CryptoLocker

CryptoLocker è un trojan comparso nel tardo 2013, perfezionato poi nel maggio 2017. Questo malware è una forma di ransomware infettante i sistemi Windows e che consiste nel criptare i dati della vittima, richiedendo un pagamento per la decriptazione. Symantec stima che circa il 3% di chi è colpito dal malware decide di pagare. Alcune vittime dicono di aver pagato il riscatto ma di non aver visto i propri file decriptati.

Funzionamento

CryptoLocker generalmente si diffonde come allegato di posta elettronica apparentemente lecito e inoffensivo che sembra provenire da istituzioni legittime, o viene caricato su un computer già facente parte di una botnet. Un file ZIP allegato alla e-mail contiene un file eseguibile con una icona e una estensione pdf, avvalendosi del fatto che i recenti sistemi Windows non mostrano di default le estensioni dei file (un file chiamato nomefile.pdf.exe sarà mostrato come nomefile.pdf nonostante sia un eseguibile). Alcune varianti del malware possono invece contenere il Trojan Zeus, che a sua volta, installa CryptoLocker.

Al primo avvio, il software si installa nella cartella Documents and Settings (o "Utenti", nei sistemi operativi Windows più recenti) con un nome casuale e aggiunge una chiave al registro che lo mette in avvio automatico. Successivamente tenta di connettersi a uno dei server di comando e controllo. Una volta connesso il server genera una chiave RSA a 2048 bit e manda la chiave pubblica al computer infetto. Il server di comando e controllo può essere un proxy locale e passare per altri, ripresentandosi spesso in nazioni differenti così da renderne difficile il tracciamento. Il malware quindi inizia a cifrare i file del disco rigido e delle condivisioni di rete mappate localmente con la chiave pubblica salvando ogni file cifrato in una chiave di registro. Il processo cifra solo dati con alcune estensioni, tra queste: Microsoft Office, Open document e altri documenti, immagini e file di Autocad. Il software quindi informa l'utente di aver cifrato i file e richiede un pagamento di 300 USD o Euro con un voucher anonimo e prepagato (es. MoneyPak o Ukash), o 0.5 Bitcoin per decifrare i file. Il pagamento deve essere eseguito in 72 o 100 ore, o altrimenti la chiave privata viene cancellata definitivamente e "mai nessuno potrà ripristinare i file". Il pagamento del riscatto consente all'utente di scaricare un software di decifratura con la chiave privata dell'utente già precaricata.

Conseguenze

Anche se CryptoLocker venisse rimosso subito, i file rimarrebbero criptati in un modo che i ricercatori ritengono inviolabile. Molti dicono di non pagare, ma non offrono alcun modo per recuperare i file, altri dicono che pagare sia l'unico modo per recuperare i file di cui non si disponga di un backup non compromesso.

Nel novembre 2013, gli operatori di CryptoLocker hanno lanciato un servizio online che promette di decifrare i file senza il programma e che permette di comprare la chiave di decifratura dopo la decorrenza dei termini. La procedura comprende l'invio di un file criptato al server come campione, la cui corrispondenza sia verificabile nell'arco delle successive 24 ore. Una volta trovata la chiave l'utente potrà comprarla online nelle successive 72 ore, alla cui scadenza il costo verrà aumentato a 10 bitcoin (che ai primi di novembre 2013 valevano circa 3500 USD)

Mitigazione del danno

A dispetto del fatto che le suite di sicurezza siano progettate per trovare tali minacce, può capitare che CryptoLocker non sia individuato del tutto o lo sia solo dopo che la cifratura è iniziata o è stata completata, specie se una nuova versione sconosciuta a un antivirus venga distribuita. Se si sospetta un attacco o questo è ai primi stadi, poiché è necessario un po' di tempo perché sia completata la cifratura, la rimozione immediata del malware (un procedimento relativamente semplice) prima del completamento della suddetta cifratura può significativamente ridurre la perdita di dati. Gli esperti consigliano di prendere misure preventive, come usare programmi o politiche di sicurezza che impediscano a CryptoLocker d'essere avviato.

A causa della natura delle operazioni di CryptoLocker, alcuni esperti, sebbene con riluttanza, affermano che pagare sia l'unico modo per riavere i file, in assenza di un backup di ricostruzione (particolarmente un backup offline inaccessibile da rete, o la protezione continua dei dati di Windows 'windows shadow copy'). A causa della lunghezza della chiave utilizzata, si considera praticamente inefficace un attacco a forza bruta per ottenere, senza pagare, quella necessaria alla decifratura dei file. Il worm è simile al 2008 Gpcode.AK, che usava una chiave a 1024 bit, considerata abbastanza grande da risultare indistruttibile senza uno sforzo organizzato e distribuito, o senza la scoperta di un 'flaw' utilizzabile per decifrarla. Nel tardo ottobre 2013 Kaspersky Labs ha riportato che un DNS Sinkhole è stato creato per bloccare alcuni dei domini di CryptoLocker.

Prevenzione

Uno dei sistemi di prevenzione più efficaci è impedire l'esecuzione di programmi all'interno della cartella AppData. Questa cartella è presente in tutti i sistemi e la sua posizione dipende dalla versione di Windows utilizzata, può trovarsi dentro Documents and Settings (o "Utenti", nei sistemi operativi Windows più recenti). Per effettuare questa modifica è necessario aggiungere le restrizioni nei Criteri di sicurezza locali presenti nel pannello di controllo. Ad esempio, per i sistemi Windows Vista o superiori si può utilizzare il seguente elenco di regole:

Path	Security Level	Suggested Description
%AppData%\*.exe	Disallowed	Previene l'esecuzione dei programmi in AppData*
%AppData%\*\*.exe	Disallowed	Previene l'esecuzione dei programmi nelle sottocartelle di AppData
%LocalAppData%\Temp\Rar*\*.exe	Disallowed	Previene l'esecuzione di programmi estratti automaticamente da file compressi di tipo Rar scaricati tramite e-mail
%LocalAppData%\Temp\7z*\*.exe	Disallowed	Previene l'esecuzione di programmi estratti automaticamente da file compressi di tipo 7z scaricati tramite e-mail
%LocalAppData%\Temp\wz*\*.exe	Disallowed	Previene l'esecuzione di programmi estratti automaticamente da file compressi di tipo wz scaricati tramite e-mail
%LocalAppData%\Temp\*.zip\*.exe	Disallowed	Previene l'esecuzione di programmi estratti automaticamente da file compressi di tipo zip scaricati tramite e-mail

Inoltre, con lo scopo di prevenire questo virus, valgono le normali regole di prevenzione per Malware, ad esempio:

• Effettuare backup periodici su dischi esterni.
• Evitare l'utilizzo di cartelle condivise in reti pubbliche.
• Visualizzare l'estensione dei file all'interno di Esplora Risorse.
• Verificare l'host dei link prima del click dal browser.
• Non eseguire allegati di e-mail sospette.

Voci correlate

• Operazione Tovar

Collegamenti esterni

• Threat Outbreak Alert: Email Messages Distributing Malicious Software on October 11, 2013, su Cisco Security Intelligence Operations Portal, San Jose, CA, USA, Cisco Systems, 14 ottobre 2013. URL consultato il 30 ottobre 2013.
• CryptoLocker Scan Tool, su omnispear.com.
• Approfondimenti sul tema CryptoLocker e ransomware, su migliorhosting.biz. URL consultato il 31 ottobre 2014 (archiviato dall'url originale il 4 novembre 2014).
• Virus Cryptolocker: cos’è, come evitarlo e decriptare i file, su max89x.it.
• (EN) Cryptolocker: How to avoid getting infected and what to do if you are, su Computerworld.