⁣🤥 Magniber e il finto aggiornamento di Windows 10

Magniber è un ransomware e punta a diffondersi nascondendosi negli aggiornamenti software. In questa nuova campagna di attacco mira a fingersi un aggiornamento di Windows 10.

È stata rilevata un’importante campagna di diffusione del malware Magniber, che infetta i computer vittima operando l’attacco di tipo ransomware.
La campagna viene distribuita con falsi pacchetti di aggiornamento per Windows 10, ma in realtà si tratta di un inganno tramite il quale si cifra il contenuto delle unità storage che contengono i file degli utenti, rendendoli immediatamente inaccessibili.

Magniber non è una novità negli ambienti del cyber crimine: già a metà dello scorso mese di gennaio, una sua variante diffuse la propria infezione tramite finti pacchetti di aggiornamento software per i browser Edge e Chrome.

La nuova campagna, invece, sembrerebbe essere attiva dalla prima settimana di aprile di quest’anno e sfrutterebbe falsi pacchetti di installazione, in formato MSI, prendono nome da quelli che possono sembrare aggiornamenti leciti e necessari per il sistema, come: Win10.0_System_Upgrade_Software.msi o Security_Upgrade_Software_Win10.0.msi.

Come si può vedere, quindi, Magniber cerca di far leva su nomi di file familiari all’utente per cercare di passare, quanto più possibile, inosservato, proprio come nel caso dei pacchetti, estremamente comuni, degli aggiornamenti della Knowledge Base, tipici di Microsoft.

Una volta installato il presunto pacchetto di aggiornamento, falso, Magniber inizia a crittografare tutti i file presenti nella memoria del sistema infetto aggiungendo agli stessi una nuova estensione “.gtearevf”.
In ogni cartella contenente file, oramai crittografati, viene inserito un file .html, contenente la nota di riscatto, ossia l’elenco delle istruzioni da seguire per avere nuovamente accesso ai propri file, con la chiave di decriptazione. In sostanza l’indirizzo del sito del gruppo criminale che ha sferrato la campagna malevola e gli indirizzi bitcoin per inviare il denaro richiesto sotto forma di riscatto.

Un aspetto interessante è che il gruppo ransomware mette a disposizione online anche un tool di decriptazione gratuito (e funzionante), per poter dimostrare la loro “buona fede”, con il quale l’utente vittima potrà effettivamente decriptare un solo file.