Assitech.Net, i tuoi sistemi non saranno più un problema.

Bricofer, l’azienda italiana colpita dal ransomware LockBit 2.0

Bricofer LockBit 2.0

Bricofer Italia, azienda specializzata nella vendita al dettaglio di materiali edili, utensileria e hobbistica, è stata di recente vittima di un attacco di hacking: il ransomware LockBit 2.0.

Cosa è successo a Bricofer Italia durante l’attacco di LockBit 2.0

Il gruppo ransomware attaccante, LockBit, ha denunciato l’attacco e fatto partire il conto alla rovescia per la pubblicazione online dei dati rubati. Per capire che cos’è successo bisogna tornare al 28 dicembre 2021, quando i sistemi dell’azienda sono stati attaccati.

I cyber criminali hanno estratto circa 2000 file con dati contabili e informazioni sensibili sui clienti titolari della “carta fedeltà”, fra cui indirizzi email e documenti di identità e non c’è stato accordo fra i titolari dell’azienda e i cyber criminali.

A fare notizia è sicuramente il silenzio dell’azienda colpita. Niente comunicati stampa, aggiornamenti sul sito, niente avvisi ai clienti coinvolti. Una situazione che si ravvisa sempre più di frequente in Italia, man mano che le vittime di attacchi cyber aumentano.

Un atteggiamento in contrasto con una normativa che impone la denuncia dell’accaduto entro 72 ore. Una best practice, operata da aziende mature e responsabili, prevede invece un aggiornamento tempestivo di clienti e fornitori di quanto accade, con la massima trasparenza.

Cos’è e in cosa consiste il LockBit

Si è trattato di un attacco ransomware con la tecnica del doppio ricatto. LockBit 2.0 è un ransomware relativamente nuovo, ma divenuto molto popolare e conosciuto in poco tempo. Un RaaS particolarmente famoso in Italia per il suo coinvolgimento negli attacchi contro la Regione Lazio e Accenture. A livello internazionale è stato il gruppo più attivo nel terzo trimestre 2021, con oltre 200 vittime.

Lo scopo primario di un’infezione da LockBit è quello di impattare quanto più possibile il business delle organizzazioni che colpisce, al fine di spingerle strategicamente verso una trattativa dove il pagamento del riscatto risulti sempre la via più facile e sicura per garantire il ripristino delle attività.

Quasi la totalità delle vittime sono infatti imprese commerciali alle quali viene chiesta una cifra media che varia fra gli 80 ed i 100 mila dollari di riscatto.

Tale cifra può cambiare di molto in base alla tipologia ed al settore in cui opera la vittima.

Come proteggersi da simili minacce?

Il ransomware che si diffonde attraverso i criteri di gruppo rappresenta l’ultima fase di un attacco.

L’attività dannosa dovrebbe diventare evidente molto prima, per esempio quando i criminali informatici entrano per la prima volta nella rete o tentano di hackerare il controller di dominio.

Per raggiungere lo scopo i cybercriminali usano spesso tecniche di ingegneria sociale ed e-mail di phishing per ottenere l’accesso iniziale.

Nel caso delle imprese, per evitare che i propri dipendenti cadano in questi trucchi, occorre migliorare la loro consapevolezza della sicurezza informatica con una formazione costante ed aggiornata.

LockBit rappresenta una minaccia molto importante per organizzazioni pubbliche e private.

Con moltissima probabilità continuerà a ricevere miglioramenti ed aggiornamenti: pertanto è consigliabile adottare ogni precauzione e pratica per scongiurare un simile attacco ed evitare spiacevoli conseguenze.

Hai bisogno di un aiuto professionale per aumentare la sicurezza dei tuoi device? Contatta Assitech.Net, i tuoi sistemi non saranno più un problema.

Attacco hacker alla Regione Lazio: l’importanza della Cybersecurity

attacco hacker regione lazio
attacco hacker regione lazio

L’attacco hacker alla Regione Lazio ha causato un blocco totale senza precedenti: ecco perché è fondamentale avere un’infrastruttura adatta e protetta.

Dopo aver carpito le credenziali di un amministratore di sistema di alto livello della Regione Lazio, l’attacco hacker ha portato delle conseguenze pressoché disastrose. Al punto tale da paralizzare non solo il settore sanitario — e quindi le prenotazioni per i vaccini (ma anche per qualsiasi visita medica) e la stessa campagna vaccinale — ma tutte le attività della Regione.

Come i cybercriminali sono riusciti a bucare la rete

Recentemente si è scoperto che a tenere aperto il computer del dipendente regionale di Frosinone in smart working sarebbe stato il figlio durante la notte.

Stando a quando ricostruito dagli investigatori, i criminali hanno quindi carpito ed utilizzato le sue credenziali per entrare nel sistema della Regione.

Hanno poi usato un software chiamato Emotet, una sorta di cavallo di Troia che ha creato una breccia e gli ha dato il pieno controllo del sistema per eseguire operazioni più profonde. A questo punto tutto era pronto per il passaggio finale, ovvero l’inserimento del ransomware, il programma che ha criptato i dati, anche lo stesso backup. Per poi chiedere un sostanzioso riscatto.

In cosa consiste il ransomware

Questo tipo di procedura ricalca un copione ormai consolidato, favorita però dall’assenza di un sistema di autenticazione a due fattori da parte del dipendente. Si tratta infatti di una doppia misura di sicurezza, che oltre a username e password chiede un secondo modo per confermare la propria identità, come per esempio un sms sul telefono o un’app che rilascia un codice.

Dopo essere riusciti ad entrare nel sistema, i criminali informatici bloccano l’accesso ai file e ai dati degli utenti e chiedono il pagamento di un riscatto in bitcoin per renderli nuovamente accessibili. In caso contrario l’intero sistema rimane inutilizzabile. Nonostante si riesca a eradicare il virus prima del ripristino dell’attività, non si è sicuri che basti a far tornare tutto come prima.

Negli ultimi tre anni i ransomware hanno avuto un’impennata in tutto il mondo: sono silenziosi, efficaci e molto remunerativi. Ci si accorge della crittazione solo quando tutto è ormai perduto e in genere le vittime, principalmente le aziende, pagano. In caso contrario i criminali minacciano di rendere pubblici alcuni dei dati che hanno criptato, tra cui dati sensibili dei clienti, brevetti e progetti in sviluppo.

Non eliminare lo smart working, ma implementare la sicurezza

Il Messaggero, nell’edizione romana, parlando dell’attacco hacker alla regione Lazio ha riportato un’inverosimile soluzione per risolvere il problema in futuro: l’indiscrezione è quella che la regione starebbe richiamando in sede tutti i dipendenti e gli addetti ai sistemi informatici per procedere a ulteriori verifiche sui dispositivi in loro possesso. Sostenendo che in qualche modo lo smart working abbia contribuito alla buona riuscita dell’attacco.

In realtà lo smart working e gli attacchi hacker non sono due realtà necessariamente collegate tra loro. Questi ultimi, infatti, avvengono continuamente anche sui dispositivi interni alle aziende.

La vera sfida sta nel respingerli ed avere una infrastruttura adatta e protetta che faccia sì che nessuno possa intrufolarsi nei sistemi aziendali.

Quando si lavora in remoto, le attenzioni sono le stesse che bisogna avere quando si lavora in ufficio:

  • impostare password complesse su router e rete wi-fi
  • creare regolarmente una copia di backup dei dati importanti
  • lavorare su dispositivi forniti dall’azienda
  • aggiornare i sistemi e il software
  • prevedere un’adeguata formazione dei dipendenti

Una delle tecniche più usate per infettare i computer con i ransomware è infatti l’ingegneria sociale. È importante perciò informarsi (e, nel caso delle aziende, informare tutti i dipendenti) su come si possano rilevare i malspam, i siti web sospetti e gli altri potenziali tranelli. E soprattutto, usare il buon senso.

Vuoi evitare che la tua azienda sia coinvolta in queste spiacevoli situazioni? Contatta Assitech.Net, i tuoi sistemi non saranno più un problema.