Ransomware V (Dharma)

Le minacce informatiche sono diventate sempre più sofisticate, rendendo fondamentale per gli utenti implementare misure di sicurezza efficaci per proteggere i propri dispositivi. Un ceppo di ransomware particolarmente aggressivo, il V (Dharma) Ransomware, cifra i file e richiede un pagamento per la decrittazione. Comprendere come funziona questa minaccia e adottare solide pratiche di sicurezza è essenziale per rimanere al sicuro.

Come il ransomware V (Dharma) crittografa i file

Il ransomware V (Dharma) appartiene alla famiglia Dharma , un noto gruppo ransomware che prende di mira principalmente i sistemi Windows. Una volta infiltratosi in un dispositivo, crittografa i file e ne modifica i nomi aggiungendo un ID vittima univoco, un indirizzo email controllato dall'aggressore e l'estensione '.V'. Ad esempio, un file denominato '1.png' diventa '1.png.id-9ECFA84E.[vijurytos@tuta.io].V', mentre '2.pdf' viene rinominato in '2.pdf.id-9ECFA84E.[vijurytos@tuta.io].V'.

Una volta completata la crittografia, il ransomware V visualizza una nota di riscatto pop-up e crea un file di testo denominato "info.txt" nelle directory interessate. La nota di riscatto chiede alle vittime di contattare gli aggressori tramite e-mail, includendo il loro ID univoco. Se non si riceve risposta entro 12 ore, viene fornito un indirizzo e-mail secondario.

Richieste di riscatto e tattiche

La richiesta di riscatto avverte le vittime che i loro file sono stati cifrati e possono essere ripristinati solo acquistando uno strumento di decrittazione dagli aggressori. Per convincere le vittime che la decrittazione è possibile, i criminali si offrono di decifrare fino a tre file (sotto i 3 MB) gratuitamente, a condizione che i file non contengano dati preziosi.

Inoltre, la nota scoraggia le vittime dal rinominare i file crittografati o dal tentare di utilizzare software di decrittazione di terze parti, avvertendo che ciò potrebbe comportare una perdita permanente di dati o richieste di riscatto più elevate. È incluso un collegamento per acquistare Bitcoin, sottolineando che i pagamenti del riscatto devono essere effettuati in criptovaluta.

Tattiche furtive e meccanismi di persistenza

Il ransomware V condivide molti tratti con altre varianti di Dharma, il che lo rende altamente efficace nel bloccare i dati delle vittime. Oltre alla crittografia, esegue diverse azioni per rafforzare la sua presa su un sistema infetto:

• Disattivazione delle funzionalità di sicurezza: il ransomware disattiva il firewall del sistema per evitare di essere rilevato.
• Eliminazione delle copie di backup: rimuove le copie shadow del volume (file di backup di Windows), rendendo difficile il recupero dei dati senza una chiave di decrittazione.
• Garantire la persistenza: V copia se stesso nella directory '%LOCALAPPDATA%' e modifica le chiavi di esecuzione del registro di sistema di Windows per avviarle ogni volta che si avvia il sistema.

• Targeting selettivo: il ransomware potrebbe evitare di crittografare i file in posizioni specifiche, il che probabilmente garantirebbe la continua funzionalità del sistema o eviterebbe il rilevamento.

Come si diffonde il ransomware V (Dharma)

Gli aggressori utilizzano vari metodi per distribuire il ransomware V, prendendo di mira gli utenti che espongono inconsapevolmente i loro sistemi a rischi per la sicurezza. Alcuni dei vettori di infezione più comuni includono:

• Servizi Remote Desktop Protocol (RDP) compromessi: gli autori delle minacce sfruttano le credenziali RDP deboli eseguendo attacchi brute-force o tramite dizionario per ottenere un accesso non autorizzato.
• Allegati e link fraudolenti alle e-mail: gli utenti potrebbero ricevere e-mail di phishing con allegati infetti o link che indirizzano a siti Web che distribuiscono ransomware.
• Sfruttamento delle vulnerabilità del software: i criminali informatici sfruttano le falle di sicurezza non corrette per installare ransomware sui sistemi vulnerabili.
• Software pirata e programmi craccati: scaricare software da fonti non ufficiali aumenta il rischio di imbattersi in file eseguibili infettati da ransomware.
• Pubblicità false e siti web non sicuri: gli utenti potrebbero essere indotti a scaricare ransomware tramite pubblicità ingannevoli o siti web compromessi.
• Unità USB infette: a volte i criminali informatici utilizzano unità esterne infette per diffondere ransomware quando vengono collegate a un dispositivo di destinazione.

Le migliori pratiche per rafforzare la sicurezza

Per prevenire le infezioni da ransomware è necessario un approccio proattivo alla sicurezza informatica. Ecco le misure più efficaci che gli utenti dovrebbero adottare per proteggere i propri dispositivi:

• Utilizza password difficili da decifrare e abilita l'autenticazione a più fattori (MFA) : proteggi gli account RDP e online con password complesse e univoche e abilita l'MFA per impedire accessi non autorizzati.
• Mantieni aggiornati software e sistemi operativi : installa regolarmente aggiornamenti di sicurezza per correggere le vulnerabilità che il ransomware potrebbe sfruttare.
• Disattiva i servizi RDP inutilizzati : se l'accesso al desktop remoto non è necessario, disattiva RDP per eliminare un vettore di attacco comune.

• Eseguire regolarmente il backup dei dati : archiviare i backup su dispositivi esterni o servizi cloud non direttamente connessi al sistema centrale per impedire al ransomware di crittografarli.

• Siate prudenti con gli allegati e i link delle e-mail : evitate di accedere ad allegati e-mail inaspettati o di cliccare su link sospetti, anche se sembrano provenire da fonti attendibili.

• Scarica software solo da fonti ufficiali : evita programmi pirata e downloader di terze parti, poiché spesso contengono codice dannoso.

• Utilizzare un software di sicurezza con protezione ransomware : sebbene nessuno strumento garantisca una protezione completa, le soluzioni di sicurezza con funzionalità di rilevamento ransomware possono aiutare a prevenire le infezioni.

• Abilita la segmentazione della rete : se si utilizzano più dispositivi, isolare i sistemi critici dalle macchine di uso generale per limitare la capacità del ransomware di diffondersi in una rete.

Considerazioni finali

Il ransomware V (Dharma) è una minaccia altamente destabilizzante che crittografa i file e richiede il pagamento di un riscatto alle vittime. Poiché gli aggressori rimuovono deliberatamente le copie di backup e disabilitano le funzionalità di sicurezza, ripristinare i dati crittografati senza una chiave di decrittazione può essere estremamente difficile. La misura migliore per evitare di cadere vittima del ransomware è adottare forti abitudini di sicurezza informatica, conservare backup dei file essenziali e rimanere vigili quando si naviga sul Web o si aprono e-mail.