Un nuovo ransomware simile a WannaCry sta mietendo nuove vittime tra i possessori di dispositivi Android. Avast ha reso noto che tra gli utenti cinesi starebbe circolando una versione alterata del software maligno in grado di insediarsi nei dispositivi mobile. Il malware, ribattezzato Wanna Locker cripterebbe solo i file conservati nelle memorie esterne collegate al device chiedendo successivamente un riscatto per la decriptazione. Il virus era già stato intercettato qualche giorno fa dall’azienda di sicurezza Qihoo 360 che ha anche creato un tool per la rimozione.
Era il 2014 quando SimpLocker iniziò a diffondersi veicolato attraverso una app per adulti. In quel caso il malware arrivava dall’Ucraina. In questo caso l’inizio dell’epidemia è da ricercarsi invece nella pubblicazione in un forum cinese di videogame di un falso plugin per il gioco King of Glory . Una volta avviato occulta la sua icona, modifica lo sfondo del dispositivo e inizia con la procedura di criptazione (AES), fino a proporre un messaggio di pagamento del riscatto quantificato in circa 6 dollari . A differenza di altre volte, la somma è bassa e il pagamento elettronico non prevede l’uso di moneta criptata come Bitcoin ma sfrutta i circuiti noti in Cina QQ, Alipay e WeChat (l’utente paga fotografando un QR Code). È per questo che gli esperti di Avast credono che dietro al malware vi sia una struttura meno organizzata rispetto a WannaCry, che intende guadagnare soldi rapidamente anche esponendosi a maggiori rischi.
Ci sono dubbi circa una scelta così azzardata di non usare monete criptate, in un Paese come la Cina, dove le autorità hanno un accesso estremamente profondo nella Rete. Rintracciare gli autori, qualora non abbiano adottato ulteriori misure per occultarsi agli occhi degli agenti, potrebbe essere questione di poche ore. Quel che stupisce invece è l’elevato livello di programmazione utilizzato nella creazione del ransomware. Il software cripterebbe solo i file più piccoli di 10KB per evitare di intaccare le risorse dei dispositivi Android che altrimenti potrebbero bloccare l’operazione, oltre ad evitare la criptazione di file che iniziano con un punto, oppure localizzati in cartelle che includono nel percorso “android”, “com”, “DCIM”, “download” o “miad”, accortezze che mostrano la mano di esperti.
Si rimane in attesa che le autorità catturino i colpevoli e che il virus venga neutralizzato, anche se si sospetta che siano già in lavorazione varianti. Nel caso di WannaCry sarebbero addirittura una ventina le mutazioni create per bypassare i rimedi. Kaspersky Lab ha evidenziato la crescita esponenziale di casi di contagio con ransomware dei dispositivi Android in uno studio dello scorso anno (nei 12 mesi tra aprile 2015 e marzo 2016 i dispositivi Android infettati sono stati 136.532 a differenza dei 35.413 del periodo compreso tra aprile 2014 e marzo 2015). Eppure Android include funzionalità di antivirus sin dal 2012 . Il gioco del gatto e del topo prosegue imperterrito.
Mirko Zago
Ti potrebbe interessare
12 giu 2017