Scoperta in the wild, quindi già in diffusione contro utenti reali, una nuova variante del noto ransomware GandCrab. Questo ransomware, ormai alla 2 versione, bersaglia sopratutto paesi anglofoni e scandinavi. 

 

Viene diffusa principalmente attraverso email dannose recanti allegati mascherati da documenti PDF legittimi e archiviati entro file compressi in formato .7z. Il nome dell'allegato in questione è diverso da email a email, ma segue comunque uno schema ricorrente: "DOC[numeri casuali]-PDF.7z. 

Solitamente l'oggetto delle email fa riferimento a invio di documenti importanti, ricevute di pagamenti, ordini di vario tipo, ticket e buoni sconto ecc...Una tecnica pensata propri per ingannare l'utente e convincerlo a scaricare l'archivio compresso, estrarne i file contenuti ed eseguirli...

 

Se la vittima scarica e decomprime l'allegato, il codice Javascript contenuto crea un eseguibile dannoso che viene salvato nella cartella “%AppData%”: questo eseguibile contiene appunto il codice del ransomware GandCrab. Tra quelli analizzati, uno di questi eseguibili recava come nome “RoamingiqB44.Exe”. 

 

Lo stesso script aggiunge anche la chiave di registro

 

Lo script serve a lanciare automaticamente il ransomware all'avvio del computer. A questo punto il ransomware viene eseguito: GandCrab tenta subito di connettersi ad uno dei vari server di Comando e Controllo codificati al suo interno. La criptazione avviene usando l'algoritmo di cifratura RSA, che non altera tutto il file, ma solo una parte, quella sufficiente a rendere inutilizzabile dall'utente. Ogni file viene criptato utilizzando una chiave unica, il che rende molto molto difficile procedere alla decriptazione dei file stessi. 

 

I file che vengono criptati non vengono rinominati, ma il ransomware ne modifica l'estensione in .CRAB. 

 

nel codice GandCrab ospita anche informazioni riguardanti il tipo di file target: GandCrab 2.1 infatti non cripta tutti i file che incontra, ma solo le estensioni file contenute nel suo codice. Ecco sotto l'elenco:

 

In ogni cartella contenente file criptati, GandCrab 2.1 memorizza il file di testo " “CRAB-DECRYPT.txt”, contenente appunto la nota di riscatto. 

 

 

I link contenuti nella nota di riscatto rimandano ad un portale Web (vedi sotto) dove è possibile pagare la cifra richiesta (circa 1400 dollari), pagabili in due cripto valute, Bitcoin o DASH. 

 

Pagato il riscatto la vittima dovrebbe ottenere il tool per decifrare i file presi in ostaggio, ma non c'è alcuna assicurazione su questo: consigliamo sempre di non pagare la richiesta di riscatto. 

 

Quick Heal individua l'eseguibile dannoso come Trojan.Obfuscator e lo blocca, impedendo l'infezione del computer. Ricordiamo comunque di non scaricare mai allegati contenuti in email impreviste, sospette e dal mittente sconosciuto.