AeR Ransomware se basa en el código Dharma
AeR, un programa malicioso afiliado a la familia de ransomware Dharma, cifra archivos y exige un rescate por descifrarlos.
AeR cifra archivos y modifica sus nombres añadiendo una identificación única asignada a la víctima, la dirección de correo electrónico de los ciberdelincuentes y una extensión ".AeR". Para ilustrar, un archivo originalmente etiquetado como "1.jpg" se transforma en "1.jpg.id-9ECFA84E.[aerossh@nerdmail.co].AeR".
Posteriormente, el ransomware genera dos notas de rescate independientes. Los archivos de texto titulados "info.txt" se depositan en el escritorio y en los directorios afectados, mientras que el otro mensaje aparece como una ventana emergente.
El archivo de texto de AeR anima principalmente a la víctima a establecer contacto con los ciberdelincuentes responsables del ataque. La ventana emergente proporciona más información y explica que los archivos de la víctima han sido cifrados.
Se dan garantías sobre la posibilidad de recuperación de datos, lo que implica que el descifrado requiere el pago de un rescate en criptomoneda Bitcoin. La víctima tiene la opción de probar el descifrado de hasta tres archivos sin costo alguno (dentro de los parámetros especificados). La ventana emergente concluye con advertencias explícitas.
La nota de rescate de AeR utiliza la plantilla Dharma
El texto completo de la nota de rescate generada por el ransomware AeR es el siguiente:
All your files have been encrypted!
Don't worry, you can return all your files!
If you want to restore them, write to the mail: aerossh@cock.li YOUR ID -
If you have not answered by mail within 12 hours, write to us by another mail:aerossh@proton.meFree decryption as guarantee
Before paying you can send us up to 3 files for free decryption. The total size of files must be less than 3Mb (non archived), and files should not contain valuable information. (databases,backups, large excel sheets, etc.)How to obtain Bitcoins
The easiest way to buy bitcoins is LocalBitcoins site. You have to register, click 'Buy bitcoins', and select the seller by payment method and price.
hxxps://localbitcoins.com/buy_bitcoins
Also you can find other places to buy Bitcoins and beginners guide here:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/¡Atención!
No cambie el nombre de los archivos cifrados.
No intente descifrar sus datos utilizando software de terceros, ya que puede provocar una pérdida permanente de datos.
El descifrado de sus archivos con la ayuda de terceros puede provocar un aumento del precio (ellos añaden su tarifa a la nuestra) o puede convertirse en víctima de una estafa.
¿Cómo cifra el ransomware los datos y los vuelve inaccesibles?
El ransomware cifra los datos para hacerlos inaccesibles mediante un proceso que implica sofisticados algoritmos de cifrado. A continuación se ofrece una descripción general de cómo ocurre esto normalmente:
Infiltración: el ransomware obtiene acceso a una computadora o red a través de diversos medios, como correos electrónicos de phishing, archivos adjuntos maliciosos, sitios web comprometidos o explotación de vulnerabilidades de software. Una vez dentro, comienza su proceso de encriptación.
Ejecución: después de obtener acceso, el ransomware ejecuta su código en el sistema de la víctima. Esto a menudo implica la creación de múltiples copias de sí mismo y el inicio de procesos que le permiten operar sigilosamente.
Localización de archivos: el ransomware escanea el sistema de la víctima para identificar tipos de archivos o directorios específicos que pretende cifrar. Algunas variantes de ransomware se dirigen a una amplia gama de tipos de archivos, mientras que otras se centran en datos específicos, como documentos, imágenes o bases de datos.
Cifrado: el ransomware utiliza algoritmos de cifrado potentes y normalmente asimétricos, como RSA o AES, para cifrar los archivos identificados. El cifrado asimétrico implica un par de claves: una clave pública para cifrar los datos y una clave privada, en poder del atacante, para descifrarlos. Esto garantiza que sólo el atacante pueda descifrar los archivos.
Modificación de archivos: una vez cifrado, el ransomware a menudo modifica los nombres de los archivos y agrega una extensión de archivo específica para indicar que los archivos ahora están bajo su control. La víctima también puede recibir una nota de rescate explicando la situación y brindando instrucciones sobre cómo pagar para obtener la clave de descifrado.
Comunicación con el servidor de comando y control (C2): en algunos casos, el ransomware se comunica con un servidor de comando y control controlado por el atacante. Esta comunicación puede implicar el envío de información sobre el sistema infectado y la recepción de instrucciones sobre cómo proceder con la demanda de rescate.
