La Posta Elettronica Certificata (PEC), soluzione spesso adottata per gestire i rapporti con la pubblica amministrazione ma anche quando sia necessaria prova certa dell’avvenuta comunicazione, va diffondendosi sempre più e, di pari passo, sempre più attira l’attenzione di malintenzionati. Il CERT-PA (Computer emergency response team della Pubblica amministrazione) ha scoperto che da qualche tempo in qua va diffondendosi proprio tramite PEC una nuova variante del ransomware FTCODE, che già aveva fatto danni nel mese di settembre.
Il CERT-PA ha rilevato in data odierna una nuova variante del ransomware FTCODE indirizzata verso PEC italiane e veicolata attraverso l’invio di mail da caselle (per lo più PEC) precedentemente compromesse.
La variante presenta numerose parti di codice in comune con il ransomware FTCODE della precedente campagna, in particolare la funzione usata per la persistenza, quella per la comunicazione con il C&C, quella per l’esecuzione di comandi sulla macchina e quella per la cifratura del contenuto dei file. Altra struttura simile è il ciclo per l’enumerazione dei file da cifrare ma rispetto alla versione originale sono state introdotte alcune migliorie:
- Il file di lock usato per garantire una singola istanza del malware è considerato non valido dopo 30 minuti. Questo evita possibili “vaccinazioni” o deadlock.
- Crea un GUID univoco per macchina in un file di lavoro (ma sembra generarlo ad ogni avvio, forse un bug?)
- I file sono rinominati con un’estensione casuale (i primi 6 caratteri di un GUID)
- La password è generata tramite Get-Random e non tramite Membership.GeneratePassword. Essa è composta da 50 caratteri alfanumerici e viene sempre inviata in chiaro al C&C.
- La pagina HTML con le istruzioni per pagare il riscatto è codificata in base64 anziché essere in chiaro.
- Le cartelle Windows, Temp, Recycle, Intel, OEM, Program Files e ProgramData non sono cifrate.
- In caso di errore durante la cifratura di un file, o durante l’enumerazione di questi, l’errore viene inviato al C&C.
Dato che la PEC viene usata anche per comunicare con clienti e fornitori, FTCODE si nasconde all’interno di un messaggio che può presentarsi come una fattura in scadenza o una comunicazione analoga.
In allegato c’è un archivio, che a sua volta contiene un file in formato Word (.doc), il quale ospita una macro malevola.
Chi apre il file credendo che sia davvero ciò che dice di essere e, fidandosi, accetta l’attivazione delle macro viene infettato dal ransomware vero e proprio, che provvede a cifrare i dati (ma non le cartelle di sistema di Windows) e a richiedere un riscatto.
In tutti i casi come questo, la raccomandazione è sempre la stessa: oltre a dotarsi di una buona soluzione di sicurezza (antivirus, antimalware), gli utenti devono innanzitutto stare in guardia e non fidarsi di tutto ciò che arriva nella loro casella di posta, anche se ha un aspetto ufficiale: il malware può arrivare anche via posta certificata.
