Un campione di ransomware scritto in Go e analizzato dall'11 maggio 2026 da ThreatDown rovescia l'approccio classico della cifratura indiscriminata. Prinz Eugen ordina i bersagli per data di ultima modifica, colpisce per primi i file più recenti, verifica che siano effettivamente decifrabili prima di eliminare gli originali, poi azzera la propria chiave dalla memoria e cancella il proprio eseguibile dal disco. Non lascia alcuna nota di riscatto sul sistema: l'estorsione avviene esclusivamente per email e tramite un portale Tor, affidando alla vittima il compito di capire cosa è successo.
- Prinz Eugen utilizza ChaCha20-Poly1305 con una KDF a tre passaggi: Argon2id, SHA-256, HKDF-SHA256, un livello di robustezza crittografica insolito per operazioni ransomware di modesta portata
- L'algoritmo ordina i file per data di ultima modifica decrescente, con fallback alfabetico per timestamp identici, massimizzando il danno su dati attivi e potenzialmente meno protetti da backup
- Il malware verifica la decryptabilità di ogni file cifrato prima di cancellare l'originale, un controllo qualità che nega alla vittima anche la speranza di recupero parziale
- L'attribuzione a ROOTBOY, precedentemente noto come avtokz, si appoggia su evidenza circostanziale specifica: la password "germania" per un account admin locale
Perché l'ordine di cifratura cambia la posta in gioco
I ransomware tradizionali cifrano in ordine alfabetico o percorso di directory. Prinz Eugen inverte la logica: attraversa il filesystem, memorizza i metadati, poi riordina l'array per data di ultima modifica con i più recenti in testa. I file con timestamp identici vengono ordinati alfabeticamente come meccanismo di fallback deterministico.
La scelta non è neutra. I dati più recenti sono quelli su cui gli utenti stanno lavorando, quelli che le policy di backup incrementale o differenziale potrebbero non aver ancora coperto, quelli che — in aziende con backup notturni — risiedono esclusivamente sullo storage primario. La fonte cita esplicitamente che questa tattica è "something we're seeing more and more among organized ransomware groups": il targeting temporale diventa strategia di ecosystem.
La cifratura avviene in blocchi di 1 MB con parallelizzazione mediante un worker goroutine per ogni core CPU disponibile. Ogni file riceve un IV random e un header personalizzato con magic bytes "CHV1". Il checksum SHA-256 per blocco garantisce integrità ma blocca anche ogni tentativo di recupero se il processo viene interrotto.
Il protocollo di autodistruzione come anti-forense
Prinz Eugen non si limita a cifrare e uscire. Il processo di terminazione segue una sequenza rigida: prima azzera la chiave hardcoded di 32 byte, poi forza il garbage collector del runtime Go, infine invoca cmd.exe con un delay basato su ping per cancellare il proprio binario dal disco.
L'overwrite della chiave in memoria e la successiva eliminazione dell'eseguibile complicano significativamente l'analisi forense post-incident. Senza dump di memoria acquisiti in tempo reale, il recupero della chiave master diventa tecnicamente impraticabile. La fonte non specifica se l'implementazione Go garantisca effettivamente l'irrecuperabilità della chiave dopo l'overwrite: dipende dal comportamento del runtime e dall'eventuale ottimizzazione del compilatore.
Il campione analizzato non contiene alcuna funzionalità di rilascio note di riscatto sul sistema compromesso. Nessun file di testo, nessuna pagina HTML, nessuna modifica dello sfondo desktop. L'estorsione si svolge interamente out-of-band, attraverso gli indirizzi email prinzeugen@mail2tor[.]co e standardbankcc@cock[.]li, oltre a un portale Tor dedicato.
"Approximately 1.2 TB of data was exfiltrated, representing some 154 million lines of data. The ransom demand, set at 1 BTC, was rejected."
L'incidente Standard Bank: tre settimane di dwell time
L'unica vittima documentata con dettaglio operativo è Standard Bank, istituto finanziario sudafricano. Nel caso specifico, gli attori hanno mantenuto una presenza di circa tre settimane sul network prima di azionare il ransomware. L'accesso iniziale è avvenuto tramite RDP compromesso, con persistenza garantita da RemotePC — strumento RMM legittimo — e da un account amministratore locale creato appositamente.
Dopo il rifiuto del pagamento di 1 BTC, il gruppo ha attivato una escalation progressiva sul portale Tor: inizialmente 5.000 righe di dati esposte al giorno, poi 25.000, 50.000 e infine 100.000. La fonte cita esplicitamente che il tasso di pagamento nel settore ransomware nel 2025 si attesta circa al 28%, ma non collega questo dato specificamente al caso Standard Bank.
L'indirizzo IP 212.80.7.74, associato al C2 e al payload, risiede nell'AS215439 Play2go International con localizzazione a Francoforte. Questo dato di network non è stato verificato indipendentemente al di fuori dell'analisi ThreatDown.
Perché è importante
Il dossier non documenta misure correttive specifiche né raccomandazioni operative dal lato della fonte. La singolarità di Prinz Eugen risiede nella combinazione di tre elementi raramente presenti in operazioni di modesta portata: crittografia AEAD con KDF multi-pass, targeting temporale sistematico, e autodistruzione integrata.
La fonte qualifica ROOTBOY come "likely a single individual", nonostante l'adozione di tecniche precedentemente associate ad attori più strutturati. Questo dato, se confermato, indica una democratizzazione delle capacità anti-forensi nel panorama ransomware di piccola scala. ThreatDown segnala inoltre che "Very few victims are known to date", limitando la generalizzabilità del comportamento osservato.
Non è chiaro se il campione analizzato sia rappresentativo di tutte le varianti in circolazione, né se Prinz Eugen operi come RaaS o closed operation. Il vettore di infezione iniziale nel caso generale resta non specificato: il dossier documenta solo il RDP compromesso nell'incidente Standard Bank.
Per gli analisti di sicurezza, l'assenza di note di riscatto su disco e la cancellazione del binario impongono un ripensamento dei flussi di rilevamento. Gli IoC statici — hash, stringhe, percorsi — perdono efficacia contro un malware che non si presenta due volte allo stesso modo e che cancella le proprie tracce. La rilevazione deve spostarsi su comportamenti: il pattern di ordinamento dei file per data di modifica decrescente, l'header "CHV1", la creazione di file temporanei .prinzeugen.tmp, la successiva rinomina in .prinzeugen.
La verifica della decryptabilità prima della cancellazione dell'originale introduce un'ulteriore variabile temporale. Il processo richiede tempo aggiuntivo sul sistema, genera traffico di I/O sequenziale leggibile da strumenti di monitoring, ma nello stesso intervallo nega alla vittima ogni possibilità di recupero se il backup non è immutabile o sufficientemente frequente.
L'estorsione out-of-band, infine, separa nettamente la fase tecnica da quella negoziale. L'attaccante non ha bisogno di comunicare con la vittima durante l'esecuzione del payload, riducendo il profilo di rete del malware e rendendo più difficile il sinkholing o l'analisi del canale di comando.
Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.
Fonti
- https://sosransomware.com/en/ransomware-groups/prinz-eugen-a-ransomware-program-written-in-go-that-primarily-targets-recent-files/
- https://cloudnweb.dev/backup-recovery/3-2-1-backup-rule/
- https://sosransomware.com/en/cybersecurity/iocta-2026-what-the-europol-report-reveals-about-the-ransomware-ecosystem/
- https://sosransomware.com/en/cybersecurity/double-extortion-understanding-and-protecting-yourself-against-this-ransomware-threat/
- https://sosransomware.com/en/ransomware-en/ransomware-payments-in-2025-fewer-victims-paying-but-higher-ransoms/