La "doppia estorsione" di Pay2Key, una nuova minaccia per i tuoi dati

I ricercatori di sicurezza informatica hanno scoperto una nuova minaccia sulla rete: un ransomware chiamato Pay2Key che applica una nuova metodologia di attacco per estorcere e frodare le sue vittime in meno di 1 ora. 

Il potenziale pericolo rappresentato da questa novità ransomware attualmente è dovuto alla sua velocità nell'eseguire un attacco. Pay2Key è progettato per dirottare e crittografare i dati della vittima in meno di 1 ora e quindi richiedere un riscatto criptovalute. Come spiega la divisione di intelligence sulle minacce informatiche, Check Point Research, questo ransomware precedentemente sconosciuto lancia attacchi contro aziende israeliane dall'inizio di novembre, ottenendo l'accesso alle reti di diverse organizzazioni e aziende di questo paese per dirottare i loro dati. 

Check Point si distingue sul tuo ricerca che l'aggressore dietro questo ransomware potrebbe essere riuscito ad accedere alle reti delle vittime prima di eseguire l'attacco, ma che Pay2Key presenta anche una qualità importante e inquietante e cioè la capacità “fai una mossa rapida per diffondere il ransomware in un’ora su tutta la rete”. Da parte loro, i ricercatori di Check Point sottolineano che dopo aver eseguito l'attacco e aver completato l'infezione dell'intera rete, le vittime hanno ricevuto un messaggio dagli aggressori in cui si informava che dovevano pagare una ricompensa per riprendere l'accesso e il controllo dei propri dati e crittografarli informazioni e, a giudizio dei ricercatori, la cifra richiesta come ricompensa è relativamente bassa; tra circa 7 e 9 bitcoin (BTC), equivalenti rispettivamente a circa 112.000 dollari e 144.000 dollari, in base al prezzo attuale della criptovaluta al momento della stesura di questo articolo. 

Si può essere interessati: Un bug critico colpisce i multisig di Bitcoin SV

Chi è colpito da questo ransomware?

Questo attacco è rivolto ai sistemi operativi Windows e secondo i ricercatori l'infezione iniziale della rete viene probabilmente effettuata tramite una connessione RDP (Remote Desktop Protocol o Remote Desktop Protocol), che consente la comunicazione tra un server e un terminale per l'esecuzione di un'applicazione o di un software. Allo stesso modo, i ricercatori spiegano che siamo di fronte a uno dei ransomware più solidi sul mercato, poiché Pay2Key utilizza gli algoritmi AES e RSA per la crittografia. 

Origine di Pay2Key

A quanto pare, i ricercatori di Check Point non sono riusciti a collegare questo ransomware ad altri software dannosi di questa famiglia conosciuti sul mercato, quindi presumono che si tratti di un ransomware sviluppato da zero. Il team di ricercatori ha inoltre osservato che l'identità dell'aggressore è ancora sconosciuta, anche se diverse tracce rilevate nel codice fanno pensare che non sia un "madrelingua inglese". Check Point evidenzia che ci sono molti errori di battitura nel codice e nel file di registro, comprese diverse incongruenze che mostrano che la persona potrebbe non provenire da paesi di lingua inglese. 

"Quando abbiamo analizzato il funzionamento del ransomware Pay2Key, non siamo stati in grado di correlarlo con nessun altro ceppo di ransomware esistente e sembra che sia stato sviluppato da zero."

La prima volta che questo ransomware è stato rilevato è stato il 26 ottobre, quando è stato registrato il suo “primo campione”. D'altro canto, il primo attacco registrato con questo ransomware è avvenuto circa una settimana dopo la sua comparsa, il 1° novembre, quando un'azienda israeliana ha segnalato l'accaduto. 

Questo ransomware è scritto in linguaggio C++, il linguaggio dominante nel codice Bitcoin, Bitcoin Core; Inoltre, Pay2Key è compilato con MSVC++ 2015 che rende più semplice dirigere i suoi attacchi verso obiettivi specifici, riferiscono i ricercatori. 

Ransomware difficile da rilevare

Check Point rivela che, per il momento, è disponibile solo il servizio di scansione antivirus VirusTotal, creato dalla società spagnola Hispasec Sistemas, è riuscito a rilevare il ransomware, anche se non utilizza un "Packer" o una protezione di alcun tipo per nascondere le sue funzionalità interne dannose. In questo senso sembra difficile che altri antivirus presenti sul mercato rilevino questo problema e che gli utenti dei sistemi operativi Windows dovrebbero usare il buon senso per cercare di proteggersi dalla nuova minaccia. Rivela inoltre che durante l'analisi del ransomware hanno notato diversi miglioramenti al codice, il che dimostra che i creatori di questo software dannoso ci stanno lavorando attivamente e stanno aggiungendo nuove funzioni per migliorare gli attacchi. 

"Nell'ultima versione del ransomware abbiamo notato che gli aggressori hanno aggiunto un meccanismo di autodistruzione, nonché un nuovo argomento della riga di comando: noreboot. Il nuovo meccanismo di “pulizia” è responsabile dell’eliminazione dei file creati dall’aggressore e del riavvio della macchina”.

Curiosamente, Check Point sottolinea che il conto KeyBase, creato con il nome "Pay2Key", riporta lo stesso logo della smart contract Pay2Key EOSIO, apparentemente perché quando si cerca “Pay2Key” su Google Immagini, il logo dello smart contract è uno dei primi risultati visibili. 

I rischi della doppia estorsione Pay2Key

Oltre a rapire e crittografare dati e informazioni delle vittime e a chiedere il pagamento di un riscatto, gli aggressori stanno implementando una nuova tecnica, sempre più comune nel campo degli attacchi informatici, per esercitare maggiore pressione sulle vittime e costringerle a pagare il riscatto richiesto nel più breve tempo possibile. tempo possibile. 

"La doppia estorsione è una tattica che esercita ulteriore pressione sulle vittime affinché paghino il riscatto con la minaccia di fuga di dati aziendali rubati dalle reti online delle vittime."

Pertanto, Pay2Key segue questa tendenza minacciando le sue vittime di pubblicare le informazioni del rapimento nel caso in cui le vittime si rifiutino di pagare un riscatto o come indicato nel messaggio degli aggressori; pubblicazione "Informazioni importanti... nel caso in cui non riuscissimo a concludere un buon affare!". I ricercatori di Check Point affermano che gli aggressori sembrano destinati a dare seguito a tali minacce, poiché hanno creato un nuovo sito Web chiamato Onion, destinato a condividere i dati trapelati dalle vittime di Pay2Key che non pagano la ricompensa. 

Ad oggi, sul sito sono stati pubblicati i dati di 3 aziende israeliane vittime di questo attacco e sebbene l'attacco sia rivolto principalmente contro organizzazioni e aziende di questo paese, un segnalare de Swascan registra una nuova vittima in Europa. 

Monitoraggio dei soccorsi

A quanto pare, circa 4 aziende attaccate con questo ransomware hanno effettuato il pagamento del riscatto, cosa che ha consentito al team di ricercatori di seguire la destinazione dei pagamenti effettuati in BTC. Come ben sappiamo, Bitcoin è una rete decentralizzata e open source, quindi i pagamenti e le transazioni vengono effettuati all’interno di questa blockchain Possono essere monitorati dalla loro origine fino alla destinazione finale. 

Pertanto, Check Point indica che, analizzando le transazioni in BTC dal momento in cui le vittime effettuano il deposito all'indirizzo inviato dall'aggressore e l'intero viaggio di questo denaro attraverso vari indirizzi di «wallet intermediari", sono riusciti a scoprire che l'indirizzo del "portafoglio finale" è associato alla società di servizi finanziari con criptovalute Excoino, che mantiene la propria sede in Iran. Secondo il rapporto, questa società richiede all'utente di avere un numero di telefono iraniano e un codice identificativo validi; Inoltre, per poter operare sull’exchange, Exocoino richiede anche una copia del documento d’identità, quindi i proprietari dei portafogli finali sono cittadini iraniani, che probabilmente sono dietro l’attacco alle società israeliane.

Raccomandazioni per la sicurezza

Prima di tutto, i ricercatori suggeriscono di mantenere backup aggiornati dei dati e delle informazioni archiviati più importanti, in modo che se sei vittima di questo ransomware, potrai accedere alle informazioni. Allo stesso modo, si consiglia di mantenere aggiornate le versioni antivirus di Windows e altre applicazioni e di scaricare tali aggiornamenti dai siti Web ufficiali delle società e non da collegamenti o allegati di posta elettronica o da siti pubblicizzati con mezzi esterni. 

Gli sviluppatori ritengono inoltre importante rimanere informati sui nuovi attacchi informatici e sulle minacce che emergono sul mercato in modo che utenti, aziende e organizzazioni possano avere “consapevolezza situazionale” sui rischi esistenti che compromettono le loro informazioni. E se si rileva qualche anomalia, si suggerisce di segnalarla immediatamente al fornitore di servizi di sicurezza informatica o al dipartimento di sicurezza informatica dell'azienda o organizzazione corrispondente. 

Continua a leggere: Nuovo APT: ESET scopre il gruppo XDSpy che ruba dati riservati ai governi europei