{"id":8201,"date":"2016-05-18T15:47:26","date_gmt":"2016-05-18T15:47:26","guid":{"rendered":"https:\/\/kasperskydaily.com\/italy\/?p=8201"},"modified":"2017-11-13T17:04:47","modified_gmt":"2017-11-13T15:04:47","slug":"mischa-ransomware","status":"publish","type":"post","link":"https:\/\/www.kaspersky.it\/blog\/mischa-ransomware\/8201\/","title":{"rendered":"Mischa: il nuovo amico di Petya e nemico per il resto del mondo"},"content":{"rendered":"<p>Petya e Mischa sono amici. A loro piace fare tutto insieme, sono inseparabili\u2026<\/p>\n<p>Aspettate un attimo\u2026 No, non si tratta di una favola! Questo \u00e8 Kaspesky Daily. Petya e Mischa sono due ransomware, progettati per colpire gli utenti in una sola mossa.<\/p>\n<p><strong><img loading=\"lazy\" decoding=\"async\" class=\"alignnone size-full wp-image-8202\" src=\"https:\/\/media.kasperskydaily.com\/wp-content\/uploads\/sites\/89\/2016\/05\/05234847\/mischa-ransomware-featured.png\" alt=\"mischa-ransomware-featured\" width=\"1280\" height=\"840\"><\/strong><\/p>\n<p>Se seguite sempre il nostro blog o rimanete sempre informati sulle principali notizie di sicurezza informatica, probabilmente conoscete gi\u00e0 Petya. A questo ransomware abbiamo gi\u00e0 dedicato due post separati, perch\u00e9 un paio di settimane dopo l\u2019<a href=\"https:\/\/www.kaspersky.it\/blog\/petya-ransomware\/7827\/\" target=\"_blank\" rel=\"noopener\">apparizione di Petya<\/a> l\u2019utente di Twitter <a href=\"https:\/\/twitter.com\/leo_and_stone\" target=\"_blank\" rel=\"noopener nofollow\">@leo_and_stone<\/a> ha scoperto il <a href=\"https:\/\/www.kaspersky.it\/blog\/petya-decryptor\/7945\/\" target=\"_blank\" rel=\"noopener\">decryptor di Petya<\/a>.<\/p>\n<p>Petya si \u00e8 distinto dagli altri ransomware non solo perch\u00e9 criptava certi tipi di file, ma anche perch\u00e9 era in grado di rendere illeggibile l\u2019intero hard disk di un computer, criptando la sua <a href=\"https:\/\/it.wikipedia.org\/wiki\/NTFS\" target=\"_blank\" rel=\"noopener nofollow\">tabella file master<\/a>. Per questa ragione, ogni utente che cadeva vittima di Petya aveva bisogno di un altro PC per poter pagar il riscatto. Ebbene, dopo che leo_and_stone ha creato il tool crittografico, le vittime di Petya avevano ancora bisogno di un altro PC, ma in questo caso era per decriptare i propri file <em>senza<\/em> pagare il riscatto.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\"><a href=\"https:\/\/twitter.com\/hashtag\/Petya?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#Petya<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/ransomware?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#ransomware<\/a> eats your hard drives \u2013 <a href=\"https:\/\/t.co\/BSqbmRBmGf\" target=\"_blank\" rel=\"noopener nofollow\">https:\/\/t.co\/BSqbmRBmGf<\/a> <a href=\"https:\/\/t.co\/WpvijrPlSP\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/WpvijrPlSP<\/a><\/p>\n<p>\u2014 Kaspersky (@kaspersky) <a href=\"https:\/\/twitter.com\/kaspersky\/status\/715232633316384772?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">March 30, 2016<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p><strong>L<\/strong><strong>\u2018incontro con Mischa<\/strong><\/p>\n<p>Petya aveva una debolezza. Per fare quello che faceva, Petya aveva bisogno dei privilegi di accesso di root. A meno che l\u2019utente non cliccasse sul bottone \u201cs\u00ec\u201d, concedendo al ransomware questi privilegi, Petya non poteva mettere in pericolo il computer della vittima. Quindi i creatori di Petya hanno deciso di rimediare aggiungendo a Petya un altro ransomware, uno dal nome che potrebbe sembrare russo, come Mischa.<\/p>\n<p>Sono due le differenze principali tra Petya e Mischa. Petya vi priva del vostro intero hard disk, mentre Mischa cripta solo certi tipi di file e questa \u00e8 probabilmente la buona notizia. La brutta notizia \u00e8 che a differenza di Petya, Mischa non richiede i privilegi di accesso come Amministratore. Sembra proprio che i loro creatori abbiano pensato che Petya e Mischa si sarebbero complementati alla perfezione.<\/p>\n<p>Mischa assomiglia di pi\u00f9 a un comune ransomware, di quelli che ogni tanto ci spuntano fuori sullo schermo e ci infastidiscono. Usa lo standard crittografico AES per criptare i file dato sul vostro computer. Come viene descritto in <a href=\"http:\/\/www.bleepingcomputer.com\/news\/security\/petya-is-back-and-with-a-friend-named-mischa-ransomware\/\" target=\"_blank\" rel=\"noopener nofollow\">questo articolo<\/a> del blog \u201cBleeping Computer\u201d, il ransomware aggiunge un\u2019estensione di 4 caratteri ai file criptati di modo che, per esempio, test.txt si trasforma in test.txt.7GP3.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\"><a href=\"https:\/\/twitter.com\/hashtag\/Petya?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#Petya<\/a> <a href=\"https:\/\/twitter.com\/hashtag\/ransomware?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#ransomware<\/a> installs <a href=\"https:\/\/twitter.com\/hashtag\/Mischa?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#Mischa<\/a> as failsafe via <a href=\"https:\/\/twitter.com\/threatpost?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">@threatpost<\/a> <a href=\"https:\/\/t.co\/qtRhTNKzen\" target=\"_blank\" rel=\"noopener nofollow\">https:\/\/t.co\/qtRhTNKzen<\/a> <a href=\"https:\/\/t.co\/eRDVoNqEl3\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/eRDVoNqEl3<\/a><\/p>\n<p>\u2014 Kaspersky (@kaspersky) <a href=\"https:\/\/twitter.com\/kaspersky\/status\/731201838838583297?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">May 13, 2016<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>La lista dei tipi di file preferiti da Mischa \u00e8 piuttosto lunga. Essa esclude i file .exe, il che significa che Mischa impedisce agli utenti di lanciare quasi qualsiasi programma. Ad ogni modo, mentre cripta, Mischa salta, evitando, la cartella di Windows e quelle dei browser istallati. Una volta fatto quello che doveva fare, Mischa crea per l\u2019utente due file con le istruzioni per il pagamento: YOUR_FILES_ARE_ENCRYPTED.HTML e YOUR_FILES_ARE_ENCRYPTED.TXT.<\/p>\n<p>Petya e Mischa si diffondono via email di phishing spacciandosi per un modulo per inviare domande di lavoro. Quando Misha fu scoperto, si trovava all\u2019interno di un file chiamato PDFBewerbungsmappe.exe (in italiano, PDF documenti per domanda di lavoro). L\u2019uso della lingua tedesca nel nome del file e il modo in cui il ransomware \u00e8 stato diffuso indica che il suo obiettivo principale erano aziende il cui veicolo linguistico era il tedesco.<\/p>\n<blockquote class=\"twitter-pullquote\"><p>Il Ransomware #Petya ora ha un complice: #Misha<\/p><a href=\"https:\/\/twitter.com\/share?url=https%3A%2F%2Fkas.pr%2FPVm8&amp;text=Il+Ransomware+%23Petya+ora+ha+un+complice%3A+%23Misha\" class=\"btn btn-twhite\" data-lang=\"en\" data-count=\"0\" target=\"_blank\" rel=\"noopener nofollow\">Tweet<\/a><\/blockquote>\n<p>Quando un utente cerca di aprire il file .exe che contiene sia Mischa e Petya, appare la finestra di Controllo Account Utente che chiede all\u2019utente se vuole concedere i privilegi di accesso amministrativi al programma. Questo \u00e8 uno di quei momenti spiacevoli quando <em>entrambe<\/em> le scelte sono pessime. Se l\u2019utente sceglie \u201cS\u00ec\u201d, Petya verr\u00e0 installato. Se si seleziona \u201cNo\u201d si installer\u00e0 Mischa.<\/p>\n<p>Mischa sembra persino peggiore di Petya: richiede un riscatto di circa 1,93 bitcoin (ovvero circa 775\u20ac). Petya chiedeva 0,9 bitcoin.<\/p>\n<p>Un dato divertente (se mai ci possa essere qualcosa di divertente in un ransomware): Petya \u00e8 un nome russo e anche Mischa lo sembra, ma in realt\u00e0 non lo \u00e8. Un russo userebbe la parola Misha senza la \u201cc\u201d nel mezzo \u2013 \u00e8 piuttosto strana quella \u201cc\u201d!<\/p>\n<p>Sfortunatamente, non esiste ancora uno strumento di decrittazione per Mischa. Ne esiste uno <a href=\"https:\/\/www.kaspersky.it\/blog\/petya-decryptor\/7945\/\" target=\"_blank\" rel=\"noopener\">per Petya<\/a>, ma avviarlo richiede un PC di riserva e un po\u2019 di abilit\u00e0 tecnica.<\/p>\n<blockquote class=\"twitter-tweet\" data-width=\"500\" data-dnt=\"true\">\n<p lang=\"en\" dir=\"ltr\"><a href=\"https:\/\/twitter.com\/hashtag\/Ransomware?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#Ransomware<\/a> bug leads to <a href=\"https:\/\/twitter.com\/hashtag\/Petya?src=hash&amp;ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">#Petya<\/a> decryptor  <a href=\"https:\/\/t.co\/37fMAxbsRd\" target=\"_blank\" rel=\"noopener nofollow\">https:\/\/t.co\/37fMAxbsRd<\/a> <a href=\"https:\/\/t.co\/8M84rY3jXG\" target=\"_blank\" rel=\"noopener nofollow\">pic.twitter.com\/8M84rY3jXG<\/a><\/p>\n<p>\u2014 Kaspersky (@kaspersky) <a href=\"https:\/\/twitter.com\/kaspersky\/status\/719579558991831040?ref_src=twsrc%5Etfw\" target=\"_blank\" rel=\"noopener nofollow\">April 11, 2016<\/a><\/p><\/blockquote>\n<p><script async src=\"https:\/\/platform.twitter.com\/widgets.js\" charset=\"utf-8\"><\/script><\/p>\n<p>Quindi per evitare di cader vittima di Petya o Mischa, o qualsiasi altro ransomware Vasya, SuperCrypt, El Rapto, ecc., seguite i seguenti consigli.<\/p>\n<ol>\n<li><strong>Realizzate frequenti backup.<\/strong> Fatelo con frequenza e in modo diligente. Se avete appena realizzato un backup di tutti i vostri dati potete mandare il ransomware a quel paese\u2026. o ovunque voi vogliate.<\/li>\n<\/ol>\n<ol start=\"2\">\n<li><strong>Non fidatevi di nessuno e rimanete sempre informati<\/strong>. Un modulo per inviare la domanda per un posto di lavoro con una estensione .exe? Mmm, \u00e8 piuttosto sospetto. Non lo aprite! Meglio prevenire che curare!<\/li>\n<li><strong>Installate una buona soluzione di sicurezza<\/strong>. Kaspersky Internet Security offre una protezione multi-livello e non permetter\u00e0 a Mischa o ad altri ransomware di farla franca.<\/li>\n<\/ol>\n<p>Kaspersky Internet Security ha un componente anti-spam che vi protegge dallo spam e dalle email di phishing. L\u2019anti-virus individua Mischa e Petya, anche noti come Trojan-Ransom.Win32.Mikhail e Trojan-Ransom.Win32.Petr, e li elimina. Il modulo System Watcher individua le attivit\u00e0 sospette (per esempio, i tentativi di criptare i file) e le blocca. <a href=\"https:\/\/store.kaspersky.it\/qte.html?R=KTSMDAI11ABO&amp;typnews=it_storedirect_pro_ona_smm__onl_b2c_kasperskydaily_lnk____ktsmd_2016__\" target=\"_blank\" rel=\"noopener nofollow\">Kaspersky Total Security<\/a> unisce tutte queste funzionalit\u00e0, oltre a uno speciale tool per creare backup automatici.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>Il nuovo installer ransomware Petya ora include un altro ransomware che lo completa.<\/p>\n","protected":false},"author":696,"featured_media":8208,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"footnotes":""},"categories":[2641,12],"tags":[638,2022,2023,1929,635,441],"class_list":{"0":"post-8201","1":"post","2":"type-post","3":"status-publish","4":"format-standard","5":"has-post-thumbnail","7":"category-threats","8":"category-news","9":"tag-minacce","10":"tag-mischa","11":"tag-misha","12":"tag-petya","13":"tag-ransomware","14":"tag-trojan"},"hreflang":[{"hreflang":"it","url":"https:\/\/www.kaspersky.it\/blog\/mischa-ransomware\/8201\/"},{"hreflang":"en-gb","url":"https:\/\/www.kaspersky.co.uk\/blog\/mischa-ransomware\/7202\/"},{"hreflang":"es-mx","url":"https:\/\/latam.kaspersky.com\/blog\/mischa-ransomware\/7142\/"},{"hreflang":"es","url":"https:\/\/www.kaspersky.es\/blog\/mischa-ransomware\/8345\/"},{"hreflang":"ru","url":"https:\/\/www.kaspersky.ru\/blog\/mischa-ransomware\/11953\/"},{"hreflang":"x-default","url":"https:\/\/www.kaspersky.com\/blog\/mischa-ransomware\/12135\/"},{"hreflang":"fr","url":"https:\/\/www.kaspersky.fr\/blog\/mischa-ransomware\/5668\/"},{"hreflang":"de","url":"https:\/\/www.kaspersky.de\/blog\/mischa-ransomware\/7703\/"},{"hreflang":"ja","url":"https:\/\/blog.kaspersky.co.jp\/mischa-ransomware\/11431\/"},{"hreflang":"ru-kz","url":"https:\/\/blog.kaspersky.kz\/mischa-ransomware\/11953\/"},{"hreflang":"en-au","url":"https:\/\/www.kaspersky.com.au\/blog\/mischa-ransomware\/12135\/"},{"hreflang":"en-za","url":"https:\/\/www.kaspersky.co.za\/blog\/mischa-ransomware\/12135\/"}],"acf":[],"banners":"","maintag":{"url":"https:\/\/www.kaspersky.it\/blog\/tag\/minacce\/","name":"minacce"},"_links":{"self":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts\/8201","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/users\/696"}],"replies":[{"embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/comments?post=8201"}],"version-history":[{"count":1,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts\/8201\/revisions"}],"predecessor-version":[{"id":10965,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/posts\/8201\/revisions\/10965"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/media\/8208"}],"wp:attachment":[{"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/media?parent=8201"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/categories?post=8201"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.kaspersky.it\/blog\/wp-json\/wp\/v2\/tags?post=8201"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}