CTB-Locker: virus cripta i file con un’email di Equitalia

Enrico Marcolini · 2016-04-06

CTB-Locker: virus cripta i file con un’email di Equitalia

Di Enrico Marcolini Problemi risolti con successo attacco, Cryptolocker, ransomware, Virus 3 Commenti

CTB-Locker è un virus che cripta i file ed è attivo ormai da diversi mesi. Nelle ultime ore si sta diffondendo questa ennesima versione della minaccia informatica attraverso una falsa email di Equitalia e purtroppo molti utenti stanno cadendo nella trappola; il recupero dei file non è assicurato.

Vuoi una prova gratuita di recupero di un file?

Carica qui un file criptato, proverò a ripristinarlo con diverse tecniche professionali.

Se vuoi inviarmi un file criptato posso fare un tentativo di recupero..
Sono accettate tutte le estensioni, come ad esempio .encrypted .cerber .cerber2 .cerber3 .abc .aaa .ccc .ecc .exx .ezz .vvv .zzz .xxx .ttt, .jpg, .jpeg, .pdf, .micro, .mp3, .locky, .locked, .crypted, .surprise, .crypt, .cryp1, .crypz, .zepto, Lock. e molte altre.

L'email di spam di Equitalia

Il mittente dell’email contenente il virus è spesso pagamento@gruppoequitalia.it ed il testo contenuto nel messaggio è questo:

Oggetto: AVVISO NUMERO 000793348

Agente della Risossione
Equitalia S.p.A.
Via Cristoforo Colombo 499 – 0049997 – Roma

Art. 26 D.P.R. 29/09/1973, n. 602 e successive modifiche – Art. 60 D.P.R. 29/09/1973, n. 499, Art. 139 c.p.c.

Gentile indirizzoemail,

Il suindicato Agente della Riscossione avvisa, ai sensi delle intestate disposizioni di legge , di aver depositato in data odierna, nella Casa Comunale del Comune il seguente avviso di pagamento “Documento Numero 000793348” del 06/04/2016 , composto da 3 pagina/e di elenchi contribuenti a nr. 7 atti [ Scarica il documento ]
© Equitalia S.p.A. C.F. P.I. 0917089156499

Cliccando sul collegamento presente all’interno dell’email, l’utente viene indirizzato ad una pagina che scarica il file “Documento Numero 000793348.pdf.exe” di 822 Kb.

oppure in una variante più recente:

Oggetto: AVVISO NUMERO 00071552

Agente della Risossione
Equitalia S.p.A.
Via Cristoforo Colombo 405 – 0040597 – Roma

Art. 26 D.P.R. 29/09/1973, n. 602 e successive modifiche – Art. 60 D.P.R. 29/09/1973, n. 405, Art. 139 c.p.c.

Gentile indirizzoemail,

Il suindicato Agente della Riscossione avvisa, ai sensi delle intestate disposizioni di legge , di aver depositato in data odierna, nella Casa Comunale del Comune il seguente avviso di pagamento “Documento Numero 00071552” del 13/04/2016 , composto da 7 pagina/e di elenchi contribuenti a nr. 19 atti [ Scarica il documento ]
© Equitalia S.p.A. C.F. P.I. 0954689156405

Cliccando sul collegamento presente all’interno dell’email, l’utente viene indirizzato ad una pagina che scarica il file “Documento Numero 00071552.pdf.exe” di 822 Kb.

Analogamente a questi due esempi ecco altre varianti: “AVVISO NUMERO 000071552”, “AVVISO NUMERO 000793348”, “AVVISO NUMERO 00045552”, “AVVISO NUMERO 000793348”, “AVVISO NUMERO 00082657”, “AVVISO NUMERO 09794563457”, “AVVISO DI PAGAMENTO n.198432”, “AVVISO DI PAGAMENTO n.0074885040”, “AVVISO DI PAGAMENTO n.0002807796”, “AVVISO DI PAGAMENTO n.000093498267”.

Ovviamente questi file non sono pdf seppure l’icona rappresenti la tipica immagine di Adobe Reader, ma eseguibili che una volta avviati si replicano ed iniziano il processo di criptazione dei file.

Dopo aver criptato i file e le foto CTB-Locker propone all’utente la decriptazione di alcuni file per guadagnarsene la fiducia e indurlo al pagamento. Ho analizzato questo processo e ho scoperto che in realtà questi file non sono criptati, ma solamente rinominati con l’estensione casuale. Quindi questi 5 file in realtà non vengono decriptati dal virus, ma vengono semplicemente ripristinati con il nome originale.

Il virus propone il pagamento del riscatto invitando l’utente a visitare l’indirizzo https://tmc2ybfqzgkaeilm.tor2web.org/ dal quale è possibile, teoricamente, pagare il riscatto, ma come sai questa non è mai la pratica consigliata.

CTB-Locker è leggermente diverso dagli altri ransomware in quanto la richiesta di riscatto del virus non è contenuta all’interno delle cartelle criptate come per la grande maggioranza degli altri virus di questo tipo.
Il messaggio minaccioso viene impostato come sfondo del desktop ed è completato da un conto alla rovescia per aumentare il panico nell’utente. Le estensioni dei file vengono cambiate e vengono aggiunti 7 caratteri casuali.

Recuperare o decriptare i file criptati da CTB-Locker

Dopo una rapida analisi del tipo di virus, ho dedotto che la chiave di decriptazione per questa variante potrebbe essere una sola, ma al momento non è disponibile online.

Ti consiglio comunque di provare tutte le tecniche già spiegate in questo articolo su come recuperare i file criptati dai virus Cryptolocker e TeslaCrypt, ma come sempre ti invito anche a riflettere sull’importanza del tuo patrimonio informatico e della tua azienda, prevedendo procedure di backup efficienti e piani di formazione in materia di sicurezza informatica per gli utenti.

Iscriviti alla newsletter

Questo virus è in continuo aggiornamento e non è escluso che in futuro possano essere rese pubbliche le chiavi di decriptazione dei file.

Tuttavia ti consiglio di moderare le speranze e cominciare fin da subito a proteggere il tuo patrimonio informatico per evitare situazioni spiacevoli in futuro.

Se vuoi essere avvisato in caso di sviluppi, iscriviti alla newsletter.

[wysija_form id=”1″]