Rivelata la reale portata dell'estorsione del ransomware Bitcoin

Il ransomware è uno dei tipi di malware più preoccupanti emersi negli ultimi anni. Funziona limitando l'accesso ai file del computer fino al pagamento di un riscatto. Tra le vittime figurano il servizio sanitario nazionale britannico, la società di telecomunicazioni spagnola Telefonica, il gigante petrolifero russo Rosneft e molti altri.

Le vittime sono solitamente tenute a pagare un riscatto in Bitcoin equivalente a poche centinaia di dollari per rilasciare i propri file. In genere, il riscatto aumenta nel tempo fino a una scadenza in cui i file vengono presumibilmente distrutti. Molte aziende e individui non hanno avuto altra scelta che pagare.

E questo solleva una domanda interessante. Quanti soldi hanno generato i programmi ransomware Bitcoin per i loro padroni malintenzionati?

Valore in dollari USA dei riscatti pagati agli account CryptoWall Bitcoin

Oggi riceviamo una risposta grazie al lavoro di Mauro Conti dell'Università di Padova in Italia e un paio di colleghi. Questi ragazzi hanno creato un database di account Bitcoin utilizzati dai criminali ransomware e hanno sommato i riscatti pagati su di essi. Il risultato è un'analisi completa dei guadagni realizzati dai criminali informatici in questa area emergente della criminalità.

Mentre il ransomware può chiedere il pagamento in tipo di valuta, Conti e co si concentrano solo su coloro che richiedono pagamenti in Bitcoin. Questo perché le transazioni Bitcoin sono registrate apertamente e visualizzate gratuitamente. Quindi, in linea di principio, dovrebbe essere possibile calcolare esattamente quanto riceve ciascun account. Il nostro obiettivo era misurare con precisione il valore in USD di questi pagamenti, afferma Conti e co.

Il team ha iniziato creando un database di account Bitcoin associati a questo tipo di attività dal 2013, quando il ransomware Cryptolocker è stato il primo a chiedere il pagamento in Bitcoin. Abbiamo trovato venti ransomware che soddisfacevano i nostri criteri di selezione, ovvero quei ransomware: (i) che utilizzavano Bitcoin come almeno una modalità di pagamento del riscatto e (ii) per i quali almeno un indirizzo Bitcoin è noto pubblicamente, spiegano.

Per ciascuna specie di malware, forniscono un'utile panoramica del modo in cui funziona e si diffonde e di come si è evoluto nel tempo.

Non tutti i pagamenti su questi account sono necessariamente riscatti. Quindi Conti e compagni hanno sviluppato un modo per distinguere i pagamenti di riscatto da altri tipi. Lo fanno cercando pagamenti che corrispondano agli importi specifici che il malware richiede in riscatto.

Infine, Conti e co sommano tutti i pagamenti di riscatto ricevuti da ogni tipo di malware. Il loro lavoro rivela il ransomware più redditizio, ma solleva anche domande sul modo in cui vengono utilizzati questi account e su come possono essere monitorati.

La forma di ransomware di gran lunga più redditizia risulta essere CryptoWall, che ha iniziato a infettare i computer Windows nel novembre 2013. Ha crittografato i file utilizzando l'algoritmo di crittografia RSA-2048 e quindi ha richiesto un pagamento fino a $ 1.400 per rilasciarli.

Il malware si è diffuso attraverso vari vettori, come i link per il download inviati dalla botnet spam Cutwail. Alcune versioni del malware hanno creato un indirizzo di pagamento Bitcoin univoco per ogni utente infetto e hanno utilizzato il sistema Tor darknet per fornire collegamenti anonimi a ciascuna vittima.

Tra il suo rilascio e dicembre 2015, gli indirizzi Bitcoin associati a questo malware hanno ricevuto $ 2,2 milioni in pagamenti in Bitcoin e altri $ 2,3 milioni in transazioni di valore superiore, che Conti e compagni sospettano possano anche essere pagamenti di riscatto.

Curiosamente, il valore totale dei pagamenti ricevuti da questi indirizzi Bitcoin è stato di oltre $ 45 milioni. La maggior parte di queste transazioni non erano direttamente collegate da Conti e co a importi di riscatto. Questa è una quantità significativa di denaro e solleva l'ovvia domanda su cosa fosse il pagamento.

La classifica completa dei progetti di ransomware Bitcoin in base all'importo in dollari USA che hanno generato è la seguente:

Ransomware Il riscatto di Bitcoin ha ricevuto un valore in USD

CryptoWall 5.351,2329 2.220.909,12

CryptoLocker 1403.7548 449.274,97

Armadietto DMA 339.4591 178.162,77

Voglio piangere 47.1743 86.076.76

Criptodifesa 126.6960 63.859,49

Non Petya 4.0576 9.835,86

KeRanger 9999 4.173,12

È interessante notare che l'epidemia di WannaCry ha ricevuto un'enorme copertura mediatica poiché il malware si è diffuso ampiamente. Ma l'attacco è stato sventato dal ricercatore di sicurezza informatica Marcus Hutchins, che ha scoperto e attivato un kill switch integrato che impediva al malware di essere più distruttivo.

L'impatto complessivo (comprese le perdite finanziarie) dovuto all'infezione di WannaCry avrebbe potuto essere peggiore... grazie al rilevamento precoce del kill switch, che ha impedito ai computer infetti di diffondere ulteriormente WannaCry, affermano Conti e co.

Il team discute anche di altre forme di malware che hanno richiesto ma non sembrano aver ricevuto riscatti sostanziali. Questi includono TeslaCrypt, Hi Buddy! e KillDisk.

Vari altri gruppi hanno svolto analisi simili e sono giunti a conclusioni simili. Tuttavia, Conte e colleghi rendono pubblicamente disponibile il loro set di dati in modo che altri possano sfruttarlo. Il set di dati contiene una cronologia dettagliata delle transazioni di tutti gli indirizzi che abbiamo identificato per ogni ransomware, dicono.

I criminali informatici utilizzano Bitcoin perché fornisce un modo apparentemente anonimo per raccogliere ed effettuare pagamenti. Tuttavia, Bitcoin è pseudonimo piuttosto che anonimo. Ciò significa che gli utenti possono proteggere la loro identità a condizione che nessuna delle loro transazioni possa essere collegata alla loro vera identità. Ma non appena una singola transazione è collegata ai loro dati di identificazione personale, tutte le loro transazioni vengono collegate allo stesso modo.

Un'utile analogia è con gli autori che pubblicano sotto pseudonimo. Finché l'identità dell'autore non è mai collegata a nessuno degli articoli pseudonimi, lui o lei rimane anonimo. Ma se è collegato a un solo articolo pseudonimo, è collegato a tutti e quindi l'anonimato è perso.

Quindi la protezione con uno pseudonimo è una cosa fragile. Una singola transazione che collega un account Bitcoin a un account personale può rivelare l'identità di un criminale informatico. E i dati personali perdono continuamente nelle transazioni basate sul web.

L'anno scorso abbiamo scritto delle imperfezioni nell'anonimato delle transazioni Bitcoin. Questo dovrebbe fornire qualche speranza di rintracciare questi criminali.

Conti e co hanno posto questo tipo di indagine come obiettivo futuro. Cercheremo di tracciare come sono stati utilizzati i riscatti ricevuti e da chi, dicono.

È coraggioso e ambizioso. Ma solleva anche una domanda: cosa stanno facendo nel frattempo le forze dell'ordine?

Rif: arxiv.org/abs/1804.01341 : Sul significato economico delle campagne ransomware: una prospettiva delle transazioni Bitcoin

nascondere