Ransom32 sembra essere un nuovo ransomware scritto (parzialmente) in JavaScript. A quanto ho capito, non influisce su un utente tramite browser / visitando un sito Web, ma scaricando alcuni file .rar che contengono il codice JavaScript dannoso e i mezzi per eseguirlo.
Ma cosa sfrutta Ransom32 esattamente? Una vulnerabilità in WinRAR o in Windows? Oppure si basa su un comportamento errato degli utenti?
La descrizione migliore che ho trovato:
The malware uses the script language implemented in WinRAR to automatically unpack the content of the archive into the user’s temporary files directory and execute the “chrome.exe” file contained in the archive.
[...]
Once Ransom32 arrives on a system and is executed [by whom? the .rar itself?], it will first unpack all its files into the temporary files folder. From there it copies itself into the “%AppData%\Chrome Browser” directory. It uses the bundled “s.exe” file to create a shortcut in the user’s Startup folder named “ChromeService” that will make sure the malware is being executed on every boot.
source
Quindi, per me, sembra che un attacco funzioni in questo modo:
- L'utente scarica un file .rar
- L'utente apre il file (o si apre da solo?)
- Il file .rar decide da solo dove estrarre
- Il file .rar esegue un file .exe (o l'utente deve eseguirlo?)
- Il file eseguito verrà copiato / collegato a un percorso specifico, in modo che venga avviato ad ogni avvio
Questo è un riepilogo corretto?
Se lo è, sembrerebbe a me come se i passaggi da 3. a 5. non dovessero davvero accadere [*]. Ransom32 sfrutta alcune vulnerabilità note in Windows o WinRAR? O è questo comportamento desiderato e ho frainteso il modo in cui il ransomware influisce sul sistema?
[*] Non ho molta familiarità con la sicurezza di Windows, ma non mi sembra una buona idea lasciare che un file .rar decida da solo dove vuole essere estratto, o lasciare che un file .rar esegua .exe File.