San Francisco: treni gratis per un giorno a causa di un ransomware

I passeggeri della Società di Trasporti municipale di San Francisco hanno viaggiato gratis sui mezzi pubblici il 26 novembre, a causa di un attacco di ransomware che ha colpito il 25% della rete informatica. Secondo The Examiner, su centinaia di PC della società, sabato mattina è comparso il messaggio “You Hacked, ALL Data Encrypted. Contact For Key([email protected])ID:681 ,Enter.” e tutti i sistemi di pagamento sono stati resi inutilizzabili. I mezzi hanno continuato a viaggiare ma sono stati aperti i tornelli perché il sistema di pagamento era fuori uso, come confermano anche i messaggi comparsi sui display dei distributori di biglietti.

Hoodline riporta i dettagli dell’attacco: l’hacker che risulta aver infettato il sistema ha chiesto 100 bitcoin (l’equivalente di circa 73.000 dollari) per far tornare la situazione alla normalità. Il proprietario della casella “[email protected]” risulta aver scritto il seguente messaggio:

if You are Responsible in MUNI-RAILWAY !
All Your Computer’s/Server’s in MUNI-RAILWAY Domain Encrypted By AES 2048Bit!
We have 2000 Decryption Key !
Send 100BTC to My Bitcoin Wallet , then We Send you Decryption key For Your All Server’s HDD!!
We Only Accept Bitcoin , it’s So easy!
you can use Brokers to exchange your money to BTC ASAP
it’s Fast way!

L’hacker, che si fa chiamare “Andy Saolis”, ha concesso una giornata per pagare il riscatto, avvertendo che avrebbe persino chiuso la casella di posta elettronica scaduto il termine, così da impedire il pagamento, ma anche il ripristino dei sistemi oltre che ulteriori indagini.

I computer della società sono stati infettati con il cryptovirus HDDCryptor, che infetta computer con Sistema Operativo Windows. Conosciuto anche come Mamba, il ransomware cifra gli hard disk e richiede una password per lo sblocco.

La società, per non bloccare i trasporti, ha aperto i tornelli e erogato corse dei treni gratuite per l’intera giornata, dato che il sistema di gestione dei treni non era stato compromesso.

Andy Saolis – l’autore dell’attacco tramite il ransomware HDDCryptor – ha fornito anche un elenco dei 2.112 PC infettati e sotto controllo, fornendo un indirizzo Bitcoin sul quale eseguire il versamento dei 100 bitcoin.

I sistemi di backup dell’azienda SFMTA non sono stati infettati, quindi non è noto sapere se per ripristinare la funzionalità della rete è stato pagato il riscatto oppure sono stati ripristinati i dati delle macchine infettate tramite recupero dai backup.