Il virus che ti mette il pc sotto sequestro

Il Centro Nazionale Anticrimine Informatico per la Protezione delle Infrastrutture Critiche (CNAIPIC), in collaborazione con il team Prevx, ha segnalato la scoperta di un nuovo virus in grado di “sequestrare” il pc della vittima chiedendo un riscatto per il ripristino delle normali funzionalità del sistema.

Il tranello è tanto semplice quanto efficace: una volta installato, il virus blocca il meccanismo di avvio del sistema ed avvisa l’utente del fatto che è necessario un codice di sblocco per poter riavere possesso dei propri dati e dei propri software. Spiega Marco Giuliani, head of Prevx advanced malware research team: «Il trojan è criptato con un packer proprietario al fine di offuscare il codice originale del trojan, anche se decifrare il codice è un compito relativamente facile. I veicoli di infezione sono i soliti: siti di crack, warez e siti web contenenti exploit. Per poter essere eseguito richiede diritti di amministratore (in caso di Windows Vista/7, se l’UAC è abilitato, richiede l’accettazione del messaggio di avviso di Windows)».

In base alla lingua di utilizzo del sistema, il messaggio suggerisce un numero ad hoc per le chiamate. Trattasi di numeri a valore aggiunto (in Italia è ad esempio un 899 dal costo di 1,75 euro al minuto) che consentono ai malintenzionati di monetizzare i propri attacchi grazie al costo delle telefonate effettuate.

L’efficacia del virus, catalogabile nella categoria dei “Ransomware“, è nel modo in cui aggira non tanto il sistema, quanto più la psiche dell’utente coinvolto. Infatti il numero limitato dei tentativi di sblocco è soltanto un modo per far pressione psicologica al fine di convincere ad effettuare la chiamata e, al tempo stesso, la minaccia dei dati criptati è una bugia utile soltanto a rendere più “grave” l’emergenza. Ma non solo. Il controllo del codice non è in alcun modo correlato alla chiamata al numero indicato (ove non viene in effetti fornito alcun codice di sblocco), ed infatti è sufficiente immettere un qualsivoglia codice di 14 caratteri (es. “12345678901234”) per “autenticare” il sistema, cancellare il worm e ripristinare la situazione.