Ransomware Tianrui: una ciberamenaza que secuestra datos
Table of Contents
¿Qué es Tianrui Ransomware?
Tianrui es una cepa de ransomware que funciona como muchas otras familias conocidas de ransomware, como Hush , MoneyIsTime y Boramae . Este software malicioso cifra los archivos de las víctimas y exige un rescate a cambio de descifrarlos.
Al infectar un sistema, Tianrui renombra los archivos cifrados añadiendo un identificador único seguido de la extensión ".tianrui". Por ejemplo, un archivo inicialmente llamado "document.pdf" aparecería como "document.pdf.{UniqueID}.tianrui" después del cifrado. Una vez completado el proceso de cifrado, el ransomware genera una nota de rescate titulada "README.TXT" para informar a las víctimas sobre el ataque y las exigencias de los ciberdelincuentes.
Esto es lo que dice la nota de rescate:
I'll try to be brief: 1. It is beneficial for us that your files are decrypted no less than you, we don't want to harm you, we just want to get a ransom for our work.
2. Its only takes for us at list 20 minutes after payment to completely decrypt you,
to its original state, it's very simple for us!
3.If you contact decryption companies, you are automatically exposed to publicity,also, these companies do not care about your files at all, they only think about their own benefit!
4.They also contact the police. Again, only you suffer from this treatment!
5. We have developed a scheme for your secure decryption without any problems, unlike the above companies,
who just as definitely come to us to decipher you and simply make a profit from you as intermediaries, preventing a quick resolution of this issue!
6. In case of refusal to pay, we transfer all your personal data such as (emails, link to panel, payment documents , certificates , personal information of you staff, SQL,ERP,financial information for other hacker groups) and they will come to you again for sure!
We will also publicize this attack using social networks and other media, which will significantly affect your reputation!7. If you contact us no more than 12 hours after the attack, the price is only 50% of the price afterwards!
8. Do not under any circumstances try to decrypt the files yourself; you will simply break them!
YOU MUST UNDERSTAND THAT THIS IS BIG MARKET AND DATA RECOVERY NEED MONEY ONLY !!!
9.IF YOU CHOOSE TO USE DATA RECOVERY COMPANY ASK THEM FOR DECRYPT TEST FILE FOR YOU IF THEY CANT DO IT DO NOT BELIEVE THEM !
10.Do not give data recovery companies acces to your network they make your data cant be decrypted by us - for make more money from you !!!!! DO NOT TELL THEM YOUR COMPANY NAME BEFORE THEY GIVE YOU TEST FILE !!!!!!Contacts :
Download the (Session) messenger (hxxps://getsession.org) You fined me "0585ae8a3c3a688c78cf2e2b2b7df760630377f29c0b36d999862861bdbf93380d"
MAIL:tianrui@mailum.com
¿Cómo funciona el ransomware Tianrui?
Al igual que otras variantes de ransomware, Tianrui sigue un patrón de ataque estructurado. Se infiltra en el sistema de la víctima, cifra los archivos y presenta una nota de rescate que explica los pasos a seguir. La nota advierte que, si la víctima no paga, la información confidencial robada durante el ataque (como bases de datos, registros financieros y correos electrónicos) se compartirá con otros grupos de hackers. Además, los atacantes amenazan con hacer pública la brecha, lo que podría dañar la reputación de la empresa o persona atacada.
Se indica a las víctimas que contacten a los atacantes en un plazo de 12 horas para obtener un descuento en el monto del rescate. La nota también advierte contra intentar descifrar manualmente los archivos o solicitar asistencia externa, ya que dichas acciones podrían dejar los datos permanentemente inaccesibles.
La naturaleza de los ataques de ransomware
El ransomware funciona mediante técnicas de cifrado que hacen que los datos sean ilegibles sin una clave de descifrado única. Se utilizan dos tipos principales de cifrado: simétrico y asimétrico. Ambos métodos hacen prácticamente imposible recuperar los archivos bloqueados sin la intervención de los atacantes.
Uno de los mayores riesgos asociados a los ataques de ransomware es que pagar el rescate no garantiza que las víctimas reciban la clave de descifrado prometida. Los ciberdelincuentes no tienen obligación de cumplir con el pago y, en muchos casos, las víctimas que pagan no recuperan el acceso a sus datos. Además, pagar el rescate fomenta la ciberdelincuencia al financiar futuros ataques.
Cómo se propaga el ransomware Tianrui
Tianrui, al igual que muchos otros programas de ransomware, se propaga principalmente mediante tácticas engañosas, como correos electrónicos de phishing e ingeniería social. Los ciberdelincuentes utilizan mensajes fraudulentos para engañar a las víctimas y hacer que abran archivos adjuntos maliciosos o hagan clic en enlaces peligrosos. Estos archivos infectados pueden adoptar diversas formas, como:
- Archivos de almacenamiento (ZIP, RAR, etc.)
- Archivos ejecutables (.exe, .run, etc.)
- Documentos (Microsoft Office, PDF, OneNote, etc.)
- Archivos JavaScript
Otros métodos de infección comunes incluyen:
- Malware troyano que se disfraza de software legítimo
- Descargas no autorizadas desde sitios web comprometidos o falsos
- Anuncios maliciosos (malvertising)
- Piratería de software y herramientas ilegales de "cracking"
- Actualizaciones de software falsas que instalan malware en secreto
- Mecanismos de propagación de red que propagan infecciones a través de unidades compartidas o dispositivos de almacenamiento extraíbles
¿Se pueden recuperar los archivos infectados?
Recuperar archivos cifrados por Tianrui es difícil, si no imposible, sin la herramienta de descifrado de los ciberdelincuentes. A menos que el ransomware contenga una falla en su algoritmo de cifrado, las víctimas tienen pocas posibilidades de desbloquear sus archivos sin pagar el rescate.
La mejor solución es confiar en copias de seguridad seguras. Realizar copias de seguridad periódicas de archivos importantes en varias ubicaciones, incluyendo almacenamiento sin conexión y en la nube, garantiza la seguridad de los datos en caso de ataque. Sin embargo, las copias de seguridad deben mantenerse separadas del sistema principal, ya que algunas variantes de ransomware intentan cifrarlas o eliminarlas.
Medidas preventivas para evitar infecciones de ransomware
La prevención es la mejor defensa contra las amenazas de ransomware. Siguiendo las mejores prácticas de ciberseguridad, tanto las personas como las organizaciones pueden minimizar el riesgo de infección:
- Utilice fuentes de descarga verificadas : descargue software y actualizaciones únicamente de fuentes oficiales y confiables. Evite usar plataformas de terceros que puedan alojar versiones maliciosas de programas legítimos.
- Cuidado con los ataques de phishing : los ciberdelincuentes suelen distribuir ransomware mediante correos electrónicos de phishing. Tenga cuidado al abrir archivos adjuntos o hacer clic en enlaces de remitentes desconocidos o sospechosos.
- Mantenga el software actualizado : asegúrese de que los sistemas operativos, las aplicaciones y las herramientas de seguridad estén actualizados. Las actualizaciones suelen incluir parches de seguridad que corrigen las vulnerabilidades explotadas por el ransomware.
- Habilite la seguridad de múltiples capas : utilice software antivirus y antimalware para detectar y bloquear archivos maliciosos antes de que puedan ejecutarse.
- Restringir privilegios de administrador : limite los permisos de usuario para evitar instalaciones de software no autorizadas y modificaciones del sistema.
- Desactivar macros y la ejecución de scripts : Los scripts maliciosos ocultos en documentos pueden provocar infecciones de ransomware. Desactivar la ejecución automática de macros en Microsoft Office y evitar la activación de scripts innecesarios.
- Realice copias de seguridad de datos importantes : realice copias de seguridad periódicas de archivos críticos en ubicaciones seguras sin conexión para garantizar la recuperación de datos en caso de un ataque.
Reflexiones finales
El ransomware Tianrui es otro ejemplo de cómo los ciberdelincuentes explotan la tecnología de cifrado para extorsionar a sus víctimas. Esta variante en particular sigue la misma estrategia que otras cepas de ransomware: cifra archivos, exige pagos y amenaza con filtrar datos confidenciales. A pesar de la presión para pagar, los expertos en ciberseguridad desaconsejan hacerlo, ya que no garantiza la recuperación de datos y solo incentiva la actividad delictiva.
La mejor protección contra el ransomware es un enfoque proactivo de ciberseguridad que incluya copias de seguridad periódicas de datos, actualizaciones de software y vigilancia contra intentos de phishing. Al comprender las tácticas empleadas por los atacantes y tomar las precauciones necesarias, tanto particulares como empresas pueden reducir significativamente el riesgo de sufrir amenazas de ransomware.
