Un'altra caratteristica interessante viene evidenziata quando si va ad esaminare la data di compilazione del file: 28-10-2022. Questo indizio è un ulteriore prova che Hairysquid risulta essere una versione più recente del sopranominato Mimic Ransomware.
 

 

Per rendere il tutto più "efficiente" e veloce, il processo iniziale viene replicato varie volte per suddividere i compiti ed effettuare più operazioni contemporaneamente.

Più la cifratura è veloce, meno sono le possibilità dell'antivirus di contrastare il ransomware in fase iniziale delle cifratura.

 

Nella prima fase viene eseguito il processo di DC.exe (DefenderControl), tramite cui il ransomware disabilita la protezione di Windows Defender e modifica la GroupPolicy di Windows:
 

 

 

modificata la chiave di registro di Windows per disabilitare la protezione in tempo reale (Real-Time-Protection) di Windows Defender:

 

  

La disabilitazione di Windows Defender è essenziale per il corretto funzionamento del ransomware, in quanto se nel PC non è presente un programma antivirus, Windows Defender è il primo a contrastare il programma malevolo. 

Sotto riportiamo il contenuto del file di cui sopra:

"PReg[Software\Policies\Microsoft\WindowsDefender;DisableAntiSpyware;]"

Nella seconda fase viene creato un elenco di tutte le directory (cartelle/dischi) fisici e/o virtuali. Questa operazione viene eseguita tramite le librerie del software chiamato "Everything". Everything è un utilità che permette, all'utilizzatore, di individuare rapidamente tutti i file/directory presenti nel computer della vittima e procedere poi con la loro cifratura. Una volta individuate le directory e le cartelle presenti nel PC, queste vengono inserite in un database testuale chiamato "Everything.db" utilizzato per reperire successivamente le informazioni utili alla cifratura dei dati.
 

 

Le estensioni che vengono prese in considerazione da Hairysquid per la cifratura dei dati sono seguenti:
 

 

Nella terza fase vengono eseguiti una serie di processi di powershell.exe per la ricerca di macchine virtuali presenti all'interno del PC; questa ricerca viene fatta perchè molto spesso le grande aziende usano macchine server che ospitano al loro interno delle macchine virtuali usate dai vari utenti all'interno dell'azienda.
Ovviamente queste macchine virtuali risultano essere un ottimo "bottino" per i malviventi in quanto, una volta cifrate, non saranno più utilizzabili dagli utenti.
 

 

 

• powercfg.exe - con cui disattiva lo spegnimento del sistema, la sospensione e l'ibernazione.

 

• bcdedit.exe utilizzato per inibire il ripristino della configurazione del sistema:

• wbadmin.exe usato per cancellare i backup della configurazione del sistema:

• wmic.exe con cui cancella le copie shadow di Windows:

Subito dopo viene creata una chiave di registro dentro il percorso:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run

con il nome:

Defender.exe con il valore > notepad.exe "C:\temp\READ_ME_DECRYPTION_HAIRYSQUID.txt"

che, ad ogni avvio del PC, provvede a visualizzare la richiesta di riscatto. Vedi sotto:


Nelle istruzioni per il pagamento del riscatto troviamo anche le modalità per contattare i malviventi tramite vari canali di messagistica come:

• Tox Messenger
• ICQ Messenger
• Skype
• eMail

Vir.IT Anti-Ransomware protezione Crypto-Malware

Vir.IT eXplorer PRO se installato e correttamente configurato ed in funzione nella macchina, attraverso la protezione AntiRansomware con tecnologie euristico-comportamentali, protegge i dati dell'utente dalla cifratura operata dal ransomware Hairysquid.



Casi come questo sono la prova dell'importanza di difendere i propri dati con adeguati sistemi di sicurezza anti-cryptomalware. 

TG Soft ha sviluppato ed integrato già dal maggio 2015 nella suite Vir.IT eXplorer PRO UNICO prodotto con motore proprietario sviluppato al 100% in Italia, AntiVirus, AntiSpyware e AntiMalware, le tecnologie AntiRansomware protezione Crypto-Malware che, attraverso l'approccio euristico-comportamentale, sono in grado di bloccare il processo di cifratura nella fase iniziale dell'attacco salvando, mediamente, non meno del 99,63% dei file di dati che il Ransomware avrebbe potuto cifrare se non vi fosse stata questa protezione.

Inoltre come ultimo paracadute per qualche file di dati che eventualmente non fosse nè ripristinabile nè recuperabile dai tool integati di ripristino/recupero si potrà provvedere al loro ripristino da Vir.IT BackUp presente ed integrato sempre nella suite Vir.IT eXplorer PRO.
 

Per maggiori info su queste tecnologie che, è bene ricordarlo, sono al 100% sviluppate in Italia è possibile contattare la segreteria di TG Soft Cyber Security Specialist  scrivendo a segreteria@tgsoft.it o chiamando il numero diretto 049.8977432. 



IOC: