Ransomware Dominus

Proteggere computer e dispositivi mobili dal malware è diventato fondamentale in un'epoca in cui i gruppi di criminali informatici prendono sempre più di mira file personali, documenti aziendali e dati sensibili. Una singola infezione può interrompere le attività quotidiane, causare perdite finanziarie ed esporre informazioni private. Una minaccia che evidenzia questi rischi è il ransomware Dominus, un ceppo di malware che crittografa i file ed è progettato per estorcere denaro alle vittime facendo leva sulla paura, sull'urgenza e sull'esposizione dei dati.

Uno sguardo più approfondito al ransomware Dominus

Dominus è una famiglia di ransomware identificata dai ricercatori di sicurezza come una seria minaccia di estorsione. Il suo obiettivo principale è crittografare i file su un computer infetto e fare pressione sulla vittima affinché paghi per uno strumento di decrittazione. Oltre a bloccare i file, Dominus afferma di rubare informazioni riservate prima di iniziare la crittografia. Questa tattica ha lo scopo di aumentare la pressione minacciando fughe di notizie pubbliche o la vendita a terzi dei dati rubati.

Dopo l'esecuzione, Dominus prende di mira diversi tipi di file e aggiunge un'estensione modificata, come ad esempio '.dominus27', ai file interessati. Le varianti possono utilizzare cifre diverse, ma lo schema di denominazione rimane simile. Ad esempio, un file originariamente chiamato '1.png' potrebbe diventare '1.png.dominus27', mentre '2.pdf' potrebbe essere rinominato '2.pdf.dominus27'. Una volta completata la crittografia, il malware rilascia una nota di riscatto in formato HTML denominata 'RANSOM_NOTE.html'.

La strategia estorsiva alla base dell’attacco

La richiesta di riscatto si apre in un browser web e informa le vittime che i loro file sono stati crittografati. Afferma inoltre che dati personali altamente sensibili sarebbero stati raccolti e archiviati su un server privato. Secondo gli aggressori, il pagamento comporterà il recupero dei file e la distruzione dei dati rubati. In caso di rifiuto, i criminali minacciano di pubblicare o vendere le informazioni.

Alle vittime viene chiesto di contattare gli aggressori tramite gli indirizzi email "stevensfalls@outlook.com" o "richardfeuell@outlook.com". Il messaggio raccomanda persino di creare un account ProtonMail prima di mettersi in contatto. Per apparire credibili, gli operatori offrono di decrittografare gratuitamente due o tre file di scarsa importanza. Un avviso con conto alla rovescia avverte che il prezzo del riscatto aumenterà se non si viene contattati entro 72 ore.

Questo modello è noto come doppia estorsione. La vittima si trova ad affrontare due minacce simultanee: la perdita dell'accesso ai file e la divulgazione di dati privati. Anche in presenza di backup, il timore di danni alla reputazione o di fughe di dati può essere utilizzato per estorcere un pagamento.

Perché pagare il riscatto è rischioso

Pagare i criminali informatici non garantisce il recupero dei dati. Gli aggressori spesso spariscono dopo aver ricevuto il denaro, richiedono pagamenti aggiuntivi o forniscono strumenti che non riescono a decrittografare correttamente i file. Nelle operazioni di ransomware non esiste un meccanismo di esecuzione affidabile, un contratto o un sistema di assistenza clienti.

Il pagamento contribuisce anche a finanziare attacchi futuri, consentendo agli autori delle minacce di migliorare le infrastrutture, reclutare partner e colpire un numero maggiore di vittime. Per questi motivi, i professionisti della sicurezza consigliano generalmente di concentrarsi sul contenimento, sull'indagine forense, sul ripristino da backup puliti e sulle procedure legali o di risposta agli incidenti, anziché premiare gli aggressori.

Come Dominus raggiunge comunemente le vittime

Come molti ceppi di ransomware, Dominus spesso si basa sull'ingegneria sociale e su fonti software non sicure per ottenere l'accesso. Le vie di infezione più comuni includono:

• Allegati o link dannosi via e-mail, camuffati da fatture, avvisi di spedizione, notifiche relative all'account o corrispondenza di routine.
• Trojan, software pirata, falsi aggiornamenti, pubblicità dannose, download peer-to-peer e file provenienti da siti di hosting non ufficiali.

Alcune campagne potrebbero anche sfruttare gli utenti attraverso pubblicità ingannevoli che inducono al download con un'interazione minima o nulla.

Le migliori pratiche di sicurezza per rafforzare la difesa contro i malware

Una solida igiene informatica rimane la difesa più efficace contro i ransomware. I dispositivi dovrebbero sempre utilizzare software di sicurezza affidabili con protezione in tempo reale abilitata e i sistemi operativi devono essere aggiornati tempestivamente per correggere le vulnerabilità note. Il software obsoleto è uno dei punti di accesso più facili per gli aggressori.

Eseguire regolarmente i backup è altrettanto importante. Le copie dei file critici dovrebbero essere archiviate offline o in ambienti cloud sicuri che non possano essere modificati direttamente da malware in esecuzione sul dispositivo principale. Testare periodicamente i backup garantisce che il ripristino funzioni correttamente in caso di emergenza.

Un altro importante accorgimento per la sicurezza delle email è la prudenza. Allegati inattesi, richieste di pagamento urgenti, messaggi di reimpostazione della password e link sospetti devono essere trattati con cautela, soprattutto quando creano pressione o richiedono un'azione immediata. Verificare il mittente tramite un canale di comunicazione separato può prevenire eventuali compromissioni.

Password complesse e autenticazione a più fattori contribuiscono a ridurre gli accessi non autorizzati. I privilegi amministrativi dovrebbero essere limitati in modo che gli account di uso quotidiano non possano apportare modifiche illimitate al sistema. La segmentazione della rete negli ambienti aziendali può inoltre impedire la diffusione del ransomware su più macchine.

Infine, il software dovrebbe essere scaricato solo da fornitori ufficiali e marketplace affidabili. Programmi pirata, crack di attivazione e falsi programmi di installazione sono strumenti comuni per la diffusione di malware. Evitare queste fonti riduce significativamente il rischio di minacce ransomware come Dominus.

Valutazione finale

Il ransomware Dominus dimostra come la criminalità informatica moderna si sia evoluta, passando dal semplice blocco dei file all'estorsione psicologica e basata sui dati. Crittografando i file, rinominandoli con estensioni come '.dominus27' e minacciando di divulgare le informazioni rubate, gli aggressori cercano di esercitare la massima pressione sulle vittime. La risposta più efficace rimane la prevenzione: controlli di sicurezza a più livelli, un comportamento online prudente, backup affidabili e una rapida pianificazione della risposta agli incidenti.