SPAGHETTI RANSOMWARE
simulator

Il tool è composto da un server di esfiltrazione e da un agent client, entrambi scritti in linguaggio Go. Nel momento in cui l’agent viene eseguito (doppio click) sul dispositivo (Windows) avvia una serie di processi tipici di un autentico ransomware tra cui:

• Replicazione controllata – l’eseguibile si auto-copia all’interno dei filesystem di tutte le macchine raggiungibili nei limiti dei privilegi di esecuzione e dello scope precedentemente dichiarato;
• “Stealing” – il malware esegue una ricerca di file e dati potenzialmente sensibili sulla macchina infetta e li esfiltra come farebbe uno Stealer;
• Encryption dei dati controllata – i file estratti non vengono cancellati, bensì vengono crittografati con una chiave che verrà depositata nel file TXT di riscatto sul filesystem della macchina; il cliente può anche scegliere l’opzione di effettuare un’operazione di encryption “safe”, impedendo la sostituzione di file potenzialmente utili sui sistemi in scope.

Al termine dell’esecuzione, il sistema viene ripulito da tutti i residui lasciati da Spaghetti Ransomware simulator (come eseguibile ed archivi) ad eccezione del file di riscatto, lasciato sul sistema come prova della sua infezione. Sul server remoto di esfiltrazione verrà depositato un archivio contenente tutti i file sensibili estratti e una timeline delle operazioni effettuate dal malware riguardo ognuno dei sistemi infettati.

A partire da queste timeline, il team di sicurezza può generare un report comprensivo di una mappa grafica di infezione e di tutte le operazioni effettuate, suddivise per sistema.