Il ransomware continua ad essere una dei maggiori pericoli per gli utenti di internet, nonostante la chiusura dei server di "TeslaCrypt", con la diffusione pubblica di una MasterKey per decifrare senza dove pagare il riscatto per gli eventuali file criptati o dopo il defacciamento dei server per il ransomware "Locky" da parte di White Hat o Hacker buoni che hanno sostituito le parti infette dei codici con una innocua stringa di testo che recita "STUPID LOCKY" (chiaramente rivolta agli ideatori del ransomware così bravi a danneggiare gli altrui computer ma non altrettanto bravi a difendere i propri server da altri attacchi) gli attacchi attraverso mail più o meno credibili continuano regolarmente.
Questa mail ad esempio arriva da TIM/Telecom, almeno sembra, analizziamola un attimo per vedere come riconoscerla da quella vera;
TITOLO: "Fattura TIM linea Fissa - Giugno 2016 - scadenza 02/06/2016" - fin qui tutto bene anche se è arrivata in ritardo rispetto alla data di scadenza
Return-Path: "<servizioclienti telecomitalia.it>" - Dovrebbe essere il mittente, ma sappiamo che puo essere tranquillamente modificato
Tra i vari Received notiamo questo: Received: from srvlago.lago.siv.br ([189.28.162.68]), piuttosto strano che telecom faccia transitare la sua mail su server brasiliani (.br finale indica Brasile)
pure l'ID del messaggio ci conferma questo: Message-Id: <20160602123323.3FA32FD392 srvlago.lago.siv.br>
Passiamo ad esaminare il messaggio:
Gentile info@xxxxxxxxxxxx - ma questa è la mail dove è arrivata questa comunicazione, se noi fossimo utenti TIM/Telecom minimo minimo mi aspetto che mi chiamino per nome e cognome visto che sono dati in loro possesso (ma non dei virus writer)
... relativa alla linea 0008347638 - il numero è completamente sballato, i truffatori infatti non possono sapere il mio eventuale numero
Scaricare la Fattura - Ecco questo è il link che se clicchiamo ci porterà ad un sito infetto dove scaricheremo il nostro ramsonware che cripterà i nostri file del pc, il nostro link infatti punta a: "alfa-team.net/fattura?546" - che non ha proprio nulla in comune con TIM/Telecom.
Tutto il resto sembra piuttosto in comune con una eventuale comunicazione di TIM/Telecom ma, come abbiamo analizzato, la mail è da cestinare immediatamente.
Quindi attenzione alle mail che ricevete, nonostante alcuni ransomware abbiano smesso di essere pericolosi, altri si stanno affacciando nel mondo internet, per alcuni di loro ancora non si conosce la cura per la decriptazione dei file.
