Gli autori del famigerato trojan bancario Dridex sono responsabili di una nuova famiglia di malware di alto profilo: si tratta di FriedEx, un sofisticato ransomware rilevato dai ricercatori di ESET come Win32 / Filecoder.FriedEx e noto anche come BitPaymer.
FriedEx si concentra su obiettivi di profilo elevato, non su singoli utenti finali, e viene solitamente distribuito tramite un attacco brute force RDP. Il ransomware crittografa ogni file con una chiave RC4 generata casualmente, che viene quindi ricodificata utilizzando una chiave pubblica RSA a 1024 bit e salvata nel corrispondente file.readme_txt.
I ricercatori di ESET hanno esaminato per la prima volta uno dei campioni di FriedEx a dicembre 2017 e hanno subito notato la somiglianza del suo codice con quello di Dridex. Incuriositi dai risultati iniziali, gli esperti di ESET hanno analizzato in profondità i campioni di FriedEx e hanno scoperto che utilizza le stesse tecniche di Dridex per nascondere quante più informazioni possibili sul suo comportamento.
Le somiglianze tra Dridex e FriedEx sono molteplici: entrambi i malware presentano analogie sul codice, utilizzano lo stesso sistema di pacchettizzazione, includono i medesimi percorsi PDB e sono entrambi compilati in Visual Studio 2015. Inoltre i ricercatori di ESET hanno trovato diversi casi di Dridex e FriedEx con la stessa data di compilazione. E’ quindi possibile affermare con sicurezza che FriedEx è opera degli stessi sviluppatori di Dridex.
Questa scoperta offre un quadro più preciso sulle attività del gruppo di criminali informatici che si nasconde dietro i due malware, confermando che non solo si occupa di aggiornare costantemente il proprio trojan bancario inserendo di volta in volta nuove tecnologie, come il supporto webinject per le ultime versioni di Chrome o funzionalità come l’Atom Bombing, ma che segue anche le ultime “tendenze” malware creando un proprio ransomware.
