La segnalazione proviene di nuovo dal CERT-PA italiano che, nel corso del fine settimana, ha rilevato una campagna di email di spam che diffonde la versione 5.2 del ransomware GandCrab. In questa campagna, GandCrab viene diffuso tramite email contenenti un allegato .doc, contenente a sua volta una macro dannosa.

La macro è altamente offuscata per ridurre le possibilità di individuazione da parte delle soluzioni di sicurezza: una volta eseguita tenta immediatamente il download di un file rinominato "it.txt", dal percorso hXXp://134[.]209[.]88[.]23/it.txt. Una volta scaricato il file, lo esegue tramite cmstp.exe (MS Connection Manager Profile Installer) coi parametri
/ns --> questo parametro specifica che non deve essere creata un'icona sul desktop
/s --> specifica che l'installazione o la disinstallazione deve avvenire "silenziosamente", ovvero senza che venga visualizzato alcun prompt per richiedere permissioni all'utente.

Una volta installato, il ransomware esegue alcune verifiche preliminari prima di avviare la routine di criptazione: in prima battuta verifica se sulla macchina compromessa sono presenti processi relativi a soluzioni antivirus.

Nello specifico viene verificata la presenza, sul dispositivo infetto, dei seguenti antivirus:
Kaspersky
ESET
AntiVir
Avast
Norton
McAfee
Panda
Sygate Firewall
Kerio Personal Firewall
Trendmicro
F-Secure
Comodo
Windows Defender
La seconda verifica è relativa direttamente all'host compromesso: vengono raccolte una serie di informazioni. Sotto il codice responsabile di tali operazioni:

Ecco i dati raccolti:
pc_user = UTENTE
pc_name = NOME DELL'HOST
pc_group = GRUPPO DI LAVORO
pc_lang = it-IT
os_major= SISTEMA OPERATIVO
os_bit= 32 BIT, 64 BIT
ransom_id= 15 CARATTERI CASUALI
L'ultima verifica serve a individuare eventuali cartelle condivise sul sistema target. Quindi avviene la criptazione: il ransomware censisce i file e li cripta, cambia lo sfondo del desktop con una immagine contenenti informazioni per l'utente-vittima, copia la nota di riscatto (“IIPTHBGFBL-MANUAL.txt") e esegue una ultima verifica per avere la certezza che sul disco sia presente la nota di riscatto.

Il CERT-PA fornisce questo elenco di file target:

L'immagine di sfondo del Desktop

L'ultima operazione, a concludere le operazioni di criptazione è la rimozione delle copie shadow dei file tramite il comando "wmic.exe shadowcopy delete" (per impedire il ripristino dei file criptati) e l'invio delle informazioni raccolte al server hXXp://www[.]kakaocorp[.]link/.

La diffusione
Stando ai dati in possesso del CERT-PA questa campagna è mirata contro target High Tech principalmente locati in Europa.