Wormhole Ransomware bloquea los archivos de las víctimas
En nuestra investigación del malware Wormhole, determinamos que funciona como ransomware con el objetivo principal de cifrar archivos y exigir un rescate por descifrarlos. Además de cifrar archivos, Wormhole altera los nombres de los archivos añadiendo la extensión ".Wormhole" (por ejemplo, cambiando el nombre de "1.jpg" a "1.jpg.Wormhole", "2.png" a "2.png.Wormhole", etc. ).
El ransomware también presenta una nota de rescate ("Cómo recuperar archivos cifrados por Wormhole.txt") que indica a las víctimas que se comuniquen con los atacantes a través de Tox o qTox (proporcionando enlaces de descarga para estas herramientas). Aconseja a las víctimas que configuren un proxy si la herramienta de chat encuentra problemas de conectividad a Internet.
Además, la nota contiene el Tox ID del atacante, que sirve como identificador único para fines de comunicación. Solicita al destinatario que envíe un archivo cifrado junto con una ID de Wormhole para realizar una prueba de descifrado.
Nota de rescate del agujero de gusano en su totalidad
El texto completo de la nota de rescate producida por Wormhole es el siguiente:
Please contact us via Tox.chat tool or qtox tool
Download Tox.chat hxxps://tox.chat/download.html
Download qtox hxxps://github.com/qTox/qTox/blob/master/README.md#qtox
If your chat Tool cannot connect to the Internet, please set up a proxy.
Add our TOX ID and send an encrypted file and Wormhole ID for testing decryption.Our TOX ID 503313BA88174FDF187C5009A43B45CBC144D313EFBF98BB75BFA084B5743E3ECA94499F95ED
Your Wormhole ID: -
¿Cómo se distribuye comúnmente el ransomware en línea?
El ransomware se distribuye comúnmente en línea a través de varios métodos, a menudo aprovechando tácticas de ingeniería social y vulnerabilidades en software o sistemas. A continuación se muestran algunos métodos de distribución comunes:
Correos electrónicos de phishing: uno de los métodos más frecuentes es a través de correos electrónicos de phishing que contienen archivos adjuntos o enlaces maliciosos. Estos correos electrónicos están diseñados para parecer legítimos y pueden engañar a los usuarios para que abran archivos adjuntos o hagan clic en enlaces que descargan y ejecutan ransomware en sus sistemas.
Enlaces maliciosos: el ransomware se puede distribuir a través de enlaces maliciosos compartidos por correo electrónico, redes sociales o plataformas de mensajería instantánea. Al hacer clic en estos enlaces se puede descargar y ejecutar ransomware en el dispositivo de la víctima.
Kits de explotación: los ciberdelincuentes utilizan kits de explotación para explotar vulnerabilidades en el software o los navegadores web. Cuando un usuario visita un sitio web comprometido, el kit de explotación descarga e instala automáticamente ransomware en la computadora de la víctima sin su conocimiento.
Compromiso del Protocolo de escritorio remoto (RDP): los atacantes aprovechan las credenciales débiles o predeterminadas del Protocolo de escritorio remoto (RDP) para obtener acceso no autorizado al sistema de la víctima. Una vez dentro, implementan ransomware para cifrar archivos y exigen un rescate.
Publicidad maliciosa: los anuncios maliciosos (publicidad maliciosa) en sitios web legítimos pueden redirigir a los usuarios a sitios web que alojan ransomware. Estos anuncios pueden aparecer en sitios web populares y explotar vulnerabilidades en el navegador o complementos del usuario para entregar ransomware.
