www.MegaLab.it

Che i malware studiati per prendere in ostaggio il PC fino al pagamento di un riscatto costituiscano la nuova tendenza del 2011? Difficile a dirsi, ma dopo "Ransom-U", rintracciato nei giorni scorsi, ecco un nuovo virus studiato con medesimi scopi: Seftad.a.

Ad aver rintracciato il codice è Kaspersky Lab che, dalle pagine del blog ufficiale, ha illustrato le meccaniche di un "ransomware" tecnologicamente poco sofisticato, ma sicuramente molto aggressivo.

Una volta aver compromesso un sistema, Seftad.a sovrascrive il Master Boot Record (MBR) con il proprio codice, impedendo del tutto l'avvio del sistema operativo.

All'accensione del PC, il virus mostra unicamente una schermata di avvertimento nella quale il proprietario del computer viene invitato ad immettere una password per poter procedere

Tale parola chiave può essere richiesta visitando il sito safe-data.ru, controllato dai cyber-criminali, i quali richiedono in cambio un riscatto da 100 $.

Contrariamente a quanto minacciato nella schermata, i dati sull'hard disk non sono realmente crittografati: in linea di massima basta quindi collegare il disco ad un PC "sano", oppure utilizzare un Live CD (vedi "Recuperare i dati personali quando Windows non si avvia") per poter accedere a tutti i propri file.

Gli analisti di Kaspersky Lab hanno inoltre scoperto che la password è univoca, e non cambia fra le installazioni: per ripristinare l'MBR originale, basta quindi rispondere aaaaaaciip al ricatto del virus.

In alternativa, gli effetti del malware possono essere contrastati ripristinando il Master Boot Record tramite il supporto di installazione di Windows: ne abbiamo parlato nell'articolo "Guida alla rimozione dei bootkit".