Nelle ultime ore, l’azienda di sicurezza informatica TGSoft, ha diramato un comunicato contenente alcune interessanti informazioni, inerenti l’evoluzione degli attacchi perpetrati attraverso malware ransomware, destinati specificatamente nel colpire l’utenza italiana. Secondo quanto riportato, al momento risulterebbero presenti In-The-Wild, alcune varianti del Trojan-Ransomware identificato da Microsoft con il nome: Trojan:Win32/LockScreen (nel link, risulta essere presente la scheda originale del malware, mentre quella descritta da questo bollettino, è una variante che conserva parte delle caratteristiche del suo progenitore), già ampiamente diffuso in tutta europa e responsabile di una nutrita pletora d’attacchi perpetrati attraverso la visualizzazione di un messaggio d’avviso alla vittima, indirizzato nell’incutere timore e nel provocare l’invio di SMS a numerazioni premium (o versamenti a conti bancari attivi presso paradisi fiscali o nazioni ove la capacità di rogatoria internazionale risulti essere inefficace), con la promessa di ricevimento dei codici di sblocco necessari al fine di permettere la restituzione del controllo dell’OS, all’utente.
In realtà, com’è stato identificato in più casi, l’esecuzione delle operazioni richieste dall’attacker, in genere tende nel risultare in una continua azione estorsiva a danno delle vittime.
Nel caso specifico identificato da TGSoft, la schermata visualizzata dal Trojan-Ransomware, appare come segue (fig. 1):
(fig. 1)
Il comunicato, visualizzato durante l’avvio del sistema, impedisce la vittima nel poter accedere regolarmente al desktop, di fatto rendendo inutilizzabile il computer, fino ad avvenuta esecuzione delle direttive impartite dal perpetratore e riportate nel testo presentato.
Nel contenuto riportato, è possibile individuare alcuni elementi che potrebbero indurre l’utente nel ritenere lecita e valida sia la sorgente del messaggio, sia le richieste avanzate (stemma SIAE, linguaggio formale, citazione di leggi e commi, informazioni apparentemente correlate alla propria connessione di rete Internet). In realtà, la formattazione ed i contenuti della pagina sono stati creati allo scopo di spaventare la vittima, al fine d’indurre la stessa (con maggior decisione), nel seguire strettamente quanto riportato dal testo. SIAE, polizia ed altri organi di Stato risultano essere totalmente estranei all’intera vicenda.
Consigli Utili
- Il computer è infetto. A seconda della tipologia di variante del ransomware attivo nel sistema, può accadere che le informazioni precedentemente contenute nell’elaboratore, risultino essere sottoposte a cifratura, da parte del malware (sempre per ragioni direttamente correlate all’atto estorsivo). Spesso, tale azione viene operata dopo un certo periodo di attività del computer. Per tali ragioni, in caso di visualizzazione della pagina presentata in fig.1, è sconsigliata l’accensione del sistema per lunghi periodi. Al contrario, si consiglia di contattare il supporto tecnico (rivenditore di fiducia o eventuale negozio d’assistenza informatica ecc.), il prima possibile, descrivendo con chiarezza quanto visualizzato dal terminale, al momento dell’avvio/riavvio.
- Si consiglia di NON PROCEDERE nell’eseguire le operazioni riportate dalla schermata, al fine di ottenere il codice di sblocco. Quest’azione infatti, non comporta la ricezione di alcuna informazione utile alla vittima, ma semplicemente il susseguirsi delle richieste d’estorsione. Inoltre, le coordinate di versamento fornite dal Vyxer, potrebbero non essere corrette, complete o al momento-utile attive (in genere, i gestori di sistemi di pagamento online, tendono nel sospendere l’accesso e l’utilizzo degli account segnalati come potenzialmente coinvolti in attività criminose).
- Al fine di ridurre l’eventuale perdita di dati derivante dall’azione operata dai Trojan-Ransomware (e dai malware, in genere), è consigliata l’esecuzione di backup periodici delle informazioni contenute nel disco rigido principale. Tale operazione può essere compiuta manualmente, o tramite l’ausilio di opportuni software (i quali, provvedono nell’attuazione delle copie periodiche dei dati, in totale autonomia).
- Il Trojan:Win32/LockScreen e relative varianti, risulta inoculato durante la normale navigazione. Per poter mitigare eventuali rischi d’infezione, si consiglia l’utilizzo di browser sicuri, adeguatamente e periodicamente aggiornati (se possibile dotati di eventuali estensioni di sicurezza, plug-in o configurazioni, destinate nell’impedire l’auto-esecuzione di script ecc.), nonché l’aggiornamento costante del software antivirale attivo nel terminale.
Nelle ultime ore, Trend Micro ha diramato un avviso inerente l’identificazione di un nuovo network worm, diffuso sia attraverso l’ausilio dei software di Instant Messagging, connessi al sistema di chat integrato presso il social network Facebook, sia tramite allegati propagati via messaggistica privata (funzione presente nella piattaforma stessa).
