Set 05, 2023 Marina Londei Attacchi, Hacking, In evidenza, Minacce, News, Ransomware, RSS 0

I ricercatori di Eclectic IQ hanno rilasciato un decryptor gratuito per ripristinare i file compromessi dal ransomware di Key Group. I ricercatori sono riusciti a ottenere parte del codice del ransomware, individuando alcuni errori crittografici che gli hanno permesso di sviluppare un tool per decifrare i file delle vittime.

Key Group, conosciuto anche come KEYGROUP777, è un gruppo cybercriminale russo attivo da gennaio 2023. Stando alle informazioni raccolte dai ricercatori, il gruppo agisce esclusivamente per motivi economici e utilizza un gruppo telegram (keygroup777Tg) per negoziare i dettagli del riscatto con le vittime.

Pixabay

Il gruppo ha un ulteriore canale Telegram dove mette in vendita SIM, accessi remoti ai server webcam e informazioni personali delle vittime come il nome, l’indirizzo di residenza e il luogo di lavoro.

Il ransomware di Key Group

Il ransomware sviluppato dal gruppo utilizza l’algoritmo di cifratura AES in modalità Cipher Block Chaining utilizzando una password statica. La password viene calcolata utilizzando una funzione di derivazione con un valore di sale fisso. Proprio l’utilizzo di un valore fisso ha permesso ai ricercatori di sviluppare un tool per decifrare i file delle vittime.

L’analisi di Eclectic IQ ha rivelato che il ransomware non è sofisticato, come dimostra anche il fatto che i ricercatori abbiano sfruttato gli errori del gruppo per contrastare la sua attività.

Pixabay

Il ransomware è comunque in grado di disabilitare gli aggiornamenti di diverse soluzioni anti-malware e sfrutta diversi binari living-off-the-land, ovvero già presenti sul dispositivo della vittima, per disabilitare il ripristino dei data dopo la cifratura.

Il decryptor è uno script Python copiabile direttamente dal sito della compagnia ed eseguibile su ogni cartella contenente i file compromessi. Il tool, specificano i ricercatori, funziona solo per le versioni del ransomware successive al 3 agosto 2023, ovvero quelle con uno specifico valore di sale per la password di cifratura.

Al fine di prevenire le conseguenze di un attacco ransomware, i ricercatori di Eclectic IQ consigliano di usare l’autenticazione multifattore, limitare l’esecuzione di applicazioni sui dispositivi ed effettuare backup regolari, memorizzando i file sia offline che in cloud sfruttando le funzionalità di versionamento.