LOCKER. El supuesto autor del ransomware se arrepiente y descifra los ficheros

Hace unos días el supuesto autor del ransomware Locker publicó en Pastebin.com una nota en la que pedía perdón por la liberación del malware y liberaba la base de datos con las claves usadas en todas las infecciones.

 Locker es un ransomware (software que secuestra recursos de un sistema informático y pide un rescate por su liberación) que afecta a plataformas Windows, en la línea del famoso CryptoLocker y el reciente TeslaCrypt. Sus características distintivas son: el vector principal de infección (una versión especialmente manipulada del videojuego Minecraft), el bajo precio pedido inicialmente para descifrar los archivos (0.1 bitcoins, aproximadamente 20 euros) y su particular forma de actuar. El programa auxiliar que iniciaba la infección (downloader) estaba programado originalmente para descargar e instalar Locker el 25 de mayo, y el 28 supuestamente borraba las claves del servidor (aunque finalmente sólo aumentó el pago a 1 bitcoin).

 Como es costumbre últimamente en este tipo de malware, está diseñado para que la clave usada para cifrar sea enviada a un servidor externo (que cuenta con una base de datos almacenando la clave para cada infección). La forma "oficial" es pagar un rescate por la clave, pero en este caso, el supuesto autor de este malware parece haberse arrepentido y ha liberado la base de datos. Más aún, ha modificado la infraestructura del malware para que ordene a los ordenadores infectados que descifren todo automáticamente a las 00:00 del 2 de junio. Según atestiguan algunos usuarios del foro BleepingComputer.com en el hilo de soporte a los infectados por este malware, efectivamente se ha producido el descifrado automático. Todavía no hay noticias de si el arrepentimiento es completo y se va a devolver el dinero a los que pagaron previamente.

 En el caso de que se haya borrado el malware antes de que haya ocurrido el descifrado automático, es posible descifrar con la herramienta Locker Unlocker (recomendamos consultar el hilo de BleepingComputer.com abajo enlazado para obtener la última versión). Esta herramienta usa la base de datos liberada con las claves para descifrar los archivos, y en su última versión prueba con todas las claves disponibles si no es capaz de relacionar la infección con una clave en particular. Antes de proceder con cualquier método de descifrado, recomendamos insistentemente que se realicen copias de seguridad de los archivos cifrados, ya que este tipo de herramientas son desarrolladas con rapidez y pueden contener fallos de programación que causen la corrupción de los archivos originales.

Más información:

• Análisis técnico de Locker  http://securityaffairs.co/wordpress/37325/malware/locker-ransomware-analysis.html
• Nota del autor de Locker en Pastebin.com  http://pastebin.com/1WZGqrUH
• Noticia sobre la liberación de las claves  http://www.securityweek.com/alleged-author-locker-ransomware-publishes-decryption-keys
• Hilo en BleepingComputer.com para los afectados por Locker  http://www.bleepingcomputer.com/forums/t/577246/locker-ransomware-support-topic/

Fuente: Hispasec

RANSOMWARE. España sufre una oleada

La empresa de seguridad F-Secure ha detectado una nueva oleada de ramsomware que, en esta ocasión, tiene a España y a Italia como principales (y únicos) objetivos. Este malware se encuentra alojado en una nube privada (aún por identificar) y se trata de una variante mezcla de los conocidos Cryptowall y Cryptolocker.

El ransomware debe ejecutarse manualmente (ya que no hace uso de exploits para infectar al usuario automáticamente) y, una vez infectado, cifra los archivos, envía las claves de cifrado al servidor de los piratas informáticos y pide un pago económico, en Bitcoin, para poder recuperar los archivos.

Una vez más correos es el gancho de este ransomware

• Cuando abrimos el enlace malicioso desde España la URL da varios saltos para finalmente mostrar una página web falsa de Correos desde donde hay que descargar un documento para poder recoger un paquete que se encuentra retenido en la oficina.
• Al acceder a esta web se pide al usuario introducir un captcha (para dar credibilidad al ataque) para finalmente descargar un archivo .zip con el malware en su interior.
• El “modus operandi” de los usuarios que accedan al enlace malicioso desde Italia probablemente será muy similar, pero tomando como gancho el servicio de mensajería de dicho país.
• Los piratas informáticos tras esta campaña de distribución de ransomware han centrado su ataque en Italia y España, ya que cualquier usuario de otro país que intenta acceder al enlace malicioso automáticamente es redirigido a un dominio legítimo de Google, donde queda fuera del ataque.
• Por el momento se desconocen las razones del ataque y el grupo de piratas informáticos tras él, por lo que se recomienda hacer copias de seguridad, reforzar la seguridad y prestar atención para evitar ser víctimas de este nuevo ataque.

Fuente: Redeszone.net

ALPHACRYPT. El malware con apariencia de TeslaCrypt y comportaminto de CryptoWall

Los malware encargados de cifrar los archivos una de las opciones preferida por los ciberdelincuentes para infectar los equipos de los usuarios. En esta ocasión, expertos en seguridad han detectado un nuevo virus que ha sido identificado con el nombre de AlphaCrypt.

Funcionamiento del virus

• Como es habitual se encarga de cifrar los archivos de los equipos infectados y pedir una recompensa al usuario para obtener la clave de descifrado de estos. Hasta aquí todo es idéntico a lo visto hasta el momento, sin embargo, lo característico de este es que no se trata de ninguna variante y tampoco podría considerarse un nuevo malware, ya que tal y como han concretado expertos en seguridad se trata de una mezcla entre TeslaCrypt y CrytoWall. Del primero escoge la apariencia y los menús, mientras que del segundo los ciberdelincuentes han decidido utilizar toda la lógica y funcionalidad.
• Un híbrido de dos amenazas existentes que resulta igual de problemático que cualquier otro. Sin embargo, las novedades no acaban aquí, ya que este troyano es capaz de eliminar las copias realizadas por la función VSS de Windows (también conocida como Volume Shadow Copy Service). Con esta acción los ciberdelincuentes se aseguran que los archivos cifrados no se pueden recuperar, o al menos de forma sencilla.

La mejor forma de protegerse contra AlphaCrypt son las copias de seguridad

• Aunque los expertos en seguridad han confirmado que las herramientas que sirven para descifrar los archivos afectados por CryptoWall también sirven para este, recomiendan que la mejor forma de hacer frente a esta amenaza es gracias a las copias de seguridad periódicas de los archivos de nuestro equipo. Tampoco hay que olvidarse de la función “Restaurar Sistema”, siendo también muy útil si se quiere combatir este tipo de malware.
• Para evitar problemas con la justicia y dificultar un poco más la labor de esta, los ciberdelincuentes han ubicado la página web para realizar el pago en la red Tor.

Fuente: Softpedia

TESLACRYPT. Cifra los archivos de sus víctimas a través de exploits

El ransomware, eun tipo de malware, que cifra todos los datos personales e importantes de los usuarios y pide un pago por recuperarlos o, de lo contrario, se eliminarán para siempre. Existen muchas variantes de ransomware, a cada cual más peligrosa que la anterior, pero vamos a analizar TeslaCrypt, una de las más recientes pero que mayores dolores de cabeza está causando entre sus víctimas.

TeslaCrypt es una de las amenazas más recientes que amenazan la integridad de los datos de los usuarios. Al igual que otros ransomware, este software malicioso cifra todo tipo de datos personales y de valor de sus víctimas, entre los que caben destacar las imágenes, los vídeos, las fotografías y documentos, sin embargo, TeslaCrypt también incluye en su lista de archivos a cifrar ficheros relacionados con partidas guardadas de videojuegos y archivos de iTunes que pueden ser de considerable valor para sus víctimas.

Según se ha podido ver en las últimas semanas, este malware está llegando a los usuarios a través de exploits que atacan diferentes vulnerabilidades tanto de nuestro sistema operativo como de las aplicaciones que tenemos instaladas en él (por ejemplo aprovechando un fallo de Adobe Flash Player 13.0.0.128). De esta manera el pirata informático consigue permiso de ejecución de forma remota en el sistema e instala el malware, no siendo culpa del usuario el caer víctima de este secuestro.

Cuando un usuario cae víctima de esta amenaza automáticamente se carga en su sistema una ventana similar a la de cualquier otro ransomware que indica que los archivos personales del usuario han sido cifrados y que se debe pagar un “rescate” por ellos.

El pago del rescate se debe hacer en Bitcoin para evitar que los piratas informáticos puedan ser identificados, sin embargo, esto no nos garantiza que vayamos a recibir la clave para recuperar nuestros archivos. La mejor forma de solucionar este tipo de amenazas es hacer copias de seguridad cada poco tiempo de nuestros archivos en discos que no estén conectados a nuestro ordenador de manera que si caemos víctimas de TeslaCrypt o cualquier amenaza similar podamos recuperarlos desde dichas copias sin arriesgarnos a perder también el dinero.

Fuente: Help Net Security

VAULTCRYPT. El ransomware que utilizan GnuPG para cifrar los archivos

VaultCrypt es un nuevo ransomware que amenaza a los usuarios a través de Internet. 

A grandes rasgos el funcionamiento de este software malicioso es igual al de cualquier otro, es decir, llega a los usuarios a través de engaños o correos electrónicos no deseados y cuando se ejecuta cifra o “secuestra” los archivos de las víctimas, pidiendo posteriormente un rescate por ellos. Sin embargo, a nivel interno sí que cambian varias características de esta herramienta, que la hacen más peligrosa de lo que parece.

La naturaleza de este nuevo ransomware no es tan compleja como la de los conocidos CryptoLocker y CryptoWall, sin embargo, no por ello es menos peligroso. Este ransomware no muestra ningún tipo de mensaje al usuario de que sus archivos se han visto comprometidos hasta que intenta acceder a alguno de los archivos afectados. Durante el cifrado se utilizan claves de 1024 bits, que son completamente eliminadas del sistema y sobrescritas hasta 16 veces para evitar su recuperación.

Las secuencias del ransomware se ejecutan mediante un fichero de lotes de Windows junto con scripts VBS para las rutinas. La eliminación del malware y de las claves se realiza mediante la herramienta Microsoft SDelete.

Cifrar los archivos no es suficiente para los piratas informáticos, por lo que este malware también descarga de forma remota un troyano llamado ssl.exe que es utilizado para robar todo tipo de credenciales del sistema de la víctima y poder tener así también el control del sistema afectado.

Gracias a que los archivos originales no se eliminan de forma completa, es posible recuperar parte de ellos utilizando herramientas libres de análisis forense. De todas formas, la mejor opción para recuperar los archivos es restaurar una copia de seguridad previamente creada o, de no tenerla, aprender la lección ya que el pago del rescate (1 bitcoin) no garantiza que vayamos a recibir la clave de recuperación.

Fuente: Softpedia

CRYPTOWALL. Aparece la versión 3.0 más peligroso y simplificado

Cryptowall es una de las principales amenazas en cuanto a ransomware. Tras causar estragos en usuarios y empresas con su versión 2.0 se ha podido detectar en la red una nueva actualización de este software no deseado correspondiente a la versión 3.0 que llega a los usuarios a través de correo electrónico o mediante exploits que aprovechan vulnerabilidades del sistema operativo y del software para infectar a los usuarios.

El ransomware sigue en constante auge amenazando a los usuarios cada vez más. Los piratas informáticos quieren que sus piezas de software maliciosas sean cada vez más complejas y difíciles de identificar, por ello, las nuevas medidas que están tomando los piratas informáticos en el tema del anonimato de sus herramientas es configurar el uso de redes privadas como Tor a fin de evitar que estas puedan ser identificadas por las empresas de seguridad.

Principales Características de la versión 3.0 de Cryptowall

• Esta nueva variante se caracteriza principalmente por ser mucho más reducida y simple que sus predecesoras. Los piratas informáticos han eliminado una lista de funciones y llamadas a diferentes APIs poco utilizadas en la herramienta maliciosa y gran cantidad de código basura para reducir el tamaño del malware, eliminar posibles sospechas y mejorar lo que de verdad amenaza a los usuarios: el cifrado. Esta amenaza incluye igualmente un módulo que impide que se ejecute en una máquina virtual, por lo que si un usuario intenta ejecutar la aplicación primero en un entorno seguro es posible que se vea comprometido al pensar que la herramienta no es maliciosa.
• Según afirman los expertos de seguridad de Cisco, esta nueva versión se centra principalmente en infectar a los usuarios a través de vulnerabilidades al distribuirse generalmente como parte de un kit de exploits. También se han detectado algunos casos en los que llega a través del correo electrónico como un archivo .zip que, dentro de él, hay varios ficheros, cada uno una copia diferente de Cryptowall con un algoritmo de cifrado diferente.
• Cryptowall 3.0 incluye un módulo de conexión a través de la red anónima I2P. A través de esta red el malware envía cierta información del sistema de su víctima así como un hash MD5 y las claves de cifrado a los servidores remotos en manos de los piratas informáticos, siendo prácticamente imposible seguir el rastro de dicha red.

Recomendación

• Como el ransomware es cada vez más peligroso debemos protegernos de él, ¿ pero como ? 

1. Lo primero que debemos hacer es no ejecutar nunca ningún archivo sospechoso o de dudosa procedencia, aunque en una máquina virtual no de indicios de sospecha
2. También es muy importante tener siempre a mano copias de seguridad de los archivos más importantes de cara a que si somos víctimas de este malware podamos recuperar los datos sin tener que lamentarnos por ellos.
3. Y por supuesto tener instalada una buena solución de seguridad ( antivirus ) debidamente actualizada.

Fuente: Info-Security

CRYPTOWALL. Comienza a hacer uso de la red I2P

CryptoWall 3.0 es la nueva versión de este ransomware que busca infectar el mayor número de usuarios para poder recibir la mayor cantidad de dinero en Bitcoin posible al igual que otras piezas de malware similares, sin embargo, esta nueva versión esconde una importante novedad que va a complicar aún más la labor de identificar a los autores del mismo.

Según los últimos análisis realizados a este malware, CryptoWall 3.0 ha cambiado la red Tor por la red I2P a la hora de realizar las conexiones entre el malware y los servidores. El proyecto I2P, “Invisible Internet Project“, lleva más de 10 años en funcionamiento, aunque su verdadero auge se está dando ahora al ser una red mucho más privada y anónima que la red Tor.

La red I2P está siendo utilizada actualmente por plataformas ilegales como Silk Road Reloaded, conocido mercado negro donde tanto compradores como vendedores quieren, y necesitan, que su anonimato sea lo más elevado posible para evitar ser identificados por otros usuarios o fuerzas de seguridad. Esta red es mucho más robusta y fiable que Tor, aspecto muy importante para garantizar tanto que el dinero llega a los monederos como el envío de la clave privada.

Este ransomware ha conseguido recaudar en menos de 100 días más de 30 millones de dólares, por lo que los piratas informáticos trabajan constantemente para convertir sus fuentes de ingresos en algo blindado, seguro y totalmente anónimo.

En el siguiente enlace os dejamos un artículo donde explicamos cómo funciona esta red para aquellos que sientan curiosidad sobre estas conexiones fiables y anónimas. También destacar que el protocolo I2P no siempre es utilizado para actividades ilegales, sino que también tiene un gran número de aplicaciones legales donde se necesita una red privada, segura y estable para la comunicación entre varios servidores.

Fuente: Seguridad Unam

CTB-LOCKER. Detectadas nuevas amenazas más peligrosas

Desde hace algunas horas se está distribuyendo a través de una campaña de correo electrónico con un supuesto fax adjunto una nueva variante mucho más peligrosa y agresiva del conocido ransomware CTB-Locker. 

Este malware llega a los ordenadores de los usuarios tan pronto como intentan visualizar el fax que, en realidad oculta un “downloader” llamado Win32/TrojanDownloader.Elenoocka.A que, una vez ejecutado, conecta a una URL desde donde descarga la nueva variante del ransomware que es la encargada de cifrar los archivos de las víctimas.

Esta nueva variante llamada por ESET Win32/FileCoder.DA (conocido comúnmente como CTB-Locker) comienza a cifrar todos los archivos personales detectados en los discos duros internos, externos e incluso unidades de red conectadas al equipo. Una vez finaliza muestra al usuario un aviso donde se indica que ha sido víctima de él y se solicita un pago de 8 Bitcoin (alrededor de 1500 euros) en las siguientes 96 horas.

Como muestra de “buena fe”, los piratas informáticos permiten descifrar de forma gratuita un total de 5 archivos para demostrar al usuario que su método funciona.

El nuevo algoritmo utilizado por los piratas informáticos en esta nueva variante de CTB-Locker hace imposible la recuperación de los archivos cifrados mediante un “payload” como con otras variantes menos agresivas, por lo que las víctimas de este malware no podrán recuperar sus datos salvo pagando el correspondiente rescate.

Si queréis proteger vuestro sistema operativo de estas amenazas os recomendamos instalar la herramienta de seguridad “AntiRansom” que detecta todo tipo de actividad sospechosa en los discos duros incluso si el ransomware aún no ha sido registrado por las firmas antivirus.

Fuente: We Live Security

COINVAULT. Malware que cifra los archivos y ofrece una “trial” para recuperar algunos

CoinVault, es un malware que basan sus funciones en cifrar los archivos del disco y pedir una recompensa. La diferencia con respecto a otros tal vez sea el periodo de pruebas que ofrece al usuario, es decir, permite recuperar un número limitado de archivos a modo de ejemplo.

La interfaz que acompaña al virus es muy similar a la de programas que poseen funciones similares. Posee una parte donde el usuario puede ver el listado de fichero cifrados, los que no lo están o han sido descifrados, un espacio para introducir la clave que se suministra después de que se haya realizado el pago, y el espacio para realizar el aporte económico en beneficio de los ciberdelincuentes.

Sin embargo, y a pesar de existir algoritmos mucho más complejos, los creadores se han decantado por un cifrado AES de 256 bits y simétrico, pudiendo parecer bastante rudimentario con respecto a otros algoritmos utilizados en otros malware con características similares. Esto no quiere decir que este no sea peligroso pero sí que hace que encontrar la clave no sea “tan complicado” como en otras ocasiones.

Los expertos en seguridad han aclarado que el troyano TorrentLocker posee características similares al que nos ocupa, pudiendo ser uno de ellos una variante del otro.

Un buen software de seguridad no puede proteger frente a CoinVault

• Los expertos de seguridad que han tenido la oportunidad de tener contacto con este virus han aclarado que un software de seguridad correctamente actualizado es capaz de evitar que este tipo de amenazas nos afecten.
• También han aclarado que una copia de seguridad periódica de los archivos pueden permitir a los usuario recuperar la información de forma sencilla y sin tener que recurrir al pago para obtener una clave de descifrado que no siempre funciona. 
• A priori y según la interfaz, al usuario se le advierte que posee 24 horas para realizar el pago, de lo contrario se producirá al borrado de todos los datos cifrados.

Fuente: Softpedia

CRYPTOWALL. Anatomía de la amenaza ransomware más destructiva de la red

Los datos recogidos directamente de la pasarela de pago del rescate revela el número exacto de víctimas que pagan, así como la cantidad que pagaron. De los casi 625.000 infecciones, 1.683 víctimas (0,27 %) pagan el rescate, para una toma total de 1.101.900 dólares en el transcurso de seis meses, según el último análisis de la amenaza por los investigadores de seguridad de la Unidad de Amenazas Dell SecureWorks .

Cryptowall es una cepa de ransomware  de cifrado archivos,  que cifra los archivos en dispositivos de almacenamiento infectados PCs con Windows y que se suministran con el cifrado RSA-2048 antes de exigir un rescate por la clave privada para recuperar los documentos.

Entre mediados de marzo y finales de agosto, cerca de 625.000 sistemas fueron infectados con CryptoWall y consiguieron cifrar más de 5.250 millones de archivos durante el período.

Muchas de las infecciones se encuentran en los Estados Unidos (40,6 %) debido a la distribución frecuente de CryptoWall través Cutwail el spam dirigido a los usuarios habla inglesa.

Mando y control

• CryptoWall utiliza un sistema de comando y control que se basa en varios dominios estáticos codificados en binario cada uno. A diferencia de otras familias de malware prevalentes, CryptoWall no utiliza técnicas avanzadas, como algoritmos de generación de dominio (DGA) o sistemas DNS fast-flux.
• Estos servidores utilizan la no-caching proxy web Privoxy y probablemente actúan como servidores de primer nivel que el tráfico de proxy de las víctimas a los servidores de back-end que gestionan las claves de cifrado.
• A finales de julio de 2014, varias muestras distribuidas utilizan servidores de comando alojados en la red Tor, lo que sugiere la pandilla de malware tiene la intención de detener el tiempo usando los servidores tradicionales, accesibles directamente.
• El malware no extrae las credenciales de usuario, archivos o metadatos de los archivos. , de acuerdo con los investigadores de seguridad en Dell SecureWorks. 

 CryptoWall reforzada que corrige defectos anteriores

• Las variantes de CryptoWall desplegadas  hasta marzo del 2014 contenía una debilidad en la aplicación de cifrado que permite la recuperación de la clave utilizada para cifrar archivos. Este defecto parece haber sido corregido en versiones posteriores del malware.
• Los archivos en unidades de red extraíbles y fijas de las máquinas infectadas son cifrados. Además, los servicios de almacenamiento en la nube, como Dropbox o Google Drive, que se asignan a un sistema de archivos específico también serán cifrados.
• Como CryptoLocker y variantes anteriores CryptoWall incluyen numerosas opciones de pago, incluyendo tarjetas de prepago como MoneyPak, Paysafecard, Cashu, y Ukash, además de la cryptocurrency Bitcoin.

Las exigencias de los estafadores  son muy variables, según Dell SecureWorks.

• "El rescate ha fluctuado frecuentemente en el capricho de los operadores de botnets, y ningún patrón exacto se ha establecido que determina qué víctimas reciben un valor de rescate en particular", los expertos en seguridad explican.
• "Los rescates que van desde $ 200 a $ 2000 han exigido en varias ocasiones por los operadores de CryptoWall. Los rescates más grandes se suelen reservar para las víctimas que no paguen dentro del plazo establecido (generalmente cuatro a siete días). En un caso, una víctima pagó $ 10.000 para la liberación de sus archivos ".

Distribución del malware

• Las campañas de spam que difunden el ransomware usando un señuelo "fax perdido" en junio llevaron a muchas infecciones, de acuerdo a los investigadores de seguridad de Dell SecureWork. Posteriormente otros investigadores han sobservado que el malware era  difundido por medio de anuncios maliciosos.
• La similitudes de codificación entre CryptoWall y la familia antes Tobfy de ransomware tradicional (que sólo encierra PCs y no cifra archivos) sugieren la misma banda de delincuentes puede estar detrás de las dos estafas.

Fuente: The Register

REVETON. El ransomware ahora roba contraseñas a sus víctimas

Los piratas informáticos al control de Reveton han actualizado su peligrosa herramienta de malware, según la empresa de seguridad Avast, dotándolo de la posibilidad de robar datos e información personal a sus víctimas. El módulo de robo de contraseñas introducido en este ransomware se llama Pony, y es conocido por tener una funcionalidad modular que se adapta automáticamente a las necesidades y posibilidades de la víctima.

Pony es capaz de robar todo tipo de contraseñas, desde cuentas locales hasta servidores FTP, VPN, contraseñas guardadas en los navegadores, claves de poker online y mucho más. Incluso se le ha dotado de 2 nuevas funcionalidades: robo de monederos virtuales (Bitcoin) y cookies de navegación con datos bancarios.

Esta nueva versión de Reveton también ha actualizado el funcionamiento general del malware, por ejemplo, han cambiado el cifrado para impedir que se pueda descifrar fácilmente, se ha restablecido la conexión con el servidor C&C de control y el programa se ha dividido en varios hilos de proceso para impedir que diferentes herramientas sean capaces de bloquear su ejecución.

Los ransomware cada vez son más complejos, aunque los usuarios también se vuelven más sabios. Ante los consejos de los expertos de seguridad de no pagar si somos víctimas de una infección, los piratas han buscado otras formas de financiación, por ejemplo, el robo de contraseñas y datos personales y bancarios para poderlos vender en el mercado negro y conseguir de esa manera parte de la remuneración económica esperada.

Fuente: Help Net Security

ZEROLOCKER. El ransomware que simula a un descifrador

En los últimos meses hemos visto distintos malware ransomware , aunque el funcionamiento de todas es similar: se descarga de manera oculta en el sistema y se instala cuando el usuario, por error, la ejecuta. Una vez se ejecuta, el ransomware empieza a cifrar todos los archivos personales del usuario y, una vez finaliza el proceso, muestra un mensaje al usuario advirtiendo de ello y pidiendo el rescate.

Detalle del nuevo ransomware ZeroLocke

• ZeroLocker (Trojan-Ransom.MSIL.Agent.uh) se distribuye como una herramienta de seguridad desarrollada para descifrar los archivos cifrados por este peligroso tipo de malware.
• Cuando ZeroLocker se instala en el sistema comienza automáticamente a cifrar los archivos personales del usuario. Una vez finaliza, reinicia el sistema forzado y muestra el temido mensaje a la víctima en el que se indica, como en otros casos, que debe pagar para recuperar los archivos. El valor del rescate ha aumentado notablemente desde un precio inicial de 300 dólares hasta alcanzar los 1000 dólares en tan sólo 10 días, un precio desorbitado pero, en ocasiones, asumible a cambio de recuperar los archivos.
• Como buena noticia, este ransomware, al igual que otros muchos tiene un fallo de seguridad muy grave que permite a las víctimas recuperar sus archivos fácilmente. ZeroLocker no elimina el Volume Shadow Service (VSS) de Windows, módulo encargado de hacer copias de seguridad de los archivos de usuario cuando son modificados, aunque estos se encuentren en uso (es el módulo utilizado para crear los puntos de restauración). Si este módulo se encuentra activado, cuando el ransomware cifra los archivos automáticamente se crea un archivo de seguridad para descifrarlos y volver así a la versión anterior del mismo. Sin embargo, la mayoría de los usuarios únicamente tiene la restauración del sistema activada para la unidad C, por lo que si se cifran archivos en otra unidad estos serán completamente irrecuperables.
• De igual forma, en futuras versiones de este ransomware este fallo se eliminará.
• ZeroLocker utiliza un cifrado AES de 160 bits para cifrar los archivos. Una vez los cifra envía los datos del sistema, así como la clave de cifrado el código CRC32 y la MAC del ordenador a un servidor que, en realidad, no existe, por lo que probablemente este sea uno de los ejemplos en los que, aunque paguemos, nunca recibiremos la clave de descifrado. La dirección de la cartera de Bitcoin también varía automáticamente de manera que seguir el dinero es muy complicado. Un peligroso malware que podría aumentar su agresividad y peligrosidad en las próximas versiones.

Recomendación

• En caso de ser infectados por este u otro ransomware debemos evitar realizar el pago del rescate. En muchas ocasiones encontraremos plataformas que nos ayudarán a a descifrar los archivos (páginas web, empresas antivirus, etc) y, para evitar daños mayores, siempre debemos tener una copia de seguridad de los archivos más críticos en una unidad desconectada del ordenador principal.

Fuente: SecureList

TORRENTLOCKER. El ransomware que combina CryptoLocker y CryptoWall

TorrentLocker es un nuevo ransomware de pocos días de vida que está generando una gran amenaza por la red debido a que es bastante complicado de identificar y se distribuye por la red de forma oculta en mensajes de spam o a través de descargas maliciosas. Este ransomware mezcla partes del código del conocido ransomware CryptoLocker junto a otras partes internas del comportamiento de CryptoWall añadiendo también gran parte de código subyacente propio, único y, por el momento, desconocido.

Detalle del nuevo ransomware TorrentLocker

• Este ransomware muestra en sus víctimas un mensaje muy similar al que muestra CryptoLocker a las suyas, aunque los expertos de seguridad afirman que su comportamiento es mucho más parecido al de CryptoWall debido a que las partes internas del código correspondientes al comportamiento han sido sacadas de este último.
• Al igual que otras piezas de malware similares, el pago por rescatar los archivos cifrados por este malware se realiza mediante una transferencia en Bitcoin a una cuenta especificada en el mismo malware.
• En cuanto al comportamiento interno, antes de comenzar el cifrado de los archivos el malware establece un canal de comunicación seguro de comando y control (C&C) con un servidor desde donde se descarga un certificado y el archivo de configuración. Esto implica que, sin una conexión activa a Internet (o con un firewall restrictivo) este ransomware no podría cifrar los archivos del usuario al no poder establecer conexión con el servidor.
• El algoritmo de cifrado que utiliza este malware es cifrado Rijndael utilizando una clave pública y una privada para el proceso. La clave pública está siempre en posesión del pirata informático y, sin ella, no se puede descifrar ningún archivo.
• Como característica curiosa (y para demostrar que el descifrado es posible y animar a las víctimas a pagar el rescate) TorrentLocker ofrece al usuario la posibilidad de descifrar un único archivo de forma gratuita.
• Este ransomware no se ha dejado ver en el mercado negro, lo que sugiere que los propios piratas informáticos que lo utilizan son quienes lo han desarrollado desde cero. Por el momento este malware no supone una verdadera amenaza para los usuarios, aunque es posible que los próximos días (o semanas) su actividad aumente exponencialmente y llegue a convertirse en una amenaza grave a la altura de CryptoLocer o CryptoWall.

Fuente: IsightPartners

ANDROID LOCKER. El ransomware para Android de nuevo cuño

Android Locker es otro nuevo ransomware, bastante más peligroso que otros similares para esta plataforma como Simplocker, que busca afectar a los usuarios bajo la apariencia de un falso antivirus. Este malware suele llegar a través de anuncios que aparecen a los usuarios en los que se indica que el dispositivo está infectado y que hay que descargar e instalar un fichero para poder desinfectarlo. Igualmente también se han detectado casos en los que el malware suplanta la identidad de Flash Player, necesario para reproducir algún tipo de contenido en la red.

Detalles del nuevo ransomware Android Locker

• Las principales características de Android Locker son:

1. Oculta su identidad haciéndose pasar por un falso antivirus.
2. Dificulta notablemente su desinstalación bloqueando todos los intentos de ello.
3. Cifra los archivos de los usuarios tanto de la memoria externa como de la memoria interna.
4. Impide la ejecución de nuevas aplicaciones.
5. Se reactiva en cada reinicio.

• Una vez ejecutado el ransomware e infectado nuestro dispositivo el programa comenzará a cifrar nuestros archivos. Una vez finalice y hayamos perdido el acceso a ellos se nos mostrará un mensaje en nombre de la Europol (muy similar a como funciona el conocido virus de la Policía) en el que indica que nuestro dispositivo ha sido bloqueado por contener contenido ilegal y que debemos pagar una multa para recuperar el acceso a nuestros datos.
• Si no pagamos perderemos el acceso a nuestros datos, aunque si pagamos igualmente corremos el riesgo de no recibir la clave de recuperación, por lo que en muchas ocasiones es más recomendable perder el acceso a los archivos antes que añadir a ello una considerable cantidad económica.
• Android Locker  nuevo ransomware más que se suma a la lista de peligros para Android. Para evitar ser víctimas de los piratas informáticos y de estas complejas herramientas maliciosas debemos evitar seguir los mensajes que nos aparecen al navegar por Internet ni tampoco instalar ninguna aplicación de dudosa procedencia desde el archivo apk directamente, aunque tenga un nombre conocido como Flash Player, ya que lo más probable es que se trate de un fichero malicioso. 
• Las aplicaciones siempre deben descargarse desde tiendas de aplicaciones oficiales como Amazon App Store o Google Play, reduciendo en más del 99% la probabilidad de ser infectados por malware.

Fuente: Welivesecurity