File criptati con estensione crypz o cryp1: è il trojan CryptXXX

Continuano ad arrivare richieste su come decriptare i file con estensione .CRYPZ o .CRYP1 rimasti sul computer dopo l’infezione da ransomware che richiede un riscatto in bitcoin. Purtroppo si tratta sempre del cryptovirus CryptXXX di cui abbiamo già parlato citando la possibilità di decifrare le prime versioni del trojan con RannohDecryptor di Kaspersky.

Purtroppo,  al momento, ancora nessuno ha scoperto come decifrare gratuitamente i file codificati in .CRYPZ e .CRYP1 dal virus CryptXXX e recuperare così i propri documenti, nonostante diversi ricercatori – incluso il team Kaspersky – siano alla ricerca di un modo di decryptare i documenti e sconfiggere il ransomware.

Dopo aver utilizzato per qualche settimana le estensioni .CRYPT, il ransomware CryptXXX ha infatti cominciato da giugno 2016 a cifrare i file appendendo al nome l’estensione .CRYPZ e .CRYP1 (talvolta indicati nei forum come .CRYPTZ e .CRYPT1) ma in sostanza la possibilità di recuperare i file criptati è la stessa, cioè al momento non si riescono a decifrare i file o a recuperare, dato che il ransomware li cancella in modo sicuro tramite wipe ed elimina anche le copie di sicurezza che Windows esegue tramite le shadow copy.

Il tool gratuito di Kaspersky per decifrare i file criptati da CryptXXX non funziona per queste versioni, né altri tool che vengono citati in rete. Sconsigliando ovviamente di pagare il riscatto in bitcoin, possiamo indicare come comportamento da seguire in caso d’infezione di mantenere copia dei documenti bloccati dal ransomware e, se possibile, tenere copia dell’intero sistema. Il tutto in attesa che esca un decryptor gratuito per le versioni con nome file .CRYPZ e .CRYP1.

I ricercatori di SentinelOne hanno pubblicato una interessante ricerca sulle nuove varianti del ransomware CryptXXX nella quale hanno analizzato alcuni aspetti tecnici ed economici del cryptovirus. E’ interessante notare, ad esempio, come il trojan utilizzi un unico indirizzo Bitcoin per ricevere i riscatti (18e372GNwjGG5SYeHucuD1yLEWh7a6dWf1) sul quale, al momento della redazione del presente articolo, sono stati versati quasi 60.000 euro di riscatto tramite 95 Bitcoin.