Un ricercatore di Avast ha scoperto un nuovo ransomware chiamato Kirk, dal nome del noto personaggio di Star Trek James T. Kirk. Questo malware è il primo del suo genere a richiedere
il pagamento del riscatto mediante la criptovaluta open source Monero.
Come riportato da diverse fonti, tra cui Bleeping Computer e Sensors Tech Forum, i vettori di diffusione di Kirk non sono al momento noti, né risultano casi di infezioni riportati da utenti reali. Il ransomware Kirk potrebbe essere incluso in file diffusi sui social e su siti di file sharing, nascosto in programmi di utilità distribuiti gratuitamente.
Questo ransomware è sviluppato in Python e cifra i file dell’utente utilizzando gli algoritmi AES e RSA-4096. Kirk cifra tutti i file con le estensioni più comuni in ambiente Microsoft Windows.
Come riportato da diverse fonti, tra cui Bleeping Computer e Sensors Tech Forum, i vettori di diffusione di Kirk non sono al momento noti, né risultano casi di infezioni riportati da utenti reali. Il ransomware Kirk potrebbe essere incluso in file diffusi sui social e su siti di file sharing, nascosto in programmi di utilità distribuiti gratuitamente.
Questo ransomware è sviluppato in Python e cifra i file dell’utente utilizzando gli algoritmi AES e RSA-4096. Kirk cifra tutti i file con le estensioni più comuni in ambiente Microsoft Windows.
Ai file cifrati, che non vengono rinominati, viene aggiunta l’estensione “.kirked”.
Una volta terminata la fase di cifratura, Kirk apre una finestra che mostra all’utente la nota di riscatto, memorizzata in un file chiamato “RANSOM_NOTE.txt”. Il testo è molto lungo e dettagliato e include alcune immagini in ASCII Art che ritraggono i personaggi della serie Star Trek.
Nota di riscatto del ransomware Kirk
La nota informa la vittima che per riottenere l’accesso ai file cifrati dovrà pagare una somma di 50 Monero (equivalenti a circa 1000 €) entro due giorni. La somma richiesta aumenta col passare del tempo fino ad arrivare a 500 Monero. La nota menziona un tool di decifratura denominato molto opportunamente Spock, ma i ricercatori avvertono che al momento non sembra possibile recuperare i file cifrati da Kirk. Come sempre, il CERT Nazionale raccomanda di non pagare in nessun caso il riscatto richiesto dai cybercriminali.
Il ransomware Kirk modifica alcune chiavi nel Registro di Sistema allo scopo di divenire persistente ed essere lanciato automaticamente all’avvio del computer. Il malware contiene anche codice per cancellare le copie shadow di Windows ma non è chiaro se il comando venga o meno eseguito.
Al momento non sono noti metodi o tool per decifrare i file presi in ostaggio da questo ransomware. Fortunatamente, la capacità di individuazione di Kirk da parte dei più diffusi antivirus risulta molto elevata.
Al fine di prevenire la possibilità di cadere vittime di questa tipologia di minaccia informatica, si consiglia di prendere visione di quanto contenuto nel seguente articolo.
Una volta terminata la fase di cifratura, Kirk apre una finestra che mostra all’utente la nota di riscatto, memorizzata in un file chiamato “RANSOM_NOTE.txt”. Il testo è molto lungo e dettagliato e include alcune immagini in ASCII Art che ritraggono i personaggi della serie Star Trek.
Nota di riscatto del ransomware KirkLa nota informa la vittima che per riottenere l’accesso ai file cifrati dovrà pagare una somma di 50 Monero (equivalenti a circa 1000 €) entro due giorni. La somma richiesta aumenta col passare del tempo fino ad arrivare a 500 Monero. La nota menziona un tool di decifratura denominato molto opportunamente Spock, ma i ricercatori avvertono che al momento non sembra possibile recuperare i file cifrati da Kirk. Come sempre, il CERT Nazionale raccomanda di non pagare in nessun caso il riscatto richiesto dai cybercriminali.
Il ransomware Kirk modifica alcune chiavi nel Registro di Sistema allo scopo di divenire persistente ed essere lanciato automaticamente all’avvio del computer. Il malware contiene anche codice per cancellare le copie shadow di Windows ma non è chiaro se il comando venga o meno eseguito.
Al momento non sono noti metodi o tool per decifrare i file presi in ostaggio da questo ransomware. Fortunatamente, la capacità di individuazione di Kirk da parte dei più diffusi antivirus risulta molto elevata.
Al fine di prevenire la possibilità di cadere vittime di questa tipologia di minaccia informatica, si consiglia di prendere visione di quanto contenuto nel seguente articolo.