Come Funziona CrossLock Ransomware E Tecniche Di Rimozione Efficaci

Scopri come funziona il ransomware CrossLock e le sue misure di prevenzione: quali sono le tecniche di rimozione efficaci.

Cos’è il ransomware CrossLock?

Il ransomware CrossLock emerge come una delle minacce informatiche più insidiose degli ultimi tempi, attivo da aprile 2023, con i primi esemplari osservati in Brasile.

Si tratta di un ransomware doppia estorsione: non solo crittografa i dati delle vittime ma, una volta pagato il primo riscatto, minaccia di rilasciare quei dati sul dark web in modo da convincere le vittime a pagare di nuovo.

CrossLock è un ransomware basato sul linguaggio di programmazione Go. 

L’uso di Go come linguaggio garantisce a CrossLock capacità cross-platform, rendendolo in grado di infettare sia gli ambienti Windows che Linux.

Infatti, una caratteristica distintiva associata a CrossLock è la sua capacità di eseguire tecniche di bypass dell’Event Tracing di Windows, che dovrebbe invece aiutare nella difesa e durante l’esecuzione del malware. 

Non è la prima volta, però, che le vulnerabilità di Windows sono sfruttate dai ransomware.

Come riportato da AAG, il 93,28% dei file ransomware rilevati sono programmati per essere eseguibili tramite Windows.

In che modo il ransomware CrossLock attacca i tuoi dati?

CrossLock non si limita semplicemente a crittografare i dati. 

Va oltre, utilizzando tecniche sofisticate per infiltrarsi, crittografare e poi estorcere le vittime. 

Ciò che lo distingue da altri tipi di ransomware è la sua capacità di adattarsi all’ambiente in cui opera. 

Ad esempio, verifica se si trova in un ambiente WINE, una piattaforma che permette l’esecuzione di applicazioni Windows su sistemi Unix-like.

Questo controllo gli consente di determinare le migliori strategie per caricare le sue librerie dannose, sfruttando sia le librerie dinamiche di Windows (DLL) che gli oggetti condivisi Unix. 

Questa capacità di adattamento rende CrossLock particolarmente insidioso, poiché può ottimizzare il suo attacco in base all’ambiente specifico in cui si trova.

Come funziona il ransomware CrossLock?

L’analisi tecnica portata a termine da Hive Pro evidenzia che:

“Il ransomware CrossLock può accettare vari parametri della riga di comando per l’esecuzione, tra cui la specifica di un percorso per la crittografia, la designazione di un indirizzo IP remoto o un nome DNS per ottenere l’accesso alla rete della vittima e l’aggiramento del controllo dell’account utente (UAC).

[…] Dopo aver applicato la patch a ETW, il ransomware esegue diverse azioni di pulizia dei dati sul sistema infetto, tra cui l’eliminazione delle copie shadow, la cancellazione dei registri eventi, la disattivazione della funzionalità di riparazione all’avvio e altro ancora.”

CrossLock, quindi, inizia il processo di crittografia una volta all’interno del sistema utilizzando algoritmi robusti come ChaCha20 e Curve25519 che rendono molto difficile decriptare file ransomware. 

Come si diffonde il ransomware CrossLock?

CrossLock, come molti altri ransomware, utilizza una combinazione di tecniche per infiltrarsi nei sistemi. 

Una delle principali vie di infezione è attraverso campagne di phishing mirate. 

D’altronde, come riporta AAG, questo è il metodo di infezione da ransomware più comune: il 41% degli attacchi inizia così.

Inoltre, il ransomware CrossLock può sfruttare vulnerabilità di sicurezza in software non aggiornati o in configurazioni di sistema deboli. 

La sua capacità di operare su diverse piattaforme lo rende ancora più insidioso, poiché può infettare sia macchine Windows che Linux.

Conseguenze del ransomware CrossLock: rischi e danni

Le organizzazioni colpite dal ransomware CrossLock affrontano una serie di sfide.

Oltre alla crittografia immediata dei dati, che rende inaccessibili documenti, immagini e altri file essenziali, c’è la minaccia della doppia estorsione. 

Gli aggressori di questi crimini informatici non solo richiedono un riscatto per la decrittografia dei dati, ma minacciano anche di rilasciare dati sensibili pubblicamente se il riscatto non viene pagato. 

Da sommarsi alle perdite finanziarie, quindi, arriva il danno reputazionale, perché l’azienda si troverà a dover contrastare la perdita di fiducia nei clienti e nei possibili investitori.

Segni e sintomi per identificare il ransomware CrossLock 

Identificare rapidamente un’infezione da ransomware o altro malware è cruciale per limitare il danno. 

Con CrossLock, gli utenti potrebbero notare un rallentamento significativo del sistema a causa delle risorse utilizzate per la crittografia dei dati. 

File e documenti potrebbero diventare inaccessibili, e le estensioni dei file potrebbero cambiare, ad esempio in “.lock”. 

Inoltre, nella nota che appare sullo schermo, vengono fornite istruzioni sul pagamento del riscatto e la decrittazione del ransomware.

Ecco un esempio di nota rilasciata dal ransomware CrossLock.

Indicatori comuni di infezione da ransomware CrossLock

Oltre ai sintomi visibili, ci sono altri indicatori che possono segnalare una possibile infezione da CrossLock. 

La rapida identificazione di questi segnali può aiutare a mitigare l’attacco e a limitare i danni. 

Ecco alcuni degli indicatori più comuni:

• Traffico di rete sospetto: connessioni inattese a indirizzi IP o domini noti per essere associati a campagne di ransomware;
• Avvisi di sicurezza: notifiche da soluzioni antivirus o antimalware che rilevano comportamenti o file sospetti;
• Processi di sistema anomali: l’avvio di processi sconosciuti o insoliti che potrebbero indicare attività di crittografia in corso;
• Modifiche alle impostazioni di sistema: tentativi di disabilitare o interferire con soluzioni di sicurezza, servizi di sistema o task pianificati;
• File e documenti inaccessibili: l’impossibilità di aprire file criptati o documenti, spesso accompagnata da estensioni di file modificate;
• Note di riscatto: messaggi che appaiono sul desktop o nelle directory dei file con istruzioni su come pagare un riscatto per la decrittografia dei dati;
• Rallentamento del sistema: una diminuzione significativa delle prestazioni del sistema a causa delle risorse utilizzate per la crittografia.

La presenza di uno o più di questi indicatori dovrebbe servire come campanello d’allarme per gli utenti e gli amministratori di sistema, suggerendo una possibile infezione da ransomware CrossLock.

Cambiamenti nel comportamento dei sistemi infetti 

Un sistema infetto dal ransomware CrossLock potrebbe manifestare una serie di comportamenti anomali. 

Oltre al rallentamento, potrebbero verificarsi riavvii inaspettati, interruzioni di applicazioni o servizi e modifiche alle impostazioni di sistema. 

CrossLock potrebbe anche tentare di disabilitare o interferire con soluzioni di sicurezza installate, rendendo ancora più difficile la sua rilevazione e rimozione.

Estensioni di file e modelli di crittografia insoliti 

CrossLock utilizza algoritmi di crittografia robusti per bloccare i dati. 

Durante questo processo, potrebbe aggiungere estensioni specifiche ai file crittografati. 

Queste estensioni servono come un chiaro indicatore dell’infezione e possono aiutare gli esperti di sicurezza a identificare la specifica variante di ransomware in azione. 

Anche nel raro caso in cui non dovessi vedere una diversa estensione nei file, potresti avere difficoltà ad aprirli o, una volta aperti, potrebbero mostrarsi con caratteri strani.

Se ti trovi davanti a una di queste casistiche, contatta immediatamente gli esperti di HelpRansomware, capaci di recuperare i dati da qualunque attacco ransomware.

Misure di prevenzione contro il ransomware CrossLock 

La prevenzione è la migliore difesa contro qualsiasi ransomware. 

Per CrossLock, è essenziale mantenere tutti i software e sistemi operativi aggiornati, poiché gli aggressori spesso sfruttano vulnerabilità note in software obsoleti. 

Evitare di aprire e-mail o allegati sospetti, soprattutto da mittenti sconosciuti, è un altro passo cruciale. 

Infine, avere backup regolari dei dati, preferibilmente in posizioni offline o in cloud separati, può garantire che, anche in caso di infezione, la perdita di dati sia minima.

È di fondamentale importanza che i backup siano anche offline, perché, come dimostra il report di Security Intelligence, nel 93% degli incidenti ransomware gli hacker prendono di mira i repository di backup.

Mantieni il tuo sistema aggiornato 

Mantenere il sistema operativo e tutti i software aggiornati è uno dei modi più efficaci per proteggere il tuo dispositivo da minacce come il ransomware CrossLock. 

Gli aggressori spesso sfruttano vulnerabilità note in software obsoleti per infiltrarsi nei sistemi. 

Le aziende rilasciano regolarmente patch e aggiornamenti di sicurezza per correggere queste vulnerabilità.

Ti basterà seguire queste misure per poter consentire al tuo dispositivo un più facile rilevamento del ransomware:

• Abilita gli aggiornamenti automatici quando possibile: ciò garantisce che il tuo sistema riceva le ultime patch non appena vengono rilasciate;
• Monitora le notifiche: presta attenzione alle notifiche di aggiornamento e agisci di conseguenza;
• Verifica le fonti: assicurati di scaricare gli aggiornamenti solo da fonti ufficiali e affidabili per evitare malware mascherato da falsi aggiornamenti.

Rilevare velocemente la minaccia significa avere un margine di azione maggiore nel caso l’attacco vada a buon fine.

Evita l’apertura di e-mail o allegati sospetti

Le campagne di phishing sono uno dei principali vettori di distribuzione per ransomware come CrossLock. 

Ecco come proteggersi:

• Verifica il mittente: prima di aprire un’e-mail, controlla l’indirizzo del mittente; se non lo riconosci o sembra sospetto, evita di aprirlo;
• Attenzione agli allegati: non aprire allegati da e-mail sospette o non richieste;
• Verifica i link: prima di fare clic su un link in un’e-mail, passa il mouse sopra per vedere l’URL di destinazione;
• Utilizza filtri anti-phishing: molte soluzioni di sicurezza offrono filtri anti-phishing che possono aiutare a bloccare e-mail dannose prima che raggiungano la tua casella di posta.

Si tratta di misure semplici, ma di grande utilità.

Effettua backup periodici

Avere backup regolari è essenziale per recuperare file crittografati in caso di attacco ransomware.

Per fare in modo che abbiano la massima efficacia, segui queste regole:

• Frequenza: effettua backup dei tuoi dati importanti almeno una volta alla settimana, o anche più frequentemente se gestisci dati critici;
• Destinazioni multiple: salva i backup in più posti, come un disco rigido esterno e un servizio di cloud storage;
• Verifica i backup: assicurati che i backup siano completi e non danneggiati. 

Per assicurarti del funzionamento, prova a ripristinare i dati dai backup periodicamente;

• Isola i backup: mantieni i backup disconnessi dalla rete principale per proteggerli da ransomware e altre minacce.

Il rapporto di Sophos rende la misura dell’importanza di queste strategie: nel 70% dei casi di attacchi ransomware, i dati sono stati recuperati tramite backup.

Azioni per la rimozione del ransomware CrossLock 

Se un sistema viene infettato, è fondamentale agire rapidamente. 

Isolare il sistema compromesso per prevenire la diffusione del ransomware ad altri dispositivi nella rete. 

Poi, utilizzare strumenti e soluzioni di sicurezza aggiornati per rilevare e rimuovere il ransomware. 

In molti casi, potrebbe essere necessario l’intervento di esperti in data recovery, come HelpRansomware, per ripristinare il corretto funzionamento dei dati e dell’intero sistema.

Ottieni assistenza professionale: servizi di rimozione ransomware

In caso di infezione da ransomware, può essere essenziale rivolgersi a professionisti specializzati nella rimozione di malware e nel recupero dei dati.

Ecco alcune ragioni per cui dovresti farlo:

• Esperienza: gli esperti di sicurezza hanno l’esperienza e le competenze necessarie per affrontare le varianti di ransomware;
• Strumenti avanzati: le aziende come HelpRansomware dispongono di strumenti e software avanzati per rilevare, isolare e rimuovere ransomware dai sistemi infetti;
• Consulenza: oltre alla rimozione del ransomware, gli esperti possono fornire consigli su come prevenire future infezioni e come migliorare le misure di sicurezza;
• Risposta rapida: in molti casi, il tempo è essenziale. 

HelpRansomware nasce con l’idea di fornire ai partner servizi contro il ransomware, per una protezione totale.

Strumenti e tecniche di rimozione efficaci 

La rimozione di ransomware come CrossLock richiede l’uso di strumenti e tecniche specifiche.

Alcuni di questi sono:

• Scanner antimalware: utilizza soluzioni antimalware affidabili per rilevare e rimuovere il ransomware dal sistema;
• Modalità provvisoria: avvia il sistema in modalità provvisoria per limitare l’esecuzione del ransomware e facilitare la sua rimozione;
• Strumenti di decrittografia: esistono strumenti di decrittografia specifici e gratuiti per varianti di ransomware note.

In alcuni casi, potrebbe essere utile eseguire un’analisi forense del sistema per comprendere meglio l’attacco e prevenire futuri incidenti.

Ripristino file e sistemi interessati: recupero dati 

Dopo la rimozione del ransomware CrossLock, il passo successivo è recuperare e ripristinare i file criptati.

Hai varie opzioni a tua disposizione:

• Backup;
• Strumenti di recupero;
• Servizi professionali;
• Prevenzione. 

Una volta che i dati sono stati recuperati, è essenziale implementare misure preventive per proteggere contro futuri attacchi di ransomware.

Conclusioni

CrossLock rappresenta una minaccia significativa nel panorama dei ransomware. 

La sua capacità di colpire piattaforme diverse e le sue tecniche avanzate lo rendono particolarmente pericoloso. 

Tuttavia, con le giuste misure di prevenzione e risposta, le organizzazioni possono proteggersi da questa minaccia.

Ecco le conclusioni che puoi trarre da questa guida sul ransomware CrossLock:

• La prima apparizione di CrossLock risale all’aprile 2023, con un attacco in Brasile;
• CrossLock è un ransomware basato sul linguaggio di programmazione Go;
• Questo ransomware ha capacità cross-platform, il che lo rende in grado di infettare sia gli ambienti Windows che Linux;
• Una caratteristica distintiva di CrossLock è la capacità di eseguire tecniche di bypass dell’Event Tracing di Windows;
• CrossLock utilizza algoritmi robusti come ChaCha20 e Curve25519, che lo rendono difficile da decriptare.

Se noti attività anomale sul tuo dispositivo, verifica la presenza di ransomware o malware.

Nel caso scopri di essere stato vittima di un attacco, non perdere tempo e contatta subito degli esperti in rimozione ransomware e data recovery come HelpRansomware.

Non pagare mai il riscatto e affidati a dei professionisti.