Virus ransomware prende di mira le email pec; tutti sappiamo, che la Posta Elettronica Certificata (PEC) è un sistema che consente di inviare email con valore legale equiparato a una raccomandata con ricevuta di ritorno, come stabilito dalla normativa in vigore.
Tutti consideravamo la PEC più sicura di un normale messaggio di posta elettronica, e a ragione. Il suo scopo principale è di fornire la certezza dell’invio e della consegna (o della mancata ricezione) di una email al destinatario. Il termine “certificata” significa che il gestore del servizio rilascia al mittente una ricevuta che costituisce prova legale dell’avvenuta spedizione del messaggio (ed eventuali allegati), esattamente come il gestore della casella PEC del destinatario invia al mittente la ricevuta di avvenuta consegna con riferimento temporale che certifica data e ora di ognuna delle operazioni descritte. Ma c’è di più.
La PEC garantisce – grazie ai protocolli utilizzati – la sicurezza degli allegati impedendone qualsiasi manomissione.
Com’è possibile che un ransomware sia riuscito a rendere l’intero sistema “insicuro”?
Problema PEC
Il sistema PEC, evidentemente, non è perfetto come credevamo. La Posta Elettronica Certificata ha un obiettivo: garantire il contenuto e la data d’invio di un messaggio – tramite protocollo SMTP – usando le credenziali assegnate al mittente. Il punto debole dell’intero sistema è che non esiste né una firma digitale né un’identificazione certa del mittente (solo quella dei gestori), quindi, potenzialmente chiunque, tra cui malware e hacker, che entra in possesso delle credenziali di un utente può inviare PEC al posto suo.
Come funziona il virus ransomware
Massima attenzione quindi, a tutto, inclusa la posta certificata. Gli indizi che si tratta di un ransomware sono i seguenti in base all’analisi dei casi fin qui esaminati. I messaggi, innanzitutto, arrivano da indirizzi tipo 123456789@legalmail.it o 987654321@legalmail.it, ma anche da domini diversi inviati tramite posta-certificata@legalmail.it oppure posta-certificata@sicurezzapostale.it.
Il testo dei messaggi PEC che “ospita” il ransomware è il seguente: «In allegato originale del documento in oggetto, non sarà effettuato alcun invio postale, se non specificatamente richiesto. Il documento dovrà essere stampato su formato cartaceo e avrà piena validità fiscale e, come tale, soggetto alle previste norme di utilizzo e conservazione». I messaggi di posta PEC hanno come oggetto “Invio fattura n. xxxxxx” – in numeri cambiano per ogni vittima e contengono un allegato in formato ZIP, di solito, “fattura_ xxxxxx.zip”. Anche in questo caso può cambiare in base all’utente.
Attenzione ai file zip
L’allegato ZIP contiene un file nel formato javascript che riporta il nome dell’archivio. Quando ci accingiamo ad aprire l’archivio, si attiva il “downloader” – non sempre prontamente rilevato dagli antivirus – che consente al malware di scaricare il ransomware da siti remoti per installarlo sul computer della vittima. E il guaio è fatto! Il virus del ricatto inizia a criptare i file e lascia alla vittima un messaggio con le istruzioni su come rientrare in possesso dei documenti: pagando.