El ransomware (o ransomware en franc茅s) son amenazas inform谩ticas que tienen como objetivo extraer dinero de la v铆ctima.
Es una forma de crimen organizado digital que tiene como objetivo tomar como rehenes documentos o acceso a computadoras para pagar un rescate.
- Cripto-ransomware
- Casos especiales: Crypto-Ransomware - MBR Ransomware
- C贸mo se distribuyen Crypto-Ranwomare
- Si ha sido infectado con Crypto-Ransomware
- Conclusi贸n
Hay dos tipos de ransomware:
- Los Ransomwares Winlock que impiden el acceso a Windows y exigen el pago de un rescate, en el lenguaje corriente, son virus de la gendarmer铆a, ya que tambi茅n se hacen pasar por las autoridades para pagar una multa imaginaria. Consulte la p谩gina: Trojan Winlock: "Gendarmerie / ANSSI / Police / Interpol Virus" y Ransomware Gendarmerie Virus: Su equipo est谩 bloqueado. El pago a menudo se realiza mediante Ukash o Paysafecard, de ah铆 el nombre a veces virus Ukash.
- Los Cripto-ransomware : estos 煤ltimos toman sus documentos como rehenes cifr谩ndolos (cifran en lenguaje com煤n), a menudo modifican la extensi贸n de los documentos, por ejemplo .mp3 .locked o .locky, y luego se muestra un mensaje que contiene las instrucciones de pago. El pago a menudo se realiza en Bitcoin a trav茅s de un sitio en la red TOR.
Cripto-ransomware
Winlock Ransomware tuvo viento en sus velas a fines de 2010 hasta 2014, alcanz贸 su punto m谩ximo en 2011, 2012 y desapareci贸 gradualmente.
El Crypto-Ransomware apareci贸 de forma com煤n en 2014 con un ataque masivo a finales de 2015 y 2016. A continuaci贸n, podemos distinguir varias variantes importantes que afectan a Nuestro pa铆s:
- CryptoWall : este 煤ltimo habr铆a afectado a m谩s de 6 de ordenadores en todo el mundo.
- TeslaCrypt : activa a principios de 2015, una importante campa帽a tuvo lugar en diciembre de 2015. Esta, aunque menos importante, sigue activa en 2016. Las campa帽as de correo electr贸nico persisten, TeslaCrypt RSA 4096 tambi茅n se distribuye por Web Exploit.
Teslacrypt fue abandonado a finales de mayo por su autor que public贸 la clave privada para recuperar todos los documentos cifrados por este ransomware independientemente de la variante.
El programa TeslaDecrypt le permite recuperar sus documentos. M谩s informaci贸n: https://forum.malekal.com/viewtopic.php?t=53943&start=#p420280
TeslaDecrypt deber铆a dar paso a CryptXXX.
- Locky ransomware : apareci贸 a mediados de febrero, ten铆a una campa帽a muy fuerte utilizando las mismas campa帽as que el troyano Dridex, es decir, grandes campa帽as de correo electr贸nico.
- Cerber ransomware : Aparecido en abril de 2016, este 煤ltimo cambia la extensi贸n a .cerber; este 煤ltimo se distribuye principalmente por Web Exploit.
- Ransomware RSA-4096 CryptXXX apareci贸 en abril de 2016, este 煤ltimo cambia las extensiones de los archivos cifrados a .crypt; las p谩ginas de instrucciones se basan en las de TeslaCrypt. Consulte RSA Virus Tip 4096. A principios de junio, CryptXXX usa la extensi贸n .cryp1 y luego .crypz antes de cambiar a extensiones aleatorias.
- CTB-Locker : bastante com煤n en 2014, es mucho menos virulento. En 2016 se cre贸 una variante de ataques al sitio WEB.
Aqu铆 hay un ejemplo de solicitud de pago CryptoWall Ransomware / Ransomware:
Tenga en cuenta que algunos ransomware tambi茅n pueden cambiar el fondo de pantalla para mostrar instrucciones de pago.
Una vez que la computadora est茅 infectada, este ransomware:
- cifrar todos los documentos en unidades locales
- cifrar todos los documentos en discos extra铆bles si est谩n insertados (llaves USB, disco duro externo)
- intentar cifrar todos los documentos de los recursos de la red (unidad de red, UNC, etc.), de ah铆 la posibilidad en las empresas desde una estaci贸n de trabajo cliente que algunos de los documentos de los servidores de archivos se vean afectados.
Casos especiales: Crypto-Ransomware - MBR Ransomware
Menci贸n especial para MBR Ransomware que tiene como objetivo cifrar las particiones del disco duro.
En particular, Petya Ransomware es uno de ellos.
Petya Ransomware es un ransomware que, a diferencia de otros cripto-ransomware, no cifra los archivos uno por uno, sino que cifra todo el disco duro a nivel de partici贸n.
Petya Ransomware tambi茅n es un MBR Ransomware, ya que se copia a s铆 mismo al nivel de MBR y se inicia antes de que se cargue Windows.
Como el cifrado de particiones lleva tiempo, Petya Ransomware simula un BSOD y luego lanza un disco de comprobaci贸n de Windows falso (o chkdksk) para que el usuario no sospeche nada.
C贸mo se distribuyen Crypto-Ranwomare
Crypto-Ransomware utiliza dos m茅todos para distribuirse a gran escala, estos son los mismos m茅todos que las infecciones tradicionales y en particular los troyanos:
- Campa帽as de correo electr贸nico malicioso, con archivos adjuntos en formato Word o JavaScript. En el 煤ltimo caso, se recomienda deshabilitar el alojamiento de scripts de Windows: C贸mo protegerse de scripts maliciosos en Windows. Tenga en cuenta que algunas campa帽as est谩n en franc茅s, por ejemplo, el uso de correos electr贸nicos m贸viles gratuitos
- Los Web Exploit que tienen como objetivo infectar una computadora aprovechando el software desactualizado (en particular los complementos del navegador WEB), afectan m谩s a los usuarios de Internet Explorer. Para evitar ser vulnerable, se recomienda encarecidamente mantener actualizado el software.
Tambi茅n hay otras variantes, que se dirigen a las empresas de manera m谩s particular, a trav茅s de ataques de fuerza bruta RDP. Una vez la mano en el servidor, el atacante desactiva el antivirus y cifra los documentos y deja las instrucciones de pago. Dos campa帽as importantes de ransomware / ransomware utilizaron este tipo de ataque OMG Ransomware y .Crysis Ransomware
Las campa帽as de correo electr贸nico malicioso siguen siendo muy populares con archivos adjuntos zip que contienen un archivo JavaScript (Trojan.JS).
Si las campa帽as que impulsan el ransomware TeslaCrypt est谩n en ingl茅s e imitan servicios falsos como Invoice o Fedex, las de Locky Ransomware recogen correos electr贸nicos en franc茅s como pedidos falsos, facturas falsas o pretendiendo ser Free Mobile.
Este video muestra c贸mo Locky Ransomware puede instalarse en una computadora desde JavaScript malicioso recibido en un zip por correo electr贸nico y cuando esto no funciona porque Windows Script Host est谩 deshabilitado.
Este otro video muestra c贸mo una computadora vulnerable a WEB Exploits se infecta con una simple visita a un sitio WEB (en este caso Google advierte del peligro):
</div>
As铆 que mantente alerta.
Si ha sido infectado con Crypto-Ransomware
Le recomendamos que haga lo siguiente:
- Desconecte todos los medios extra铆bles
- Desinfecte su computadora, por ejemplo con Malwarebytes Anti-Malware.
- La recuperaci贸n de documentos cifrados (cifrados) normalmente es imposible, a煤n puede intentar recuperarlos utilizando instant谩neas: Windows: versiones anteriores, normalmente el ransomware las elimina. Pruebe tambi茅n la recuperaci贸n de archivos utilizando software como Recuva o PhotoRec, consulte el consejo: 驴Recuperar archivos borrados, sobrescritos o por error?
Si tiene copias de seguridad, puede volver a colocarlas en su lugar, aseg煤rese de que la computadora est茅 completamente desinfectada.
Conclusi贸n
Como comprender谩, el ransomware es muy feroz y puede causar mucho da帽o, de ah铆 la importancia de realizar copias de seguridad de los documentos importantes.
Est茅 atento en la web y asegure su computadora usando el siguiente truco: Asegure su PC.
Especialmente en lo que respecta a los correos electr贸nicos maliciosos de Trojan.JS, se recomienda encarecidamente deshabilitar Windows Script Host, vaya a la p谩gina: C贸mo protegerse de los scripts maliciosos en Windows.
Enlaces y recursos externos:
- Detenga el ransomware (stopransomware.com)
- Lista de archivos de ransomware y cripto-ransomware (malekal.com)
- Ransomware (wikipedia)
Cr茅dito de la foto: 8vfanrf / 123RF Banco de im谩genes
