Snatch: il virus riavvia il PC in modalità provvisoria per saltare l'antivirus

Aggiornamenti al giorno, una soluzione di sicurezza minima e molta attenzione ai nostri clic e download. Sono le raccomandazioni generali (e più frequenti) per mantenere protetti i nostri dispositivi... ma sappiamo bene che non sono perfette. Il malware si adatta, e i suoi sviluppatori diventano più astuti. Snatch è un esempio contundente. Invece di perdere tempo e risorse per violare gli antimalware di turno, questo ransomware scappa da loro funzionando sotto la modalità provvisoria di Windows, senza opposizione.

Il malware è riuscito a nascondersi in quasi ogni formato disponibile. Email, documenti, modelli Excel, giochi. Ha infettato estensioni specifiche, settori di avvio e persino firmware. Negli ultimi tempi, il concetto di ransomware ha guadagnato terreno con forza, frutto di campagne molto aggressive che hanno danneggiato aziende, agenzie governative e sistemi di sanità pubblica. Logicamente, le principali soluzioni di sicurezza hanno risposto alla sua minaccia, ma la storia è lungi dall'essere finita.

Il problema (se così possiamo chiamarlo) è che la grande maggioranza di queste soluzioni funziona in un ambiente Windows convenzionale, con tutti i suoi elementi caricati. Se entriamo in Modalità provvisoria (cioè a prova di guasti), non si attivano. In altre parole, la Modalità provvisoria abilita uno spazio completamente non protetto... ed è ciò che sfrutta Snatch.

Il team di Sophos (che ha indagato una campagna di ransomware nelle ultime settimane) ha condiviso un'ottima dimostrazione di Snatch in azione. Il primo passo è forzare il riavvio del computer in modalità provvisoria usando il comando "shutdown", e poi si ricarica in quella modalità come se fosse un servizio di Windows (grazie a una catena nel registro). I file dell'utente vengono di fatto cifrati durante il riavvio, e il resto è questione di chiedere il classico riscatto.

Naturalmente, tutto dipende da come arriva il payload di Snatch al computer, ma una volta che lo fa e riesce a eseguirsi... game over. I responsabili di questo ransomware hanno deciso di non pescare pesci piccoli, e preferiscono andare a caccia di squali, cioè concentrare i loro sforzi su grandi aziende e agenzie governative. Tuttavia, ciò non impedisce ad altri sviluppatori malintenzionati di prendere in prestito il trucco della modalità provvisoria e applicarlo nelle loro creazioni.

Ora, le menti maestre dietro Snatch non si limitano alla cifratura dei dati. Il team di Sophos ha scoperto un marcato interesse ad aggiungere nuovi membri con accesso privilegiato a reti aziendali, negozi e altre aziende. In sostanza, non hanno problemi a pagare per entrare in una rete già hackerata, o a unire le forze con altri elementi.

Allo stesso tempo, Sophos possiede prove di dati rubati da parte di quel gruppo. Un'azienda nel mirino di Snatch non corre solo il rischio di finire con file cifrati e sequestrati. C'è anche la possibilità che vengano venduti nel mercato nero.

Fonte: Sophos