A new ransomware threat called [F]Unicorn has been encrypting computers in Italy by tricking victims into downloading a fake contact tracing app that promises to bring real-time updates for COVID-19 infections.

The attacker used convincing social engineering that made it look like the malicious executable was delivered by the Italian Pharmacist Federation (FOFI).

Powerful social engineering On Monday, the Computer Emergency Response Team (CERT) from the Agency for Digital Italy (AgID) released an advisory about an indigenous ransomware threat called [F]Unicorn that spreads through the country.

It lands on the victim system under the guise of the contact tracing app Immuni for mobile devices, which the Italian government announced would be released at the end of the month.

CERT-AgID received a sample of the malware from security researcher JamesWT_MHT and analyzed it along with the social engineering technique that deceive users into downloading and installing the ransomware.

Users are lured with an email in Italian informing that a beta release of Immuni for PC is available to fight the spread of COVID-19. From the text of the message, the targets are pharmacies, universities, doctors, and other entities fighting the new coronavirus contagion.

The attacker also cloned the FOFI website and registered a domain name similar to the original. However, they used “fofl.it,“ with a lowercase ”L“ as the last character that is easily confused with the lowercase ‘i’ used in the legitimate domain name.

An email sample from tech consultant Dottor Marc, shows that the message ends with download links and contact information that combines email addresses from the attacker and FOFI.

When executed, the malware shows a fake dashboard with COVID-19 information allegedly from the Center for Systems Science and Engineering at Johns Hopkins University.

While users are watching the map, the [F]Unicorn starts encrypting data on the system. According to analysis published by CERT AgID, the malware scans /Desktop, /Links, /Contacts, /Documents, /Downloads, /Pictures, /Music, /OneDrive, /Saved Games, /Favorites, /Searches, and /Videos for the following file types:

.Txt, .jar, .exe, .dat, .contact, .settings, .doc, .docx, .xls, .xlsx, .ppt, .pptx, .odt, .jpg, .png, .csv,. py, .sql, .mdb, .sln, .php, .asp, .aspx, .html, .htm, .xml, .psd, .pdf, .dll, .c, .cs, .mp3, .mp4, .f3d, .dwg, .cpp, .zip, .rar, .mov, .rtf, .bmp, .mkv, .avi, .apk, .lnk, .iso, .7-zip, .ace, .arj, .bz2, .cab, .gzip, .lzh, .tar, .uue, .xz, .z, .001, .mpeg, .mp3, .mpg, .core, .crproj, .pdb, .ico, .pas , .db, .torrent " Files encrypted with [F]Unicorn get a new extension as seen in the image below:

Users learn that their files have been locked from a ransom note written in Italian, which indicates an Italian author. The oddity of the message aside, the ransom note asks victims to pay EUR 300 in three days or the data would be lost.

A bitcoin address is provided along with an email address to contact the attacker with the proof of the payment. There are no transactions recorded for the given wallet.

Translated, the ransom note reads this:

The long snake on Asceplio's staff has rebelled, and a new era is about to come! This is your chance to redeem yourself after years of sins and abuses. It's up to you to choose. Within 3 days the pledge to pay you will have to or the fire of Prometheus will cancel your data just as it has wiped out the power of Gods over men. The pledge is only 300 euros, to be paid with Bitcoins at the following address: 195naAM74WpLtGHsKp9azSsXWmBCaDscxJ after you have paid, an email to send us you will. xxcte2664@protonmail.com the transaction code will be the proof. After the paid pledge you will receive the solution to put out Prometheus' fire. Go from police or calling technicians will be of no use, no human being can help you. According to CERT-AgID, the password for encrypting the files is sent in clear text to the attacker, so it can be retrieved from the network traffic logs.

Dottor Marc says that [F]Unicorn is the work of a novice attacker with little technical knowledge, who used the code from a previously seen ransomware.

Their analysis also shows that the email address in the ransom note is invalid so there is no possibility to send the attacker the payment proof. This is another reason for victims not to pay.

Security researcher MalwareHunterTeam told BleepingComputer that it is heavily based on Hidden Tear. The author made some changes here and there, one component being the panel, where CSS and HTML code was modified.

Poco prima di Wannacry, veniva diffuso un virus del riscatto veicolato da mail molto credibili. Ma poi qualcosa è andato storto

Mentre nel mondo furoreggiava Wannacry - il virus del riscatto che dal 12 maggio in poi ha colpito circa trecentomila vittime in 150 Paesi - in Italia si consumava in pochi giorni una campagna di estorsioni digitali decisamente più piccola ma piuttosto interessante. Per come è nata e apparentemente morta. Perché potenzialmente molto efficace e dannosa, anche se si è poi bloccata subito. E perché potrebbe essere stata interamente messa in piedi da italiani.

Si tratta dell’ennesimo ransomware, software malevoli che cifrano i file del pc e chiedono un riscatto per fornire la chiave di decifrazione, che da tempo imperversano anche nel nostro Paese, come abbiamo scritto in varie inchieste. E come gran parte dei ransomware - e diversamente da Wannacry - questo infettava le vittime attraverso allegati inviati via mail da false identità. Solitamente però queste campagne sono gestite da criminali di altri Paesi anche attraverso sistemi con cui affittano l’infrastruttura ad altri e usando traduttori automatici. Col risultato che le mail-esca inviate - ma anche gli allegati e le istruzioni fornite - oltre ad avere un italiano zoppicante, presentano spesso delle incongruenze. Insomma sono poco credibili.

A fine aprile invece in Italia comincia a diffondersi un ransomware che viene veicolato attraverso mail e allegati fatti molto bene. Una piccola software house padovana, Tg Soft, inizia a intercettare segnalazioni di mail e infezioni e lo ribattezza CryptoPEC. Le tipologie di mail erano almeno due: una fingeva di essere qualcuno che mandava un cv; un’altra era una denuncia per un dissesto stradale che aveva provocato un incidente ed era indirizzata soprattutto a enti locali.

«Le mail portatrici erano fatte bene, in un buon italiano», commenta a La Stampa Enrico Tonello di Tg Soft. «Quella relativa al dissesto stradale era in linea con il target di riferimento, cioè i Comuni cui era indirizzata. Che sono abbastanza abituati a ricevere simili mail».

Anche quella che conteneva un curriculum era fatta bene. L’unico dettaglio che stonava era l’indirizzo mail (finto) che sembrava provenire dall’Agenzia delle entrate, insieme al nome o cognome, a volte piuttosto inusuali. Però il posto per cui si offriva l’ipotetica candidata era almeno in un caso in linea con la sua apparente occupazione attuale: analista contabile.
(Fonte: Enrico Marcolini)

L’apertura dell’allegato - un file Word con un curriculum vitae - eseguiva una macro che scaricava il CryptoPEC e cifrava i file. Questi venivano rinominati con estensione .PEC. L’utente trovava anche un documento intitolato “Aiuto come decifrare” in cui, sempre in buon italiano, veniva invitato a pagare per ottenere il decryptor, un programma contenente la chiave per recuperare i file. Il riscatto era di 1 bitcoin da pagare entro pochi giorni. Una cifra equivalente in quel periodo a circa 1600 euro, piuttosto alta.

La campagna è andata avanti fra fine aprile e il dieci maggio, cioè è durata solo 13 giorni. Oltre a interrompersi i suoi autori hanno rilasciato online uno strumento per decifrare i file. «Il motivo della chiusura del progetto rimane incomprensibile» commenta Tonello. «Perché rilasciare così presto il decryptor? Ad ogni modo, c’è sicuramente l’ipotesi che possa trattarsi di un attacco di ransomware made in Italy».

Di questo è ancora più convinto un altro consulente di sicurezza informatica di Verona, Enrico Marcolini. Che si è imbattuto in CryptoPEC dopo le segnalazioni delle sue mail-esca da alcuni utenti. Il motivo per cui si è fatto questa convinzione non deriva solo dall’italiano usato, ma da alcune tracce che ha trovato quando è andato a esaminare il sito web usato per la riscossione delle estorsioni. «Nella richiesta di riscatto c’era un indirizzo mail cui scrivere. Gli ho scritto e mi hanno risposto dandomi l’indirizzo di un sito raggiungibile solo via Tor browser (un sito nelle darknet, che quindi anonimizza l’identità dei suoi gestori)» , commenta a La Stampa Marcolini. «Lì c’era un pannello web in italiano corretto. Ho cercato di vedere se c’era un modo di trovare il software per decriptare i file, analizzando le url e il pannello di caricamento». A quel punto il giovane consulente informatico sostiene di aver avuto accesso, oltre al software per decriptare, anche a una serie di altri dati. Che indicherebbero come dietro al portale ci fossero degli italiani. Marcolini preferisce non dare troppi dettagli tecnici (se non alle autorità competenti) e La Stampa non ha avuto accesso a questi dati. Ma – sostiene - la campagna avrebbe preso di mira quasi 50mila indirizzi mail, quasi tutti italiani, inclusi molti Comuni.

In concomitanza con l’analisi fatta da Marcolini però, il progetto di estorsioni CryptoPEC ha improvvisamente chiuso i battenti, addirittura mettendo online il decryptor. «Forse hanno capito che qualcosa nel loro sistema non era così sicuro e hanno avuto paura».

In ogni caso, i suoi autori sembrano aver raccolto ben pochi soldi: su uno dei portafogli bitcoin rinvenuti da Marcolini c’è solo una transazione. «In realtà questa campagna di danni ne ha prodotti parecchi, perché era fatta bene», commenta Paolo Dal Checco, esperto di informatica forense molto attento al fenomeno ransomware. «Anche io ho ricevuto una di queste mail che è passata indenne ai filtri antispam grazie a un italiano ben curato e alla scelta oculata dei server utilizzati per l’invio. Ma è vero che hanno guadagnato ben poco. In parte perché la cifra richiesta era molto alta. E poi perché la campagna è durata pochissimo». Anche Dal Checco ritiene che CryptoPEC sia stato creato da italiani. E le mail avrebbero potuto trarre in inganno molta gente. Basta leggere il testo di quelle inviate agli enti locali. «Con la presente desidero inoltrare denuncia per grave danneggiamento del manto stradale. Tale danneggiamento mette in grave pericolo soprattutto la circolazione di chi utilizza le due ruote (...). Le pessime condizioni della strada hanno provocato un grave incidente in cui sono stata coinvolta personalmente con il mio scooter». Dissesto stradale, cittadino arrabbiato e italiano quasi adeguato: a prima vista (specie se non si analizza l’indirizzo mail del mittente) più verosimile del vero.