¿Qué es el ransomware ChocVM?

Recientemente ha surgido una nueva variante de ransomware llamada ChocVM, asociada con la familia Makop. Este software malicioso cifra archivos, altera fondos de escritorio, modifica nombres de archivos y deja una nota de rescate distintiva en un archivo llamado "+README-WARNING+.txt".

Cifrado y cambio de nombre de archivos

ChocVM emplea un enfoque único para cambiar el nombre de archivos agregando una cadena de caracteres aleatorios, la dirección de correo electrónico "xakep@dark-forum.ru" y la extensión de archivo ".chocolate". Por ejemplo, un archivo como "1.jpg" se transforma en "1.jpg.[2AF20FA3].[xakep@dark-forum.ru].chocolate".

Descripción general de la nota de rescate de ChocVM

La nota de rescate dejada por ChocVM aclara que los archivos de la víctima han sido cifrados sin alterar la estructura del archivo. Para recuperar el acceso a sus archivos, las víctimas deben pagar un rescate. El atacante enfatiza que se trata de una transacción comercial y no muestra ninguna preocupación por los intereses de la víctima. Se hace una oferta peculiar para descifrar dos archivos pequeños con extensiones simples de forma gratuita, proporcionando información de contacto a través de direcciones de correo electrónico: xakep@dark-forum.ru o hackr@dark-forum.ru.

La nota de rescate dice lo siguiente:

::: Greetings ChocVM :::

Little FAQ:

.1.
Q: Whats Happen?
A: Your files have been encrypted. The file structure was not damaged, we did everything possible so that this could not happen.

.2.
Q: How to recover files?
A: If you wish to decrypt your files you will need to pay us.

.3.
Q: What about guarantees?
A: Its just a business. We absolutely do not care about you and your deals, except getting benefits. If we do not do our work and liabilities - nobody will cooperate with us. Its not in our interests.
To check the ability of returning files, you can send to us any 2 files with SIMPLE extensions(jpg,xls,doc, etc... not databases!) and low sizes(max 1 mb), we will decrypt them and send back to you. That is our guarantee.

.4.
Q: How to contact with you?
A: You can write us to our mailboxes: xakep@dark-forum.ru or hackr@dark-forum.ru

.5.
P: ¿Cómo se realizará el proceso de descifrado después del pago?
R: Después del pago, le enviaremos nuestro programa de escáner-decodificador e instrucciones detalladas de uso. Con este programa podrás descifrar todos tus archivos cifrados.

.6.
P: ¿Si no quiero pagarle a gente mala como tú?
R: Si no coopera con nuestro servicio, para nosotros no importa. Pero perderá su tiempo y sus datos, porque solo nosotros tenemos la clave privada. En la práctica, el tiempo es mucho más valioso que el dinero.

:::TENER CUIDADO:::
¡NO intente cambiar archivos cifrados usted mismo!
Si intenta utilizar cualquier software de terceros para restaurar sus datos o soluciones antivirus, ¡haga una copia de seguridad de todos los archivos cifrados!
Cualquier cambio en los archivos cifrados puede provocar daños en la clave privada y, como resultado, la pérdida de todos los datos.

Detalles sobre el pago del rescate

Tras el pago, el atacante se compromete a entregar un programa de descifrado junto con instrucciones detalladas para descifrar archivos. La nota advierte explícitamente contra los intentos de restauración independiente de archivos, alegando que tales acciones pueden dañar la clave privada y provocar una pérdida irreversible de datos.

Información sobre las amenazas de ransomware: descripción general

Cuando las personas son víctimas de ataques de ransomware, se ven obligadas a pagar a los ciberdelincuentes por herramientas de descifrado. Normalmente, las alternativas incluyen buscar herramientas de descifrado gratuitas en línea o utilizar copias de seguridad de datos. Sin embargo, se desaconseja enfáticamente pagar rescates debido a las incertidumbres sobre la confiabilidad de los ciberdelincuentes a la hora de entregar las herramientas de descifrado prometidas.

Acción inmediata contra el ransomware

Eliminar rápidamente el ransomware de los dispositivos comprometidos es crucial, ya que el malware puede iniciar más cifrados y propagarse a través de redes locales, lo que lleva al cifrado de archivos en computadoras interconectadas.

Panorama del ransomware

Los ataques de ransomware pueden variar en cuanto a métodos de entrega y objetivos, pero persiste la demanda constante de pago a cambio de descifrar datos, cambiar el nombre de los archivos y presentar una nota de rescate. Ejemplos de otras variantes de ransomware incluyen BO Team, Cdmx y Tprc.

Comprensión de las infecciones por ransomware: causas y prevención

Métodos de infección

El ransomware suele infiltrarse en los sistemas a través de correos electrónicos engañosos que contienen archivos adjuntos o enlaces maliciosos. Los usuarios desprevenidos pueden iniciar descargas y ejecuciones sin darse cuenta haciendo clic en estos enlaces o abriendo archivos adjuntos. Los troyanos son otra herramienta utilizada para entregar cargas útiles maliciosas, incluido el ransomware. Los actores de amenazas también explotan canales como redes P2P, anuncios maliciosos, vulnerabilidades de software, software pirateado y más.

Medidas de protección

Para protegerse contra infecciones de ransomware, se recomienda a los usuarios que instalen actualizaciones periódicas para el sistema operativo y las aplicaciones instaladas. Emplear software antivirus o antimalware de buena reputación, tener cuidado con los correos electrónicos de fuentes desconocidas, evitar sitios web riesgosos y abstenerse de descargar archivos de fuentes no confiables son medidas preventivas esenciales.

Cómo lidiar con la infección por ChocVM

Si una computadora ya está infectada con ChocVM, se recomienda utilizar un programa antimalware para la eliminación automática de esta amenaza de ransomware.