Mag 13, 2021 Massimiliano Monti Malware, Minacce, News 0

La pirateria a volte costa carissima. Come nel caso di un centro di ricerca europeo che a causa di un software pirata è stato vittima del ransomware Ryuk.

A volte basta un singolo attimo di distrazione, o la più banale delle convinzioni (“non succederà a me”), per finire in guai grossi. Come quelli in cui si trova un non meglio precisato centro di ricerca europeo del settore biomedico, ostaggio del ransomware russo Ryuk.

Secondo il report pubblicato da Sophos, il centro di ricerca, che rimane non identificato probabilmente per limitare il danno di immagine, ha subito la perdita di molti dati vitali per effetto del famigerato ransomware russo. A quanto si legge la causa scatenante è da cercare nel tentativo di uno studente di usare un software pirata. 

In particolare, lo studente avrebbe cercato un modo per non pagare la licenza di un software per la visualizzazione dei dati, a quanto pare del costo di diverse migliaia di euro. Non avendo trovato una valida alternativa gratuita o Open Source, ha cercato una versione pirata del software. Copia pirata che si è rivelata puntualmente un cavallo di Troia per il ransomware.

La promessa di versioni craccate dei programmi è una delle tecniche più comuni usate da chi distribuisce ransomware o malware in genere. Quasi tutti i crack e i software modificati infatti mettono in allarme antivirus e sistemi di protezione e fra i più sprovveduti è una pratica piuttosto comune quella di disattivare l’antivirus per permettere l’installazione. Cosa che ovviamente apre le porte a ogni tipo di nefandezza.

Ryuk, il malware che ha colpito il centro di ricerca, è uno fra i più noti della scena, nonché una “industria” considerevole: AdvIntel e HYAS stimano che gli ideatori di questo ransomware abbiano all’attivo più di 150 milioni di dollari in riscatti digitali, quasi sempre attraverso l’uso dei Bitcoin.

Inoltre Ryuk è particolarmente insidioso prima di tutto perché è attivamente mantenuto e si evolve di continuo, poi perché dispone della capacità di propagarsi all’interno delle reti crittografando sia file locali sia condivisioni di rete fino al pagamento del riscatto. I nuovi ceppi del ransomware hanno anche la capacità di replicarsi in modo simile ai worm, diffondendosi in breve tempo in tutta la rete, come dimostra la sfortunata esperienza del centro di ricerca. 

Anche se il nome del centro di ricerca europeo non è stato rivelato, sappiamo che si occupa di biologia e che sta svolgendo ricerche anche sul COVID-19. Sembra che l’istituto lavori a stretto contatto con le università e che collabori con gli studenti per alcuni progetti. Sarebbe stato proprio uno di questi studenti a innescare l’infezione, con il suo comportamento eccessivamente “disinvolto”. 

L’attacco si è svolto in più tempi. Tredici giorni dopo che lo studente ha lanciato quello che credeva essere il software piratato, i malintenzionati hanno effettuato una connessione RDP (Remote Desktop Protocol, il sistema di desktop remoto di Windows) usando le credenziali dello studente. L’accesso è stato sfruttato per installare un driver di stampa in lingua russa, probabilmente per testare la connessione e fare un primo test di penetrazione. Dopo altri dieci giorni Ryuk è stato installato nella rete del centro. 

I danni sono stati considerevoli ma fortunatamente non catastrofici. Il lavoro di una settimana è andato perso ed è stato necessario ricostruire i file da zero. Tutto sommato poteva andare peggio, ma una cosa è sicura: oggi più che mai il software di dubbia provenienza è un pericolo.