Cryptolocker: Breve spiegazione per i non addetti ai lavori

Tra la moltitudine di minacce informatiche in circolazione oggi, vorrei parlare di una delle peggiori, che in questo periodo sta colpendo svariati utenti. Si tratta di Cryptolocker, un trojan horse (cavallo di troia) in circolazione da fine 2013. Esso infetta i sistemi Windows e viene diffuso prevalentemente tramite mail, mascherato da file .pdf o da archivio .zip sfruttando una caratteristica di Windows che nasconde l’estensione dei file conosciuti. In pratica la mail viene ricevuta con un allegato del tipo fattura.pdf.exe oppure archivio.zip.exe ma, proprio a causa dell’appena menzionata caratteristica di Windows, nella maggior parte dei casi l’utente vede solo fattura.pdf o archivio.zip.

Se l’utente apre il file allegato l’infezione ha luogo immediatamente. Il trojan si installa sul PC e modifica il registro di sistema così da essere eseguito automaticamente all’avvio del computer. Una volta in esecuzione esso contatta un server remoto che genera una chiave RSA a 2048 bit inviando la chiave pubblica alla macchina infetta. A questo punto viene avviato un processo di crittografia dei dati presenti sul PC basandosi su questa chiave, processo che viene esteso ad unità di rete mappate, dischi esterni, memory stick, ecc. Una volta ultimata la fase di crittografia il trojan avverte l’utente che “il danno è fatto”, e richiede il pagamento di un riscatto per fornire la chiave privata per poter decifrare i file. La cifratura non interessa tutti i file del disco, ma solo quelli di tipo Office, delle suite opensource (Open Document), Autocad e altri tipi di documenti.

A questo punto, una volta compromessi, anche se si procedesse con la rimozione di Cryptolocker i dati resterebbero cifrati ed inutilizzabili, quindi se non si fosse in possesso di un backup consistente, l’unica alternativa sarebbe quella di pagare il riscatto (circa 300 euro). Per l’opzione di pagamento i criminali lasciano un lasso di tempo di alcune ore, solitamente 72 o 100 (3 o 4 giorni), entro le quali effettuare la transazione. In assenza di pagamento entro i termini ultimi la chiave privata viene eliminata dai cyber criminali, rendendo a tutti gli effetti impossibile decifrare i proprio dati.

Ci sono alcuni punti che vanno tenuti in grande considerazione, quando si parla di questo tipo di minaccia:

• Una volta infetti, se ancora in tempo, disconnettere immediatamente il PC dalla rete aziendale o domestica. Il processo di cifratura dei file infatti richiede del tempo e scollegandosi dal resto della rete si arginerebbero i danni;
• Per lo stesso motivo, una volta infetti disconnettere subito dal PC eventuali dischi esterni, memory stick, ecc.;
• Teniamo presente che i nostri dati non sono al sicuro nemmeno se residenti su un server centrale e non sul PC. Il trojan è infatti in grado di attaccare le unità di rete e quindi potrebbe arrivare a compromettere anche i dati del server;
• Avere un backup non ci mette al sicuro, a meno che non siano presi degli accorgimenti in tal senso. Poiché, come detto, vengono attaccati anche dispositivi di memorizzazione esterni, fare una ogni notte una copia dei nostri file di word su un disco esterno potrebbe non essere sufficiente, poiché anche la copia potrebbe venire cifrata.
• Servizi come DropBox o Google Drive non mettono i dati completamente al sicuro poiché una volta cifrati i file locali questi verrebbero sincronizzati con i servizi cloud. Bisognerebbe quindi ripristinare i file utilizzando la cronologia;

Una volta infetti, comunque, bisognerà decidere come comportarsi. In base a testimonianze raccolte in rete ci sono sia casi in cui l’utente pagante ha potuto recuperare i dati che casi opposti. Qualora si decidesse di non pagare le strada per poter recuperare i dati è una soltanto: avere un backup aggiornato e non compromesso (o avere attive le shadow copy sui volumi interessati). Non esiste infatti possibilità di decifrare i file con metodi di tipo brute force.

Per informazioni ulteriori su come affrontare un’infezione di Cryptolocker oppure come difendersi in modo preventivo contattatemi tramite blog oppure attraverso la pagina Facebook.