Knight debutta in Italia e miete vittime

Il ransomware Knight è un RaaS

• il ransomware vero e proprio, per criptare i dati;
• lo stealer, ovvero lo strumento dedicato al furto dei dati. 

Come si diffonde

Come funziona

• legge da un percorso una lista di nomi host da cui elencare le condivisioni. I file da criptare sono presi da queste share;
• verifica una serie di percorsi locali in cerca di file da criptare;
• elenca i dischi locali e ne cripta il contenuto;
• enumera gli host nella rete locale e, per ogni host, rende le condivisioni, così da collezionare ulteriori file da criptare;

• disabilitazione della visualizzazione dei messaggi di errore in caso di eccezioni non gestite;
• impostazione dei propri processi come processi ultimi da arrestare in caso di spegnimento della macchina bersaglio;
• pulizia del cestino;
• calcolo del numero di thread per le operazioni di ricerca;
• arresto di processi come agntsvc.exe, dbsnmp.exe, dbeng50.exe, encsvc.exe, excel.exe, firefox.exe, isqlplussvc.exe, msaccess.exe, mspub.exe, mydesktopqos.exe, mydesktopservice.exe, notepad.exe, ocautoupds.exe, ocomm.exe, ocssd.exe, oracle.exe, onenote.exe, outlook.exe, powerpnt.exe, sqbcoreservice.exe, sql.exe, steam.exe, synctime.exe, tbirdconfig.exe, thebat.exe, thunderbird.exe, visio.exe, winword.exe, wordpad.exe, xfssvccon.exe.

1. tenta di aprire il file in lettura-scrittura;
2. se fallisce perché il file è occupato, termina il processo che blocca il file a meno che non sia nella whitelist di cui sopra;
3. tenta una nuova apertura del file. Se fallisce ritorna dalla funzione;
4. verifica la dimensione del file da criptare. Se questa verifica fallisce o il risultato è 0, torna alla funzione;
5. in base alla dimensione dei file, imposta il parametro stride, che stabilisce ogni quanti byte criptare un blocco da 1 MB;
6. scrive in fondo al file 0x68 byte a partire dall’offset 0x2068 della struttura indicata prima.
7. I file sotto 4 MB sono letti integralmente e criptati a blocchi di 1MB.
   I file sopra i 4MB sono criptati leggendo 1 MB ogni "stride.