ESET rileva ransomware Filecoder.NFR che si finge Google Chrome

Nella prima settimana del 2016 gli internauti italiani sono stati i più colpiti. E’ stato rilevato dai ricercatori di ESET con il nome di Win32/Filecoder.NFR il nuovo ransomware che si distingue dagli altri perché finge di essere il file necessario a eseguire il browser Chrome di Google. Win32/Filecoder.NFR funziona come un "ransomware as a Service" (RaaS) collegato a un server nascosto nella rete TOR (acronimo di The Onion Router, necessario per navigare nel Deep Web). Da lì, i criminali informatici possono scegliere cosa il malware infetterà nel sistema della vittima, quanti bitcoin chiedere come riscatto e quale messaggio intimidatorio mostrare sullo schermo.

MarkMonitor, Deep Web e Dark Net: inferi di Internet sono ovunque

Che cos’è il Deep Web o la Dark Net o Tor? Alcuni delle persone sicuramente sanno di che cosa si tratta, ma la maggior parte degli utenti e anche delle grandi aziende purtroppo no. MarkMonitor ha recentemente tenuto un webinar su questo argomento e Jerome Sicard ha preparato una breve nota con alcune nozioni. Circa il 40% della popolazione mondiale utilizza il web per notizie, intrattenimento, comunicazione e una miriade di altri scopi. Eppure, mentre sempre più persone accedono, in realtà troviamo meno dati rispetto a quelli memorizzati online. Questo perché solo un frammento di ciò che conosciamo come il World Wide Web è facilmente accessibile.

Trend Micro e polizia olandese sgominano gang di TorRAT malware

La polizia olandese ha comunicato di aver arrestato quattro persone per aver diffuso il malware TorRAT. Si tratta di un malware indirizzato agli utenti di lingua olandese che sfrutta il Deepweb e il sistema Tor per le comunicazioni di Command and Control (C&C) in modo da non essere rilevato. Il suo obiettivo primario era il furto finanziario dagli account di online banking. Il malware TorRAT punta alla compromissione di un sistema attraverso l’invio di messaggi spam, spesso false fatture, confezionati a dovere, nella lingua tipica del paese e senza riportare errori grammaticali come la maggior parte dei messaggi di spam. 

Per non lasciare tracce ed evitare di essere identificato dai software antivirus, il malware utilizzava un account tormail.org per le comunicazioni email e servizi di crittografia underground. La monetizzazione della frode avveniva tramite la valuta digitale bitcoin, utilizzata anche per riciclare il denaro rubato e per effettuare pagamenti ad altri componenti della gang criminale. Questi processi rendevano molto difficile identificare i cybercriminali ma il Dutch National High Tech Crime Unit (NHTCU) è stato comunque in grado di arrestarli grazie ad alcuni errori commessi dalla banda.

Gli errori della gang di TorRAT: anonimato della rete e tracce nascoste

Gli esperti di Trend Micro ritengono che la gang abbia utilizzato un servizio di crittografia chiamato "SamArt". La cifratura del malware rende molto più difficile l’individuazione da parte dei software antivirus ma se si vuole veramente nascondere la propria identità adottare un tool di terze parti mette a rischio l’anonimato. Un altro errore significativo in questo senso è stato commesso nell'autunno del 2012, quando alcuni dei server C&C anche se su sistemi Tor nascosti sono stati ospitati in un datacenter turco.

Cruciale era per la gang anche affrontare un problema classico: rubare i soldi è la parte più facile, metterseli in tasca e portali via come propri è un pò più complesso. È relativamente semplice manipolare delle transazioni bancarie su un computer infetto ma il riciclaggio del denaro rubato implica un processo che prevede intermediari. La banda olandese avrebbe riciclato denaro attraverso operazioni di bitcoin e persino creato un proprio servizio di scambio bitcoin, FBTC Exchange, che è stato oscurato dopo gli arresti. 

L'acquisto di un servizio di crittografia esterno, l’utilizzo di tormail.org e il reclutare e abusare di intermediari ha esposto i cybercriminali al rischio di essere scoperti da parte dei ricercatori più esperti. Un singolo errore può infatti portare al disfacimento di tutta l'operazione criminale. Se da una parte Tor offre un alto grado di anonimato, inevitabilmente, ad un certo punto, gli attori criminali devono apparire da dietro il sipario di Tor per utilizzare i beni sottratti. Questo fa si che divengano rintracciabili, come conferma anche il recente arresto negli Stati Uniti del gestore di Silk Road, il mercato underground delle droghe illegali. 

Anche se utilizzava Tor, è stato identificato dall'FBI dopo un’indagine approfondita delle tracce e testimonianze lasciate su Internet. Il 1° ottobre scorso, il Federal Bureau of Investigation ha spento l'originale Silk Road e arrestato a San Francisco la sua presunta mente, Ross William Ulbricht, 29 anni, conosciuto online come "Dread Pirate Roberts". Per più di due anni, il sito originale ha consentito agli utenti di acquistare e vendere beni e servizi illegali sul presupposto che essi erano al sicuro dalla legge. Si stima che nel 2012 il volume d’affari di Silk Road si aggirasse intorno al milione e novecento mila dollari al mese.

Fonte: Trend Micro

Pedofilia/ nascosti nel Deep Web: torture e violenze su bimbi, 10 arresti

Si nascondevano nel "deep-web", quella parte della Rete che, per le sue caratteristiche, garantisce l'anonimato perché non indicizzata dai motori di ricerca, rendendo difficilmente rintracciabili sia i contenuti che i navigatori. In questa sorta di limbo senza regole si scambiavano video e foto di bambini, raccontandosi anche lo loro "esperienze", dando vita così a una vera e propria comunità virtuale di pedofili, nella quale si davano consigli sulle tecniche per adescare i minori, le sostanze stupefacenti da somministrare per evitare che si ribellassero o memorizzassero i soprusi subiti. 

Al termine dell'operazione "nessun dorma" gli agenti della polizia postale di Salerno hanno individuato e arrestato dieci persone. I poliziotti, agendo come cyber-infiltrati, sono riusciti a carpire i segreti del gruppo, facendo emergere la loro organizzazione e le regole che ne disciplinavano l'appartenenza. Gli agenti hanno effettuato anche decine di perquisizioni in tutta Italia, riuscendo a mettere le mani sul più grande archivio mai scoperto nel nostro Paese: più di 5 milioni di file tra video e foto, molti dei quali inediti. 

Tra questi molti ritraggono neonati sottoposti a violenze sessuali e torture. Tra gli indagati anche una donna siciliana che ha realizzato e pubblicato fotografie che la ritraggono mentre, vestita da suora, compie atti sessuali con il proprio figlio di otto anni. Il materiale era ben catalogato e suddiviso in sezioni. Nella parte denominata "soft" erano archiviate immagini di bambini nudi; in quella "hard" c'erano le violenze; nella sezione "hurt" i documenti relativi alle violenze sessuali e torture mentre in quella denominata "death" le apparenti uccisioni dei bambini violentati. 

Per entrare a far parte della comunità l'aspirante adepto doveva installare un software dedicato per l'accesso alla rete; una volta entrati potevano creare il proprio spazio solo dopo essere stati invitati dai promotori del gruppo. Infine, per accedere ai contenuti dovevano individuare, attraverso il passaparola con gli altri iscritti, gli indirizzi web dove andare a scaricare il materiale pedopornografico in quanto nella rete i contenuti non sono indicizzati e quindi non rintracciabili dai motori di ricerca. 

Se si trasgredivano le rigide regole interne si veniva esclusi dalla comunità. L'indagine della Postale  della Campania è stata possibile grazie alle innovative tecniche investigative utilizzate, con la sperimentazione di nuovi software che hanno permesso nuove forme di intercettazioni telematiche. Il ruolo decisivo lo hanno avuto comunque alcuni agenti che, autorizzati ad infiltrarsi nella comunità, hanno acquisito le prove necessarie a identificare i singoli pedofili.

Fonte: Polizia di Stato