Filadelfia ransomware: nuova infezione nel settore sanitario

Un nuovo ceppo di ransomware è stato scoperto dai funzionari della sicurezza di Forcepoint, in Texas, che prende di mira le organizzazioni sanitarie. Il ransomware Philadelphia è della famiglia Stampado. Questo kit ransomware viene venduto online per poche centinaia di dollari e gli aggressori chiedono un riscatto sotto forma di Bitcoin.

I ricercatori hanno scoperto che il ransomware Philadelphia viene trasportato tramite e-mail di spear-phishing. Tali e-mail vengono inviate agli ospedali con un corpo del messaggio di un URL abbreviato che indirizza verso uno spazio di archiviazione personale che serve un file DOCX armato con il logo dell'organizzazione sanitaria mirata. I dipendenti rimangono intrappolati e finiscono per fare clic su questi collegamenti che fanno infiltrare il ransomware nel sistema.

Fonte immagine: forcepoint.com

Una volta che il ransomware è stato stabilito nel sistema, contatta il server C&C e trasferisce tutte le informazioni sul computer vittima come sistema operativo, paese, lingua del sistema e nome utente della macchina. Il server C&C genera quindi un ID vittima, un prezzo di riscatto e un ID portafoglio Bitcoin e lo invia alla macchina di destinazione.

La tecnica di crittografia utilizzata da Philadelphia Ransomware è AES-256, che richiede un riscatto di 0,3 Bitcoin una volta terminato il blocco dei file. Il suo interesse per l'industria sanitaria può essere osservato dal percorso della directory che mostra "ospedale/spam" come una stringa nel suo codice JavaScript crittografato insieme a "ospedale/spa" contenuto nel suo percorso del server C&C.

Fonte immagine: funender.com

Cos'è Filadelfia:

Ok, lo sanno tutti che è la città più grande della Pennsylvania e bla bla bla… ma per quanto riguarda il cyber-crimine, è anche una versione aggiornata del famigerato virus di tipo ransomware Stampado. Nelle e-mail di phishing, potresti trovarli con falsi avvisi di pagamento scaduto. Queste e-mail includono principalmente collegamenti ai siti Web di Philadelphia, che sono mantenuti pronti con applicazioni Java per installare ransomware nel sistema.

Vedi anche:  I 5 migliori strumenti di protezione dal ransomware

Philadelphia inizia a crittografare file con varie estensioni come .doc,.bmp, .avi, .7z, .pdf ecc., dopo un'intrusione riuscita nel sistema. Puoi identificare un file crittografato bloccato da Philadelphia con la sua estensione come " .locked ". Ad esempio, un file nel sistema con il nome 'abc.bmp' verrebbe crittografato e rinominato come 'KD24KIH83483BJAKDF8JDR7.locked'. Una volta che provi ad aprire il file crittografato, il ransomware apre una nuova finestra con un riscatto richiesto nel messaggio.

Il messaggio di riscatto ti informa che i file sono stati crittografati e devi pagarli per ripristinarli. Philadelphia utilizza un algoritmo di crittografia asimmetrica che crea chiavi pubbliche (crittografia) e private (decrittografia) durante la crittografia e il blocco dei file. Decifrare i file bloccati senza la chiave privata è come far bollire un oceano poiché si trovano su server remoti protetti da criminali informatici.

La finestra contiene due timer interessanti: Scadenza e Roulette Russa. Mentre il timer di scadenza indica, il tempo rimanente per ottenere la tua chiave privata, la roulette russa mostra il tempo per eliminare il file successivo (spingendoti ad acquistarlo senza perdere tempo nella ricerca di aiuto). È davvero una minaccia, ma questa è l'unica cosa che non è falsa.

Fonte immagine: forbes.com

Puoi evitare questa situazione?

Sì. Puoi essere salvato dall'essere segato dal ransomware Philadelphia ; tuttavia, devi tenere il tuo computer armato con i migliori anti ransomware e antimalware. Tieni presente che alcuni ransomware potrebbero eludere il miglior anti ransomware, quindi la migliore pratica è diventare un utente vigile e non fare clic su nulla di insolito e sospetto.

Vedi anche:  I 5 migliori consigli per combattere il ransomware Havoc

Considerando tutto, Philadelphia Ransomware può essere considerato un tipo di infezione penetrante. Anche se ora ha preso di mira solo le organizzazioni sanitarie, ma anche tu puoi essere una vittima poiché il codice sorgente di questo virus viene aperto per la vendita a $ 400 sul dark web. Qualsiasi aspirante criminale informatico può ottenere il codice e iniziare a cacciare una preda. Mantenere il computer immunizzato e protetto da antimalware e anti-ransomware dovrebbe aiutare.