Ransomware NailaoLocker: una minaccia crescente per le organizzazioni europee

Che cos'è il ransomware NailaoLocker?

NailaoLocker è un programma di tipo ransomware scritto in C++, progettato per crittografare i file delle vittime e richiedere un pagamento per la loro decrittazione. Questa minaccia è stata osservata mentre prendeva di mira organizzazioni in Europa, comprese quelle nel settore sanitario. Sebbene non sia stato definitivamente collegato a nessun gruppo di criminali informatici noto, le sue tattiche assomigliano a quelle di noti attori affiliati alla Cina.

Una volta che NailaoLocker si infiltra in un sistema, crittografa i file e aggiunge un'estensione ".locked" ai loro nomi. Ad esempio, un file denominato "document.pdf" apparirebbe come "document.pdf.locked" dopo la crittografia. In seguito a questo processo, il ransomware genera una nota di riscatto che avverte le vittime delle conseguenze del mancato pagamento della somma richiesta.

Cosa richiede il ransomware NailaoLocker

La nota di riscatto informa le vittime che i loro file sono criptati e possono essere recuperati solo pagando un riscatto in Bitcoin . Sebbene l'importo esatto non sia specificato, il messaggio avverte che la mancata ottemperanza entro una settimana comporterà l'eliminazione dei file interessati. Gli aggressori affermano che una volta effettuato il pagamento, la decrittazione avverrà entro 24 ore.

Si consiglia inoltre alle vittime di non manomettere i file crittografati. I tentativi di spostarli, eliminarli o decrittografarli tramite applicazioni di terze parti potrebbero causare la perdita permanente dei dati. Tuttavia, nonostante questi avvertimenti, non vi è alcuna garanzia che gli aggressori forniranno strumenti di decrittazione anche se il riscatto viene pagato.

Ecco la richiesta di riscatto completa:

[1.Your important files are encrypted. If you want to decrypt your files, please follow the instructions.]

[2.Do you need file decryption service (restore your files to their original state)? If not, your files will be automatically deleted after one week.]

[3.If you need to purchase unlocking service, please contact us and we will tell you the amount (pay with BTC)]

[4.After you complete the payment using BTC, we will deliver the unlocking program within 24 hours. Once the program is run on the locked computer, all files will be unlocked.]

[5.BTC purchase website:hxxps://www.coinbase.com, hxxps://www.bitfinex.com, hxxps://www.binance.com]

[Contact us on johncollinsy@proton.me]

[Notice:Do not delete or move locked files without unlocking them first.]

[Notice:The encryption algorithm uses symmetric encryption, and the password is a string of characters with the same length as the Bitcoin private key. If you can crack Bitcoin, then congratulations, you can decrypt it yourself. Otherwise, please contact us to purchase our decryption tool. Don't have illusions!!!]

Un ceppo di ransomware con esecuzione debole

A differenza dei ransomware più avanzati, NailaoLocker non ha funzionalità anti-debug e non disabilita i processi o i servizi di sistema critici prima della crittografia. Questa svista significa che se i file di sistema essenziali vengono crittografati, il sistema operativo potrebbe diventare inutilizzabile. Inoltre, mentre alcuni ceppi di ransomware si impegnano in una doppia estorsione rubando dati sensibili, la richiesta di riscatto di NailaoLocker non menziona esplicitamente l'esfiltrazione dei dati.

Data la nostra vasta esperienza con le infezioni ransomware, possiamo concludere che la decifrazione senza la collaborazione degli aggressori è in genere impossibile. Anche nei casi in cui il riscatto viene pagato, i criminali informatici spesso non riescono a consegnare la chiave di decifrazione promessa. Supportare questa attività illecita pagando il riscatto è fortemente sconsigliato.

Prevenire ulteriori danni da NailaoLocker

La rimozione di NailaoLocker da un sistema infetto potrebbe impedire un'ulteriore crittografia dei file, ma non ripristinerà i dati compromessi. L'unico modo efficace per recuperare i file crittografati è tramite backup archiviati separatamente dal sistema infetto. Ciò evidenzia l'importanza di mantenere i backup in più posizioni, come dispositivi di archiviazione esterni scollegati e server remoti.

Le somiglianze tra NailaoLocker e altri ransomware

NailaoLocker segue lo stesso schema di altre minacce ransomware, come Vgod , CipherLocker , FXLocker , SafePay e DeathHunters . Tutti questi programmi crittografano i file e richiedono un pagamento per il loro ripristino. Tuttavia, differiscono per due aspetti chiave: gli algoritmi crittografici utilizzati (simmetrici o asimmetrici) e l'importo del riscatto, che varia a seconda che il bersaglio sia un singolo utente o una grande organizzazione.

Sebbene NailaoLocker sia relativamente poco sofisticato, rappresenta comunque una minaccia significativa per le aziende e le istituzioni che non dispongono di solide misure di sicurezza informatica. I gruppi ransomware spesso adattano i loro attacchi per sfruttare vulnerabilità specifiche all'interno delle reti dei loro obiettivi.

Come NailaoLocker si infiltra nei sistemi

Negli attacchi osservati alle organizzazioni europee, NailaoLocker è stato distribuito sfruttando una vulnerabilità nell'applicazione Check Point VPN, probabilmente quella identificata come "CVE-2024-24919". La minaccia è stata introdotta tramite il malware ShadowPad o il trojan di accesso remoto PlugX (RAT). Tuttavia, questo ransomware potrebbe diffondersi anche tramite altri metodi di distribuzione comuni.

I criminali informatici spesso si affidano a tattiche di phishing e social engineering per diffondere il ransomware. Il software dannoso è spesso mascherato o raggruppato con file apparentemente innocui. Una volta aperti, questi file avviano il download e l'esecuzione del malware.

Metodi comuni di distribuzione del ransomware

I ransomware come NailaoLocker vengono comunemente distribuiti attraverso vari mezzi, tra cui:

• Download drive-by da siti web compromessi o dannosi
• Minacce di tipo loader/backdoor
• Fonti di download dubbie, come piattaforme di hosting di file di terze parti e reti di condivisione peer-to-peer
• Truffe online progettate per indurre gli utenti a eseguire file dannosi
• Campagne di malvertising che iniettano annunci dannosi in siti legittimi
• E-mail di spam e messaggi istantanei contenenti allegati o link infetti
• Aggiornamenti software falsi e strumenti di attivazione illegali ("crack")
• Autopropagazione tramite reti locali e dispositivi di archiviazione rimovibili

Queste tattiche consentono al ransomware di diffondersi rapidamente e di infettare più sistemi all'interno di un'organizzazione, amplificandone l'impatto.

Le migliori pratiche per evitare le infezioni da ransomware

Per ridurre il rischio di infezioni ransomware, gli utenti e le organizzazioni dovrebbero adottare le seguenti misure di sicurezza:

• Scarica il software solo da siti Web ufficiali e affidabili
• Aggiornare regolarmente i programmi utilizzando funzioni di aggiornamento legittime
• Fai attenzione quando apri email provenienti da mittenti sconosciuti, soprattutto quelle contenenti allegati o link
• Utilizzare misure di sicurezza di rete efficaci, tra cui firewall e sistemi di rilevamento delle intrusioni
• Mantenere backup offline e nel cloud dei dati critici
• Educare i dipendenti a riconoscere il phishing e altri attacchi di ingegneria sociale

Implementando queste pratiche, privati e aziende potrebbero ridurre significativamente la probabilità di subire un attacco da parte di NailaoLocker o di imbattersi in minacce simili.

Conclusione

Il ransomware NailaoLocker, sebbene non sia il ceppo più sofisticato, rappresenta un rischio reale per le organizzazioni, in particolare in Europa. Il suo affidamento a tattiche di crittografia standard e richieste di riscatto lo allinea ad altri programmi ransomware, ma la sua mancanza di tecniche di evasione avanzate potrebbe limitarne l'efficacia complessiva.

Come per tutti i ransomware, la prevenzione è la miglior difesa. Gli utenti devono rimanere vigili, adottare le migliori pratiche di sicurezza e assicurarsi che i dati critici siano sottoposti a backup in posizioni sicure. Poiché pagare il riscatto non garantisce il recupero dei dati, evitare l'infezione in primo luogo è fondamentale.