El ransomware V (Dharma) causa mucho daño de forma silenciosa

Entendiendo el ransomware V (Dharma)

V (Dharma) Ransomware es un programa de bloqueo de archivos que pertenece a la familia Dharma , un conocido grupo de amenazas que han estado cifrando datos durante años. Una vez que se infiltra en un sistema, modifica los archivos agregando un ID de víctima único, una dirección de correo electrónico y la extensión ".V". El ransomware también deja una nota de rescate en forma de mensaje emergente y un archivo de texto llamado "info.txt".

Se informa a las víctimas de que sus archivos son inaccesibles y se les pide que envíen un correo electrónico a los atacantes para negociar un proceso de descifrado. La nota de rescate advierte contra el cambio de nombre de los archivos o el intento de utilizar herramientas de descifrado de terceros, ya que afirma que estas acciones podrían causar una pérdida permanente de datos. Los atacantes incluso ofrecen descifrar hasta tres archivos pequeños de forma gratuita como prueba de su capacidad para restaurar los datos.

El objetivo detrás del cifrado

Al igual que otros ransomware, V (Dharma) está diseñado para extorsionar a sus víctimas. Los atacantes exigen un pago, generalmente en bitcoins, a cambio de una herramienta de descifrado. Si no se recibe respuesta en 12 horas, la nota de rescate dirige a las víctimas a una dirección de correo electrónico secundaria para que puedan ponerse en contacto con ellas. La inclusión de múltiples métodos de contacto sugiere que los atacantes quieren asegurarse de que la comunicación permanezca abierta, lo que aumenta la probabilidad de pago.

A pesar de estas promesas, pagar el rescate nunca es una solución garantizada. En muchos casos, las víctimas que cumplen las exigencias nunca reciben las claves de descifrado, por lo que se quedan sin sus datos y sin su dinero.

Esto es lo que dice la nota de rescate:

All your files have been encrypted!
Don't worry, you can return all your files!
If you want to restore them, write to the mail: vijurytos@tuta.io YOUR ID -
If you have not answered by mail within 12 hours, write to us by another mail:vijurytos@cyberfear.com
Free decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)
How to obtain Bitcoins

Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam

Cómo funciona el ransomware V (Dharma)

Una vez dentro de un sistema, V (Dharma) busca y cifra los archivos almacenados en unidades locales y de red. También toma medidas para evitar una recuperación fácil, como desactivar los cortafuegos y eliminar las instantáneas de los archivos, que suelen utilizarse para la restauración. El ransomware se incrusta en el sistema copiando su código en la carpeta "%LOCALAPPDATA%" y modificando las claves de registro de ejecución, lo que garantiza que permanezca activo incluso después de un reinicio.

Curiosamente, algunas variantes de ransomware evitan cifrar datos en ubicaciones específicas. Este comportamiento sugiere que los atacantes pueden estar apuntando a regiones u organizaciones específicas y evitando otras.

El ransomware y sus implicaciones más amplias

Los programas de ransomware, incluido V (Dharma), se encuentran entre las amenazas digitales más disruptivas. Al bloquear datos críticos, pueden paralizar empresas, organizaciones y usuarios individuales por igual. Dado que los atacantes exigen criptomonedas como pago, rastrear y recuperar fondos es extremadamente difícil.

Si bien pagar para recuperar archivos cifrados puede parecer la única opción, hacerlo alimenta la economía del ransomware y alienta a los cibercriminales a continuar con sus ataques. Las autoridades y los profesionales de la ciberseguridad desaconsejan realizar pagos, ya que no hay garantía de que los atacantes cumplan sus promesas.

Cómo se propaga el ransomware V (Dharma)

El ransomware Dharma suele distribuirse a través de conexiones débiles del Protocolo de escritorio remoto (RDP). Los atacantes utilizan ataques de fuerza bruta o de diccionario para adivinar las credenciales de inicio de sesión y obtener acceso a sistemas con medidas de seguridad deficientes. Una vez dentro, ejecutan manualmente el ransomware y bloquean los archivos en cuestión de minutos.

Los actores de amenazas también difunden ransomware a través de correos electrónicos de phishing, archivos adjuntos maliciosos y sitios web comprometidos. Los anuncios fraudulentos, el software pirateado y las vulnerabilidades del software brindan oportunidades adicionales para que los atacantes se infiltren en los sistemas. Incluso los sitios de descarga aparentemente legítimos pueden alojar archivos cargados de ransomware sin saberlo, por lo que es esencial que los usuarios verifiquen la autenticidad de cualquier descarga.

Prevención de infecciones por ransomware

Dada la naturaleza destructiva del ransomware, la prevención es la mejor estrategia. Los usuarios deben tener cuidado al manipular correos electrónicos, especialmente aquellos de remitentes desconocidos. Se deben evitar los archivos adjuntos y los enlaces sospechosos, ya que podrían desencadenar una infección al abrirlos.

El software siempre debe descargarse de fuentes confiables, como sitios web de proveedores oficiales y tiendas de aplicaciones confiables. Evitar programas pirateados e instaladores de terceros minimiza el riesgo de descargar archivos dañinos de manera involuntaria. Además, las empresas deben proteger el acceso RDP mediante el uso de contraseñas seguras e implementar la autenticación multifactor para reducir el acceso no autorizado.

La importancia de las copias de seguridad

Realizar copias de seguridad de los datos importantes es una de las defensas más eficaces contra el ransomware. Las copias de seguridad periódicas almacenadas en sistemas externos o basados en la nube garantizan que los archivos se puedan restaurar sin necesidad de cumplir con las exigencias de rescate. Es fundamental mantener las copias de seguridad desconectadas de los dispositivos principales para evitar que el ransomware también las encripte.

Reflexiones finales

El ransomware V (Dharma) es un ejemplo de cómo las amenazas de cifrado de archivos siguen evolucionando, lo que hace que la protección de datos sea más crítica que nunca. Dado que los atacantes utilizan diversos métodos para distribuir ransomware, la concienciación y las medidas de seguridad proactivas desempeñan un papel fundamental en la prevención de infecciones. Si se mantiene la vigilancia, se evitan las descargas sospechosas y se mantienen copias de seguridad seguras, los usuarios y las organizaciones pueden reducir significativamente el impacto de los ataques de ransomware.