Sotto molti aspetti, GoodWill è un ransomware come tanti altri: una volta che s’è installato sui PC delle vittime crittografa i file e poi avanza una richiesta di riscatto.
Ciò che distingue GoodWill dagli altri ransomware è la natura del riscatto: in genere, si tratta di versare una certa somma su un account in criptovaluta, a seguito del quale gli autori del malware dovrebbero fornire la chiave per decrittare i file resi illeggibili.
Nel caso di GoodWill, invece, la vittima deve compiere alcune “buone azioni” e inviare prova di averle davvero portate a termine.
Nel dettaglio, la vittima deve: fornire coperte e vestiti a dei senzatetto; portare cinque bambini «meno fortunati» in un ristorante (gli hacker suggeriscono Domino’s, Pizza Hut, o KFC); recarsi in un ospedale, individuare qualcuno che ha urgente bisogno di affrontare una spesa di natura medica senza averne i soldi, e pagare al suo posto..
Nei primi due casi, il “compito” va filmato e il video deve essere pubblicato sui social network; nel terzo caso è necessario registrare la conversazione con il beneficiario e inviare la registrazione agli autori del malware.
Infine, bisogna pubblicare sui social network un post in cui si ammette che il ransomware GoodWill ha trasformato la sua vittima «in un essere umano gentile».
Nonostante i molti riferimenti che farebbero pensare a un’origine statunitense del malware (le catene di ristorazione indicate, i problemi legati ai debiti con le strutture sanitarie, e la convinzione che si possano costringere le persone a essere generose), i ricercatori di Cloudsek ritengono che le origini di GoodWill siano da ricercare in India, presso un’azienda che offre soluzioni legate alla sicurezza informatica.ù
Per proteggersi da GoodWill valgono le solite considerazioni: evitare di aprire link e allegati sospetti arrivati via email, non visitare siti di dubbia reputazione, e tenere un backup offline sempre aggiornato da cui ripartire in caso di disastro.
