{"id":1516,"date":"2017-12-20T20:14:23","date_gmt":"2017-12-20T19:14:23","guid":{"rendered":"http:\/\/www.informaweb.it\/it\/?p=1516"},"modified":"2018-05-23T15:39:56","modified_gmt":"2018-05-23T13:39:56","slug":"crypto-ransomware-ctb-locker-malware-come-rimuovere-recuperare-file","status":"publish","type":"post","link":"https:\/\/www.informaweb.it\/it\/pmi-consulenza-digitale\/crypto-ransomware-ctb-locker-malware-come-rimuovere-recuperare-file","title":{"rendered":"Crypto Ransomware IT Security Come rimuovere i Malware e recuperare files gratis con #Hydracript #UmbreCrypt. Nuovi #KeRanger (Mac OSX) #Cryptolocker, #Teslacrypt #CTB-Locker\u00a0"},"content":{"rendered":"<p>Crypto Ransomware massima attenzione adesso colpiscono\u00a0oltre\u00a0PC Windows e sistemi Android, anche i siti <a href=\"http:\/\/www.techweekeurope.it\/security\/ctb-locker-ransomware-wordpress-92025\" target=\"_blank\" rel=\"nofollow noopener\">WordPress <\/a>e i sistemi Mac OSX (#<a title=\"KeRanger ultime news\" href=\"https:\/\/www.google.it\/search?hl=it&amp;gl=it&amp;tbm=nws&amp;q=keranger\" target=\"_blank\" rel=\"nofollow noopener\">KeRanger<\/a>\u00a0tramite un\u00a0#<a href=\"http:\/\/www.pcprofessionale.it\/news\/sicurezza\/primo-ransomware-noto-sui-mac-arriva-keranger\/\" target=\"_blank\" rel=\"nofollow noopener\">Trojan<\/a>) finora ritenuti sicuri. La situazione seria in molte\u00a0scuole (tante le segreterie scolastiche colpite da vari #CryptoRansomware (#Cryptolocker #Teslacrypt #CTB-Locker #CryptoWall #Hydracript #UmbreCrypt) dove i malware si propagano tramite chiavette e rete LAN. Come evitare ed eliminare i #Malware, #Virus e in particolare i\u00a0Crypto #<a href=\"https:\/\/it.wikipedia.org\/wiki\/Ransomware\" target=\"_blank\" rel=\"nofollow noopener\">Ransomware <\/a>Come tenere al sicuro i propri dati? Cosa fare per cercare di recuperare i dati? 12 consigli utili\u00a0e\u00a0riflessioni sui vantaggi del #SoftwareLibero, sui #Backup online (#Dropbox #Gdrive) e sulla #ITSecurity #sicurezzaonline e Sicurezza Informatica\u00a0in generale\u00a0http:\/\/wp.me\/p4QRf5-os<!--more--><\/p>\n<h2>Aggiornamento dicembre 2017 arrestato gruppo che diffondeva CTB-Locker dalla Romania<\/h2>\n<p>Le Autorit\u00e0 Rumene hanno arrestato cinque persone accusate di diffondere spam e-mail che ha infettato gli utenti con le famiglie di CTB-Locker e Cerber. Gli arresti sono stati coordinati con\u00a0Europol, FBI e Polizia Nazionale Olandese.\u00a0I cinque sospetti arrestati non sono autori di ransomware, ma semplici distributori.\u00a0 Il gruppo ha impacchettato i file binari ransomware all&#8217;interno di file archiviati fatti per assomigliare a fatture, che hanno inviato agli utenti come allegati parte dello spam email.\u00a0Il gruppo ha mantenuto il 70% del pagamento del riscatto, mentre il 30% \u00e8 rimasto con il portale RaaS.<\/p>\n<p>McAfee ha anche contribuito con le informazioni che hanno portato agli arresti dei sospettati.\u00a0In una dichiarazione Christiaan Beek, Lead Scientist &amp; Principal Engineer di McAfee, ha affermato che McAfee ha assistito questa indagine analizzando campioni di malware trovati su un server a cui l&#8217;Unit\u00e0 olandese della criminalit\u00e0 high tech \u00e8 stata in grado di accedere.\u00a0 Di seguito un video registrato dalla polizia rumena durante le ricerche in sette localit\u00e0.\u00a0Europol ha affermato che le autorit\u00e0 rumene hanno sequestrato &#8220;una quantit\u00e0 significativa&#8221; di hard disk, laptop, dispositivi di archiviazione esterni, dispositivi di mining di criptovalute e altri documenti.<\/p>\n<div class=\"ast-oembed-container \" style=\"height: 100%;\"><iframe loading=\"lazy\" title=\"Operation Bakovia\" width=\"500\" height=\"281\" src=\"https:\/\/www.youtube.com\/embed\/APg3EuQf23s?feature=oembed\" frameborder=\"0\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" allowfullscreen><\/iframe><\/div>\n<p><strong>ATTENZIONE le informazione di seguito fornite sono a soli fini didattici, non ci assumiamo alcuna responsabilit\u00e0 sull\u2019efficacia e validit\u00e0 . Ogni situazione \u00e8 diversa e anche le versioni di virus sono molte in circolazione quindi non c\u2019\u00e8 alcuna sicurezza di recuperare i dati e anzi se avete dati vitali rimuovendo il virus rischiate di non poter pi\u00f9 accedere alla pagina in cui pagare il riscatto e procedere con la decrittazione. \u00a0D\u2019altra parte anche il pagamento non \u00e8 necessariamente garanzia di recupero!<\/strong><\/p>\n<p>&nbsp;<\/p>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter size-full wp-image-1518\" src=\"https:\/\/www.informaweb.it\/it\/wp-content\/uploads\/2015\/02\/informaweb-tutorial-rimuovere-ctb-locker-crypto-ransomware-finestra-blocco-pc.jpg\" alt=\"informaweb-tutorial-rimuovere-ctb-locker-crypto-ransomware-finestra-blocco-pc\" width=\"640\" height=\"480\" title=\"\" srcset=\"https:\/\/www.informaweb.it\/it\/wp-content\/uploads\/2015\/02\/informaweb-tutorial-rimuovere-ctb-locker-crypto-ransomware-finestra-blocco-pc.jpg 640w, https:\/\/www.informaweb.it\/it\/wp-content\/uploads\/2015\/02\/informaweb-tutorial-rimuovere-ctb-locker-crypto-ransomware-finestra-blocco-pc-256x192.jpg 256w, https:\/\/www.informaweb.it\/it\/wp-content\/uploads\/2015\/02\/informaweb-tutorial-rimuovere-ctb-locker-crypto-ransomware-finestra-blocco-pc-200x150.jpg 200w, https:\/\/www.informaweb.it\/it\/wp-content\/uploads\/2015\/02\/informaweb-tutorial-rimuovere-ctb-locker-crypto-ransomware-finestra-blocco-pc-470x353.jpg 470w, https:\/\/www.informaweb.it\/it\/wp-content\/uploads\/2015\/02\/informaweb-tutorial-rimuovere-ctb-locker-crypto-ransomware-finestra-blocco-pc-320x240.jpg 320w\" sizes=\"auto, (max-width: 640px) 100vw, 640px\" \/><\/p>\n<p>&nbsp;<\/p>\n<h2>Crypto Ransomware Che cosa sono?<\/h2>\n<p>Il ransomware \u00e8 un malware (famiglia di software dannosi che si installano senza autorizzazione dell\u2019utente) creato per bloccare il computer da remoto e criptare i dati dell\u2019utente tenendoli virtualmente in ostaggio fin quando non viene pagato un riscatto entro un termine di alcune ore. Se l&#8217;utente non paga i dati verranno cancellati o resi del tutto inaccessibili. Prende il nome dal termine inglese \u201cransom\u201d che significa appunto prendere in ostaggio.\u00a0Molto diffuso inizialmente in Russia, dal 2013 colpisce con molte varianti in tutto il mondo. In particolare il Crypto Ransomware una volta eseguito, ha la capacit\u00e0 di infettare qualsiasi sistema Windows criptando quasi immediatamente tutti i dati dell\u2019utente.<\/p>\n<h2>Crypto Ransomware Quante le varianti?<\/h2>\n<p>Ci sono migliaia di varianti e ne usciranno sempre di nuove e pi\u00f9 sofisticate visto che il codice sorgente del virus \u00e8 in vendita su diversi siti pirata. Sostanzialmente ci sono due principali tipi di infezioni ransomware:<\/p>\n<ul>\n<li>Alcuni sfruttano i nomi delle autorit\u00e0 come FBI MoneyPak Ransomware (Polizia Postale, FBI e via dicendo) e utilizzano accuse false di varie violazioni di legge per ingannare gli utenti di computer a pagare una falsa multa per violazioni di legge presumibilmente fatte. In questa tipologia normalmente i dati dell\u2019utente non vengono criptati. Di seguito video illustrativo sulla rimozione<\/li>\n<\/ul>\n<div class=\"ast-oembed-container \" style=\"height: 100%;\"><iframe loading=\"lazy\" title=\"Remove FBI MoneyPak Ransomware\" width=\"500\" height=\"281\" src=\"https:\/\/www.youtube.com\/embed\/MJVRebXiDzs?feature=oembed\" frameborder=\"0\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" allowfullscreen><\/iframe><\/div>\n<ul>\n<li>altri infettano solo l&#8217;uso del browser Internet (Internet Explorer, Mozilla Firefox, Google Chrome e Safari), essi sono noti come Browlock. Questo tipo di ransomware utilizza Java script per bloccare il tentativo dell&#8217;utente di chiudere il proprio browser Internet.<\/li>\n<\/ul>\n<h2>Crypto Ransomware Come entrano nei sistemi come si diffondono?<\/h2>\n<p>I Crypto Ransomware\u00a0per replicarsi non sfruttano le vulnerabilit\u00e0 del sistema come fanno i virus, i\u00a0ransomware il pi\u00f9 delle volte sono\u00a0un semplice programma incapace di replicarsi che con tecniche di ingegneria sociale sfrutta le vulnerabilit\u00e0 delle &#8220;persone&#8221; presentandosi il pi\u00f9 delle volte come un allegato ad una mail, tipicamente in formato .cab\/.zip\/.scr e spesso proveniente da un conoscente o simile a un circolare scolastica. Quindi il\u00a0ransomware si installa generalmente aprendo o facendo clic su allegati o collegamenti fraudolenti in un messaggio email, un messaggio istantaneo, un social network o un altro sito Web. Di solito il messaggio \u00e8 semplice e immediato, tipicamente \u00e8 una mail per il rimborso di una fattura e la restituzione di un oggetto acquistato tramite internet. Poi, subito dopo il virus manifesta con una schermata nera che blocca il Pc e non consente alcun accesso e inizia inesorabilmente a criptare i file del PC e di quelli eventualmente condivisi in rete. A questo punto se non avete un backup siete praticamente fregati, anche se come vedremo dopo qualcosa si pu\u00f2 fare\u2026<\/p>\n<p><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter size-full wp-image-1519\" src=\"https:\/\/www.informaweb.it\/it\/wp-content\/uploads\/2015\/02\/informaweb-tutorial-rimuovere-ctb-locker-crypto-ransomware-mail-virus.jpg\" alt=\"informaweb-tutorial-rimuovere-ctb-locker-crypto-ransomware-mail-virus\" width=\"640\" height=\"480\" title=\"\" srcset=\"https:\/\/www.informaweb.it\/it\/wp-content\/uploads\/2015\/02\/informaweb-tutorial-rimuovere-ctb-locker-crypto-ransomware-mail-virus.jpg 640w, https:\/\/www.informaweb.it\/it\/wp-content\/uploads\/2015\/02\/informaweb-tutorial-rimuovere-ctb-locker-crypto-ransomware-mail-virus-256x192.jpg 256w, https:\/\/www.informaweb.it\/it\/wp-content\/uploads\/2015\/02\/informaweb-tutorial-rimuovere-ctb-locker-crypto-ransomware-mail-virus-200x150.jpg 200w, https:\/\/www.informaweb.it\/it\/wp-content\/uploads\/2015\/02\/informaweb-tutorial-rimuovere-ctb-locker-crypto-ransomware-mail-virus-470x353.jpg 470w, https:\/\/www.informaweb.it\/it\/wp-content\/uploads\/2015\/02\/informaweb-tutorial-rimuovere-ctb-locker-crypto-ransomware-mail-virus-320x240.jpg 320w\" sizes=\"auto, (max-width: 640px) 100vw, 640px\" \/><\/p>\n<p>Il ransomware pu\u00f2 entrare nel computer persino durante la semplice visita di un sito Web fraudolento opportunamente predisposto.\u00a0 In particolare, CTB-locker di solito si diffonde tramite un allegato di posta elettronica che utilizzano approcci di ingegneria sociale e che solitamente proviene da fonti legittime oppure tramite una botnet. Adotta un metodo di camuffamento e si presenta tramite un allegato di tipo ZIP che di solito contiene un file eseguibile . <em><strong>Il file non \u00e8 visibile come &#8220;&lt;nomefile&gt;.exe&#8221; ma in realt\u00e0 come &lt;nomefile&gt;.&lt;pdf&gt;&lt;docx&gt;&lt;ecc.&gt;.exe&#8221; perch\u00e8 l&#8217;attaccante si avvale del fatto che i sistemi Windows non mostrano di default le estensioni dei file e un file cos\u00ec creato verrebbe visualizzato come &#8220;&lt;nomefile&gt;.pdf&#8221; nonostante sia un eseguibile, inducendo gli utenti ad aprirlo ed eseguirlo, o come un semplice file .zip.<\/strong><\/em><\/p>\n<p>Quando viene eseguito per la prima volta, il software si installa nella cartella &#8220;Documents and Settings&#8221; (o &#8220;Users&#8221;, nei sistemi operativi Windows pi\u00f9 recenti) con un nome casuale e aggiunge una chiave al registro che lo mette poi in avvio automatico. A questo punto tenta di connettersi a uno dei server di comando e controllo, una volta connesso il server genera una chiave RSA a 2048 bit, manda la chiave pubblica al computer infetto. Il server di comando e controllo pu\u00f2 essere un proxy locale ma anche residente altrove cos\u00ec da renderne difficile il tracciamento.<\/p>\n<p>Quindi il malware inizia a cifrare i file del disco rigido e delle condivisioni di rete mappate localmente con la chiave pubblica, e salva ogni file cifrato in una chiave di registro.\u00a0Il processo cifra solo dati con alcune estensioni, tra queste: Microsoft Office, Open document, immagini ed altri documenti. Il software quindi informa l&#8217;utente di aver cifrato i file e richiede un pagamento con un voucher anonimo e prepagato (es. Bitcoin, MoneyPak o Ukash), per decifrare i file. Il pagamento deve essere eseguito spesso entro 48, 72 o 100 ore, o altrimenti la chiave privata viene cancellata definitivamente e &#8220;mai nessuno potr\u00e0 ripristinare i file&#8221;. Il pagamento del riscatto consente all&#8217;utente di scaricare un software di decifratura con la chiave privata dell&#8217;utente gi\u00e0 precaricata.\u00a0Se CTB-locker viene rimosso, e la cifratura \u00e8 iniziata, i file gi\u00e0 cifrati rimarrebbero irrimediabilmente cifrati e quindi l&#8217;unica soluzione \u00e8 quella di cercare di alzare delle difese adeguate per non far entrare il malware.\u00a0Il malware \u00e8 conosciuto anche come: TROJ_CRYPCTB.SMD o \u00a0TROJ_CRYPCTB.SME<\/p>\n<h2>IT Security Riflessioni sulla Sicurezza Informatica, il software libero, backup e condivisione online<\/h2>\n<p>A volte pu\u00f2 capitare che gli antivirus non individuino del tutto questo virus o lo facciano solo dopo che la cifratura \u00e8 iniziata o \u00e8 stata completata, specie se \u00e8 una nuova versione sconosciuta all\u2019antivirus La minaccia \u00e8 talmente seria che \u00e8 la stessa Polizia Postale a segnalare la pericolosit\u00e0 di questo nuovo Virus, ritenuto la nuova piaga digitale del nostro tempo!<br \/>\nLa vulnerabilit\u00e0 dei sistemi \u00e8 da tener ben presente sia per privati e aziende, ma soprattutto nella Pubblica Amministrazione e Scuole . Oggi \u00e8 richiesta una\u00a0consapevolezza diffusa della sicurezza informatica, consapevolezza che in genere NON esiste e non interessa granch\u00e9 divulgare, quantomeno fin quanto non ci si trova davanti a un\u00a0disastro e la segreteria bloccata. E di queste problematiche tutti gli Animatori Digitali ne devono tener conto.<br \/>\nVi consigliamo il\u00a0\u00a0<a href=\"https:\/\/www.informaweb.it\/it\/corso-esami-simulazioni-nuova-ecdl-test\/it-security-specialised-corso-nuova-ecdl-test-simulazioni-online-dispensa\"><strong>Corso OnLine IT Security<\/strong><\/a>\u00a0in cui si tratta la sicurezza informatica partendo dalle basi:\u00a0reti, frodi online, pretexting, hacker, minacce Malware (Virus, Worm, Trojan horse, Backdoor, Rootkit, Adware, Spyware, Botnet, virus keylogger ) tecniche di difesa e protezione dei sistemi e dei dati, Privacy e Cookie\u00a0Reti LAN MAN WAN e Login,\u00a0Wi-Fi\u00a0e protezioni.\u00a0Il corso \u00e8 anche certificabile e sono previste tutte le simulazioni d&#8217;esami.Richiedi adesso l&#8217;accesso gratuito e il supporto online<\/p>\n<h3>I sistemi Linux e il software libero sono pi\u00f9 sicuri?<\/h3>\n<p>I Crypto Ransmware sono diventati un business per tanti e vanno sui sistemi\u00a0pi\u00f9 diffusi Windows in testa. Essendo Linux pi\u00f9 raro \u00e8 molto meno soggetto a questo tipi di attacco e poi \u00e8 stato progettato per privilegiare la sicurezza alla facilit\u00e0. Pertanto avere un laboratorio con sistemi Linux ha innumerevoli vantaggi in particolare perch\u00e8 proprio quelle sono le postazioni pi\u00f9 &#8220;esposte&#8221; in una scuola. Ormai si trovano per Linux tutti i programmi di cui si hanno bisogno e se proprio serve un programma che gira sotto Windows ci sono gli emulatori che nella maggior parte dei casi risolvono ogni problema. Certo non \u00e8 semplice passare di colpo al software libero, ma avere alcune postazione in funzione fa accumulare esperienza e permette il confronto con i sistemi proprietari. Infine diverse direttive richiedono che la PA usi software libero, ma troppo spesso non vengono rispettate&#8230;.<\/p>\n<h3>Backup e condivisione online<\/h3>\n<p>Fare dei salvataggi dei propri dati \u00e8 FONDAMENTALE, per mille motivi. Ci sono tantissime modalit\u00e0 dal semplice copia incolla a sistemi pi\u00f9 evoluti e incrementali. Una soluzione molto comoda sono i sistemi Cloud di archiviazione online come DropBox, GoogleDrive e tanti altri. Il problema \u00e8 che molti di questi sistemi non sono immuni dalla criptazione dei dati, infatti se il PC e cui sono collegato \u00e8 infetto i dati vengo sincronizzati. In realt\u00e0 tutti prevedono il ripristino delle versioni precedenti quindi \u00e8 possibile recuperare i dati come erano prima dell&#8217;ultima disastrosa sincronizzazione (tipicamente entro 30 giorni) vedi ad esempio <a href=\"https:\/\/www.dropbox.com\/help\/8408\" target=\"_blank\" rel=\"nofollow noopener\">Dropbox<\/a>.\u00a0A proposito&#8230;\u00a0<a href=\"https:\/\/www.dropbox.com\/help\/8406\" target=\"_blank\" rel=\"nofollow noopener\">Dropbox come indicato sul sito<\/a><\/p>\n<blockquote><p>Dropbox sincronizza qualsiasi file che viene aggiunto. Pertanto, se viene sincronizzato un file contenente virus o malware, questo verr\u00e0 sincronizzato su tutti i computer collegati all&#8217;account. Se il virus o il malware si trova in una cartella condivisa, potrebbero essere interessati anche gli account e i computer di altri utenti.\u00a0In genere i malware non vengono attivati, a meno che non si faccia clic su di essi per aprirli. Per questo motivo, proprio come accade con i file provenienti da altre fonti, ti suggeriamo di seguire valide best practice di sicurezza, ad esempio utilizzare un software antivirus e prestare particolare attenzione all&#8217;esecuzione di file sconosciuti da altri computer.Se i tuoi file sono stati danneggiati da un malware (ad esempio ransomware), potresti riuscire a riportare i file allo stato precedente l&#8217;attacco del malware<\/p><\/blockquote>\n<p>Quindi (forse) sarebbe meglio usare un servizio online che blocchi i vari malware!<\/p>\n<h2>Crypto Ransomware Consigli come evitarli e tenere sicuri i dati?<\/h2>\n<p>La protezione migliore \u00e8 sempre la prevenzione, esistono diversi modi gratuiti per contribuire a proteggere il computer dai <a href=\"http:\/\/www.wired.it\/gadget\/computer\/2015\/10\/30\/ransomware-prevenire-eliminare\/\" target=\"_blank\" rel=\"nofollow noopener\">Crypto Ransomware<\/a> e da altri tipi di malware, in breve:<\/p>\n<ol>\n<li>Acquisire un minimo di competenza sulla sicurezza informatica<\/li>\n<li>Fare periodicamente copie di <a href=\"https:\/\/www.informaweb.it\/it\/go\/backup\" data-eafl-id=\"2109\" data-eafl-parsed=\"1\" class=\"eafl-link eafl-link-text eafl-link-cloaked\" target=\"_blank\" rel=\"nofollow\">backup<\/a>\u00a0dei propri dati su dispositivi esterni o online<\/li>\n<li>Avere sempre un buon <a href=\"https:\/\/www.informaweb.it\/it\/go\/antivirus\" data-eafl-id=\"2106\" data-eafl-parsed=\"1\" class=\"eafl-link eafl-link-text eafl-link-cloaked\" target=\"_blank\" rel=\"nofollow\">AntiVirus<\/a> funzionante e mantenere sempre aggiornati tutti i software presenti sul computer, assicurandosi anche che l&#8217;aggiornamento automatico sia attivato per ottenere tutti gli ultimi aggiornamenti di Windows Update.<\/li>\n<li>Mantenere sempre attivo il firewall di Windows e ove necessario installare un <a href=\"https:\/\/www.informaweb.it\/it\/go\/firewall\" data-eafl-id=\"2108\" data-eafl-parsed=\"1\" class=\"eafl-link eafl-link-text eafl-link-cloaked\" target=\"_blank\" rel=\"nofollow\">firewall hardware\/software con maggiore protezione<\/a><\/li>\n<li>Usare un gestore di posta con antivirus (ad esempio Gmail) e non aprire messaggi email spam e non fare clic su collegamenti a siti sospetti<\/li>\n<li>Non condividere le cartelle con dati importanti se collegate in reti diverse i vostri PC, in particolare attenzione ai\u00a0PC\u00a0delle scuole, dove spesso c&#8217;\u00e8 di tutto\u00a0e con pochi controlli. senza Antivirus o non aggiornati e tutte quelle chiavette che vengono inserite da docenti ed alunni<\/li>\n<li>Se navigate su siti non sicuri disattivate gli script nelle opzioni dei vostri browsers, o usate le comode estensioni per Chrome e\u00a0Firefox come\u00a0NoScript e Ad-blocker esistenti<\/li>\n<li>Non cliccare MAI sulla prima richiesta che ti viene fatta tramite finestre a comparsa<\/li>\n<li>In Esplora Risorse abilitare sempre la visualizzazione delle estensioni<\/li>\n<li>Disattivare l&#8217;apertura delle macro in tutti i documenti office<\/li>\n<li>NON aprire mai gli allegati dal programma di posta elettronica ma salvarli in una cartella di appoggio, entrare in cartella in modalit\u00e0 dettaglio e se sono con estensione\u00a0exe o .vbs o .Bat non aprirli e cancellarli immediatamente.<\/li>\n<li>Segnalare subito i siti sospetti alla Polizia Postale<\/li>\n<\/ol>\n<h2>Crypto Ransomware la nuova variante Teslacrypt<\/h2>\n<p>Una nuova ondata di questo virus sta colpendo l\u2019italia. Alcune mail vettore contengono come oggetto il nome del mittente oppure la data d\u2019invio e provengono da contatti noti, spesso non c\u2019\u00e8 testo nella mail\u00a0e\u00a0hanno tutte un allegato, consistente in un archivio ZIP che contiene un file con estensione \u201c.JS\u201d. ll file \u00e8 uno script javascript, il cui nome pu\u00f2 essere del tipo \u201cinvoice_DjzkX0.js\u201d o \u201cinvoice_scan_jWNWc3.js\u201d. Lo script, se aperto, causa il download del vero e proprio trojan <a href=\"http:\/\/www.ilsoftware.it\/articoli.asp?tag=TeslaCrypt-possibile-recuperare-i-file-cifrati-dal-ransomware_13363\" target=\"_blank\" rel=\"nofollow noopener\">TeslaCrypt <\/a>che infetter\u00e0 il PC. Rispetto alle versioni precedenti non sono al momento noti metodi validi per recuperare i propri documenti al 100%<\/p>\n<h2>Crypto Ransomware\u00a0CTB-locker Che fare se \u00e8 gi\u00e0 sul computer?<\/h2>\n<p>Per individuare e rimuovere il ransomware e altri malware che potrebbero essere presenti sul computer, esegui una scansione completa del sistema con una soluzione di sicurezza adeguata e aggiornata. Tuttavia, anche se i prodotti di sicurezza sono progettati per trovare questa minaccia, pu\u00f2 capitare che CTB-locker non venga individuato, o magari venga individuato solo dopo che la cifratura \u00e8 iniziata o addirittura \u00e8 stata completata. Se si sospetta un attacco o \u00e8 ancora al primo stadio, poich\u00e9 \u00e8 necessario un po&#8217; di tempo perch\u00e9 sia completata la cifratura, la rimozione immediata del malware prima del completamento della cifratura pu\u00f2 almeno ridurre la perdita di dati ma ovviamente non risolve completamente il problema.<\/p>\n<p>Rivolgersi a un tecnico qualificato e con la necessaria esperienza ad affrontare questa tipologia di malware \u00e8 sempre la soluzione migliore, tuttavia nel caso vogliate procedere da soli potete provare a seguire i seguenti passaggi senza garanzia di successo, perch\u00e9 come detto in precedenza ci sono varie versioni con caratteristiche diverse. Per chi invece decidesse di cedere al ricatto, se la procedura va bene una volta pagato l\u2019importo richiesto, ricever\u00e0 un file chiamato unlocker.exe che in teoria dovrebbe decifrare e ripristinare i file a come erano prima dell\u2019intervento del virus, ma qualcosa potrebbe anche andare storto e perdereste oltre a tutti i file anche i vostri soldi. Quindi ancora una volta il consiglio \u00e8 sempre quello di fare diverse copie di backup su dispositivi esterni e recuperare tutto in casi di questo genere dopo aver ripulito il PC.<\/p>\n<h2>CTB-locker\u00a0 Come rimuovere il ransomware?<\/h2>\n<p>Tipicamente se il PC contiene file con estensione &#8220;.encrypted&#8221;. Le procedure di rimozione sono diverse in base al tipo e versione di virus. Ci sono varie procedure per eliminare il virus di seguito una particolarmente semplice, seguita da alternativa video che prevede anche il recupero dei dati<\/p>\n<ul>\n<li>Isolare immediatamente il computer infetto togliendolo dalla rete scollegandolo da internet.<\/li>\n<li>Scaricare da altro PC e copiare su chiavetta USB da <a href=\"http:\/\/www.combofix.org\/\" target=\"_blank\" rel=\"nofollow noopener\">http:\/\/www.combofix.org\/<\/a> il programma gratuito per la rimozione del virus e da <a href=\"http:\/\/www.piriform.com\/ccleaner\" target=\"_blank\" rel=\"nofollow noopener\">http:\/\/www.piriform.com\/ccleaner<\/a> quello per la pulizia dei file temporanei e delle voci di registro dopo la rimozione.<\/li>\n<li>Riavviare il Pc infetto in modalit\u00e0 provvisoria tenendo premuto pi\u00f9 volte il tasto F8 in fase di avvio<\/li>\n<li>Appena appare la schermata nera con varie possibilit\u00e0 di intervento, scegliere l\u2019attivazione della modalit\u00e0 provvisoria<\/li>\n<li>Avviata la modalit\u00e0 provvisoria, lanciare Combofix dopo averlo installato dalla chiavetta e lasciarlo \u201clavorare\u201d fino a che non finisce il suo percorso;<\/li>\n<li>Ripulito il pc con l&#8217;antimalware, eliminare tutti i file temporanei con l\u2019aiuto di Ccleaner<\/li>\n<li>Riavviare il pc in modalit\u00e0 normale.<\/li>\n<li>Rifate una scansione e per sicurezza installate e lanciate anche altro anti malware <a href=\"http:\/\/it.malwarebytes.org\/\" target=\"_blank\" rel=\"noopener\">http:\/\/it.malwarebytes.org\/<\/a> di cui parliamo in altro articolo.<\/li>\n<\/ul>\n<p>Nel seguente video, troverete invece una procedura manuale non molto differente, ma che prevede l\u2019uso di <a href=\"http:\/\/www.shadowexplorer.com\/\" target=\"_blank\" rel=\"noopener\">http:\/\/www.shadowexplorer.com\/<\/a> per il recupero dei dati come vi spiegheremo dopo il video<\/p>\n<div class=\"ast-oembed-container \" style=\"height: 100%;\"><iframe loading=\"lazy\" title=\"CryptoLocker Ransomware What You Need To Know\" width=\"500\" height=\"281\" src=\"https:\/\/www.youtube.com\/embed\/FoNTXTyly-s?feature=oembed\" frameborder=\"0\" allow=\"accelerometer; autoplay; clipboard-write; encrypted-media; gyroscope; picture-in-picture; web-share\" referrerpolicy=\"strict-origin-when-cross-origin\" allowfullscreen><\/iframe><\/div>\n<p>Sempre nel video troverete utili informazioni sulla prevenzione e l\u2019uso di un apposito software che trovate qui <a href=\"http:\/\/www.foolishit.com\/vb6-projects\/cryptoprevent\/\" target=\"_blank\" rel=\"noopener\">http:\/\/www.foolishit.com\/vb6-projects\/cryptoprevent\/<\/a>\u00a0che non abbiamo provato ne conosciamo affidabilit\u00e0. Internet \u00e8 pieno di articoli con soluzioni e software che poi si rivelano altre trappole e ulteriori virus!!! Quindi fate molta attenzione a cosa installate e da dove scaricate.\u00a0Cryptoprevente una volta installato\u00a0sul pc, permette di attivare delle regole di restrizione su alcuni tipi di file, impedendo di eseguire dei software potenzialmente dannosi per il sistema. Tuttavia le ultime versioni di malware lo aggirano, quindi la prevenzione \u00e8 al momento la migliore alleata.<\/p>\n<h2>CTB-Locker\u00a0 come recuperare gratis i file criptati?<\/h2>\n<p>Come video nel video precedente \u00e8 possibile recuperare buona parte dei file se si \u00e8 fortunati utilizzando le copie fatte in automatico dal sistema con ShadowExplorer \u00e8 possibile recuperare buona parte dei dati. Tuttavia a volte questa soluzione non \u00e8 possibile e quindi si usa altra tecnica. In pratica normalmente il virus creato una copia crittata di ogni file e poi cancella gli originali, quindi se non si sono fatte altre operazioni invasive \u00e8 possibile utilizzare un software per il recupero dei file cancellati per recuperare buona parte dei propri dati con questo procedentimento<\/p>\n<ul>\n<li>Eliminare il virus come visto sopra<\/li>\n<li>Cercare di recuperare i dati con ShadowExplorer salvandoli in altra unit\u00e0<\/li>\n<li>Per i file non recuperabili usare un programma di undelete come <a href=\"https:\/\/www.piriform.com\/recuva\" target=\"_blank\" rel=\"noopener\">https:\/\/www.piriform.com\/recuva<\/a> \u00a0o altri equivalenti, quasi tutti gratuiti o prefessionale come Testdisk\\PhotoRec<\/li>\n<\/ul>\n<p>Dalle ultime analisi pare che le nuove versioni del virus si premurino di rimuovere tutti i punti di riprestino precedenti e quindi gli shadow file oltre che a rendere impossibile l\u2019undelete, quindi essendo al chiave a 2048bit \u00e8 praticamente impossibile recuperare i file!<\/p>\n<h2>Cosa sono le versioni precedenti dei file (shadow file) e come vengono creati e ripristinati?<\/h2>\n<p>Non molti sanno che andando sulle propriet\u00e0 di un file o una cartella a partire da Windows XP SP1 \u00e8 possibile risalire a una versione precedente salvata automaticamente da Windows come parte di un punto di ripristino. Le versioni precedenti possono essere utilizzate per ripristinare le cartelle e i file danneggiati, modificati o eliminati accidentalmente. I punti di ripristino in genere vengono creati una volta al giorno. Se il disco \u00e8 partizionato o se nel computer sono installati pi\u00f9 dischi rigidi, sar\u00e0 necessario attivare la protezione del sistema per le altre partizioni o gli altri dischi.<\/p>\n<p>Le versioni precedenti vengono inoltre create da Windows quando si esegue il backup dei file. A seconda del tipo di file o cartella, \u00e8 possibile aprire, salvare in un percorso diverso o ripristinare una versione precedente. Nel caso di PC con CTB-Locker\u00a0 \u00e8 meglio ripristinare prima su altra unit\u00e0 in modo da poter provare a usare l\u2019undelete di eventuali file non ripristinabili come scritto sopra.<\/p>\n<p>La protezione del sistema \u00e8 attivata automaticamente per l&#8217;unit\u00e0 in cui \u00e8 installato Windows. \u00c8 tuttavia possibile attivarla per altre unit\u00e0 eseguendo la procedura seguente:<\/p>\n<ul>\n<li>Dal pannello di controllo fare clic per aprire Sistema.<\/li>\n<li>Nel riquadro sinistro fare clic su Protezione sistema. Autorizzazioni di amministratore necessarie Qualora venisse richiesto, fornire una password amministratore o una conferma.<\/li>\n<li>Fare clic sull&#8217;unit\u00e0 e quindi su Configura.<\/li>\n<li>Eseguire una delle operazioni seguenti:\n<ul>\n<li>Per consentire il ripristino delle impostazioni di sistema e delle versioni precedenti dei file, fare clic su Ripristina impostazioni del sistema e versioni precedenti dei file.<\/li>\n<li>Per consentire il ripristino delle versioni precedenti dei file, fare clic su Ripristina solo versioni precedenti dei file.<\/li>\n<\/ul>\n<\/li>\n<li>Fare clic su OK.<\/li>\n<\/ul>\n<h2>Crypto Ransomware recuperare i file criptati da\u00a0Hydracrypt e UmbreCrypt<\/h2>\n<p>Un ricercatore della societ\u00e0 specializzata in sicurezza Emsisoft, \u00e8 riuscito a forzare l&#8217;algoritmo di base, creando un software in grado di recuperare i dati criptati da Hydracrypt e UmbreCrypt\u00a0(due varianti di ransomware derivate da CrypBoss e distribuite tramite il kit di Exploit Angler) anche se spesso con un danneggiamento degli ultimi 15 bytes che spesso rende ugualmente inutilizzabili i files. Il ricercatore,\u00a0Fabian, \u00a0consiglia di usare il suo software, liberamente scaricabile dal sito di Emsisoft, con il beneficio del dubbio e di applicarlo a pochi file per volta in modo da minimizzare i rischi che la chiave venga calcolata su qui fatidici 15 byte errati. Il processo \u00e8 piuttosto lungo e laborioso e potrebbero essere\u00a0necessari anche dei giorni prima di trovare la chiave giusta, a seconda di quanto \u00e8 potente il computer che usiamo per la decodifica. Non ci assumiamo alcuna responsabilit\u00e0 sul successo dell&#8217;operazione ma fateci sapere se siete riusciti a recuperare qualcosa!<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Crypto Ransomware massima attenzione adesso colpiscono\u00a0oltre\u00a0PC Windows e sistemi Android, anche i siti WordPress e i sistemi Mac OSX (#KeRanger\u00a0tramite [&hellip;]<\/p>\n","protected":false},"author":1,"featured_media":1843,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"default","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","ast-disable-related-posts":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"_jetpack_newsletter_access":"","_jetpack_dont_email_post_to_subs":true,"_jetpack_newsletter_tier_id":0,"_jetpack_memberships_contains_paywalled_content":false,"_jetpack_feature_clip_id":0,"_jetpack_memberships_contains_paid_content":false,"footnotes":"","jetpack_post_was_ever_published":false},"categories":[748,606],"tags":[272,16,279,282,320,727,339,271,80,203,280,275,278,269,277],"class_list":["post-1516","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-come-fare-guide-howto-video-tutorial","category-pmi-consulenza-digitale","tag-adware","tag-android","tag-backdoor","tag-cookie","tag-ransomware","tag-cbt-locker","tag-javascript","tag-malware","tag-microsoft_office","tag-pretexting","tag-rootkit","tag-spyware","tag-trojan-horse","tag-virus","tag-worm"],"jetpack_sharing_enabled":true,"jetpack-related-posts":[],"jetpack_shortlink":"https:\/\/wp.me\/p4QRf5-os","jetpack_featured_media_url":"https:\/\/www.informaweb.it\/it\/wp-content\/uploads\/2016\/03\/malware-crypto-ransomware.jpg","_links":{"self":[{"href":"https:\/\/www.informaweb.it\/it\/wp-json\/wp\/v2\/posts\/1516","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.informaweb.it\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.informaweb.it\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.informaweb.it\/it\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.informaweb.it\/it\/wp-json\/wp\/v2\/comments?post=1516"}],"version-history":[{"count":0,"href":"https:\/\/www.informaweb.it\/it\/wp-json\/wp\/v2\/posts\/1516\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.informaweb.it\/it\/wp-json\/wp\/v2\/media\/1843"}],"wp:attachment":[{"href":"https:\/\/www.informaweb.it\/it\/wp-json\/wp\/v2\/media?parent=1516"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.informaweb.it\/it\/wp-json\/wp\/v2\/categories?post=1516"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.informaweb.it\/it\/wp-json\/wp\/v2\/tags?post=1516"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}