AlumniLocker Ransomware
I ricercatori di Infosec hanno scoperto una nuova potente minaccia ransomware basata sul ransomware Thanos (Tycoon) precedentemente rilevato. Questa nuova variante di Thanos Ransomware si chiama AlumniLocker Ransomware e presenta alcune caratteristiche insolite che potrebbero segnalare che il gruppo responsabile è ancora abbastanza inesperto nello svolgimento di campagne di attacco ransomware.
Come vettore di violazione iniziale, AlumniLocker utilizza e-mail di phishing che contengono allegati PDF danneggiati. Il corpo dell'e-mail e il file allegato sono progettati per assomigliare a una fattura importante nel tentativo di convincere l'utente di destinazione ad aprire il file il più rapidamente possibile. All'interno del PDF della fattura falsa, gli utenti troveranno un collegamento che, se cliccato, rilascerà un archivio ZIP contenente un downloader sui loro computer.
Il payload AlumniLocker viene quindi recuperato ed eseguito da uno script PowerShell camuffato da file JPG. Il metodo per avviare il ransomware abusa di un modulo BITS (Background Intelligent Service Transfer). Una volta distribuita, la minaccia crittografa i file della vittima e aggiunge ".alumni" ai nomi originali come nuova estensione. Al termine della routine di crittografia, verrà generato un file di testo contenente le istruzioni per la vittima.
Ecco quando appare il primo aspetto peculiare di AlumniLocker Ransomware. Apparentemente, i criminali informatici vogliono ricevere la somma di 10 Bitcoin se vogliono inviare lo strumento di decrittazione alle loro vittime. Il prezzo di Bitcoin è noto per la sua volatilità, ma al tasso attuale, 10 bitcoin valgono più di $ 500.000, un importo che pochi individui o persino organizzazioni hanno semplicemente in giro. Anche gli hacker sembrano avere un'idea di questa realtà in quanto hanno anche un piano di backup per ricatti. Si avvisano le vittime che se non pagano il riscatto entro 48 ore, le informazioni raccolte dal sistema compromesso da AlumniLocker verranno rese pubbliche su un sito web appositamente predisposto. Seguendo il collegamento, tuttavia, si evince che al momento della scoperta di AlumniLocker il sito web era inaccessibile.
Il riscatto esorbitante unito al sito Web di leak non funzionante sono segni che il gruppo di hacker dietro AlumniLocker potrebbe essere agli inizi.
