Ransomware Friends

Proteggere i dispositivi dal malware è più importante che mai, poiché le moderne minacce informatiche possono crittografare dati preziosi, interrompere le attività aziendali ed esporre informazioni sensibili. Il ransomware, in particolare, rimane una delle forme di malware più dannose perché combina la crittografia dei dati con tattiche estorsive progettate per costringere le vittime a pagare ingenti somme di denaro. Un esempio significativo è Friends Ransomware, una minaccia sofisticata che prende di mira un'ampia gamma di tipi di file e sfrutta il furto di dati per aumentare la probabilità di ottenere il pagamento.

Friends Ransomware: una doppia minaccia informatica basata sull’estorsione

Friends Ransomware è un programma dannoso scoperto da ricercatori di sicurezza informatica che crittografa i file sui sistemi compromessi e richiede un riscatto in cambio di una chiave di decrittazione. Oltre alla crittografia dei file, gli autori di questa minaccia affermano di rubare informazioni riservate alle vittime prima di bloccare i loro dati. Questa tattica, comunemente nota come doppia estorsione, consente agli aggressori di minacciare sia la perdita dei dati che la divulgazione pubblica di informazioni sensibili.

Una volta eseguito su un sistema, il ransomware Friends analizza numerosi tipi di file e li crittografa. Durante questo processo, aggiunge l'estensione '.friends124' ai file interessati. Ad esempio, un file denominato '1.png' viene trasformato in '1.png.friends124', mentre '2.pdf' diventa '2.pdf.friends124'. Questa estensione indica chiaramente che i file sono stati elaborati dal malware e non sono più accessibili tramite i normali canali.

Processo di crittografia e richieste di riscatto

Dopo aver completato la procedura di crittografia, il ransomware crea un file denominato "RANSOM_NOTE.html" contenente istruzioni per la vittima. La nota informa gli utenti che i loro file sono stati crittografati e fornisce le informazioni di contatto per avviare le trattative per il riscatto. Alle vittime viene chiesto di comunicare con gli aggressori tramite gli indirizzi email "recovery1@salamati.vip" e "recovery1@amniyat.xyz". Viene inoltre menzionato un metodo di contatto alternativo tramite la rete Tor.

La nota di riscatto afferma che dati personali e riservati sono stati raccolti e archiviati su un server privato controllato dagli aggressori. Secondo il messaggio, queste informazioni saranno pubblicate o vendute a terzi se la vittima si rifiuta di adempiere alle richieste di riscatto. Per convincere le vittime che il recupero dei file è possibile, i criminali offrono di decrittare gratuitamente due o tre file non essenziali. La nota avverte inoltre che l'importo del riscatto aumenterà se non si stabilisce un contatto entro 72 ore e consiglia alle vittime di creare un account ProtonMail prima di comunicare.

Perché pagare il riscatto è una decisione rischiosa

Le vittime spesso prendono in considerazione il pagamento di un riscatto quando i file critici diventano inaccessibili. Tuttavia, pagare i criminali informatici non garantisce il recupero dei dati. Numerose operazioni di ransomware hanno riscosso il pagamento senza fornire strumenti di decrittazione funzionanti o hanno rilasciato utility che non sono riuscite a ripristinare tutti i dati compromessi.

Anche quando gli aggressori forniscono uno strumento di decrittazione, il pagamento alimenta l'attività criminale e incoraggia futuri attacchi contro altri individui e organizzazioni. Per questi motivi, i professionisti della sicurezza informatica sconsigliano vivamente di pagare i riscatti. Nella maggior parte dei casi, i file crittografati non possono essere ripristinati senza la chiave di decrittazione degli aggressori, a meno che il ransomware non contenga gravi falle di implementazione che i ricercatori possano sfruttare per sviluppare un decrittatore gratuito.

Recupero e risposta agli incidenti

La priorità immediata in seguito a un'infezione è rimuovere Friends Ransomware dal sistema interessato. Eliminare il malware aiuta a prevenire la crittografia di altri file e riduce il rischio di ulteriori attività dannose. Tuttavia, la sola rimozione del malware non ripristina i dati già crittografati.

Il metodo di ripristino più affidabile prevede il recupero dei file dai backup creati prima dell'infezione. I backup devono essere archiviati separatamente dal sistema principale, in modo che rimangano intatti durante un attacco. Se i backup sono connessi alla stessa rete o rimangono accessibili in modo continuativo, il ransomware potrebbe tentare di crittografarli, lasciando le vittime senza alcuna possibilità di recupero.

Come si diffonde il ransomware Friends

Come molte famiglie di ransomware, Friends Ransomware si affida a molteplici canali di distribuzione per raggiungere le potenziali vittime. Le email di phishing rimangono tra i metodi di diffusione più efficaci. Questi messaggi spesso contengono allegati o link dannosi che, una volta aperti, avviano il download di malware. Gli aggressori utilizzano comunemente file di documenti contenenti macro dannose, archivi compressi, file eseguibili, PDF e payload basati su JavaScript.

Tra i vettori di infezione aggiuntivi si annoverano i trojan che installano silenziosamente ransomware, falsi meccanismi di aggiornamento software, pubblicità dannose, siti web compromessi e download provenienti da fonti inattendibili. I portali di freeware, le reti di condivisione file peer-to-peer e altre piattaforme di distribuzione non ufficiali ospitano spesso file dannosi camuffati da software legittimo. Anche le unità USB infette possono facilitare la diffusione del ransomware tra i sistemi.

Uno scenario di infezione particolarmente comune riguarda crack di software e strumenti di attivazione pirata. I criminali informatici spesso camuffano i malware come alternative gratuite a software a pagamento, sfruttando gli utenti disposti a eludere i canali di distribuzione ufficiali. Una volta eseguiti, questi programmi apparentemente innocui possono installare ransomware senza preavviso.

Rafforzare le difese contro i ransomware

Una protezione efficace contro i ransomware richiede una strategia di sicurezza a più livelli che combini misure di sicurezza tecniche con comportamenti sicuri da parte degli utenti. Organizzazioni e singoli individui dovrebbero utilizzare software di sicurezza affidabili, assicurarsi che i sistemi operativi e le applicazioni ricevano aggiornamenti regolari e disabilitare le funzionalità non necessarie che potrebbero essere sfruttate dagli aggressori. Gli allegati e i link provenienti da fonti sconosciute o inaspettate devono essere sempre trattati con cautela, anche se apparentemente legittimi.

Eseguire regolarmente backup dei dati è una delle misure di difesa più importanti. Mantenere più copie di backup in posizioni separate, come dischi esterni offline e soluzioni di archiviazione remota sicure, migliora significativamente le prospettive di ripristino dopo un attacco. È inoltre opportuno eseguire periodicamente test di backup per verificare che i dati possano essere ripristinati correttamente in caso di necessità.

Le principali pratiche di sicurezza includono:

• Mantieni sistemi operativi, browser e applicazioni sempre aggiornati con le patch di sicurezza più recenti.
• Utilizza un software di protezione degli endpoint affidabile con funzionalità di rilevamento delle minacce in tempo reale.
• Effettuare più backup, inclusa almeno una copia offline o comunque isolata.
• Evitate di aprire allegati di email non richieste o di cliccare su link sospetti.
• Scarica il software solo da fonti ufficiali e affidabili.
• Evitate di utilizzare software pirata, crack o strumenti di attivazione non autorizzati.
• Limitare i privilegi amministrativi ove possibile.
• Informare gli utenti sulle tattiche di phishing e sugli attacchi di ingegneria sociale.

Valutazione finale

Il ransomware Friends rappresenta una grave minaccia per la sicurezza informatica, combinando la crittografia dei file con il furto di dati e l'estorsione. Aggiungendo l'estensione '.friends124' ai file, rilasciando una nota di riscatto intitolata 'RANSOM_NOTE.html' e minacciando di divulgare le informazioni rubate, gli autori tentano di esercitare la massima pressione sulle vittime. Sebbene le opzioni di recupero siano spesso limitate in assenza di backup affidabili, solide pratiche di sicurezza informatica, backup regolari, aggiornamenti software tempestivi e un comportamento online prudente possono ridurre significativamente la probabilità di un attacco ransomware andato a buon fine e minimizzare l'impatto in caso di infezione.