Datah Ransomware es un clon de Makop

Al analizar nuevas muestras de malware, nos encontramos con una variante de ransomware afiliada a la familia Makop, conocida como Datah. Este ransomware cifra archivos y genera una nota de rescate denominada "+README-WARNING+.txt", que contiene detalles de contacto e instrucciones. Además, Datah altera los nombres de los archivos.

Datah modifica los nombres de los archivos agregando el ID de la víctima, la dirección de correo electrónico datahelper@onionmail.org y la extensión ".datah". Por ejemplo, cambia "1.jpg" por "1.jpg.[2AF20FA3].[datahelper@onionmail.org].datah" y "2.png" por "2.png.[2AF20FA3].[datahelper@ cebollamail.org].datah", y así sucesivamente.

La nota de rescate notifica a la víctima sobre el cifrado de sus archivos pero garantiza que la estructura del archivo permanece sin cambios. Enfatiza que la recuperación sólo es posible pagando el rescate a los actores de amenazas responsables del cifrado. Los ciberdelincuentes ofrecen una demostración de su capacidad de descifrado permitiendo a la víctima descifrar dos archivos pequeños a modo de prueba.

Los datos de contacto se proporcionan a través de una dirección de correo electrónico (datahelper@onionmail.org) y un TOX ID. La nota concluye con una fuerte advertencia contra el intento de modificar los archivos cifrados de forma independiente, advirtiendo que cualquier alteración podría resultar en la pérdida de datos y la pérdida permanente de la clave privada de descifrado, dejando a la víctima con datos irrecuperables.

Datah produce una extensa nota de rescate

El texto completo de la larga nota de rescate generada por Datah dice lo siguiente:

Greetings

Little FAQ:

1.
Q: Whats Happen?
A: Your files have been encrypted. The file structure was not damaged, we did everything possible so that this could not happen.

2.
Q: How to recover files?
A: If you wish to decrypt your files you will need to pay us.

3.
Q: What about guarantees?
A: Its just a business. We absolutely do not care about you and your deals, except getting benefits. If we do not do our work and liabilities - nobody will cooperate with us. Its not in our interests.
To check the ability of returning files, you can send to us any 2 files with SIMPLE extensions(jpg,xls,doc, etc… not databases!) and low sizes(max 1 mb), we will decrypt them and send back to you. That is our guarantee.

4.
Q: How to contact with you?
A: You can write us to our mailbox: datahelper@onionmail.org
Or you can contact us via TOX: B99CB0C13B44E2A1AEBAEB28E70371D6E3DB35DA801721930B53B0E787433270665DA610BAB0
You can download TOX: hxxps://qtox.github.io/

5.
Q: How will the decryption process proceed after payment?
A: After payment we will send to you our scanner-decoder program and detailed instructions for use. With this program you will be able to decrypt all your encrypted files.

6.
Q: If I don t want to pay bad people like you?
A: If you will not cooperate with our service - for us, its does not matter. But you will lose your time and data, cause only we have the private key. In practice - time is much more valuable than money.

BEWARE
DON'T try to change encrypted files by yourself!
If you will try to use any third party software for restoring your data or antivirus solutions - please make a backup for all encrypted files!
Any changes in encrypted files may entail damage of the private key and, as result, the loss all data.

¿Cuáles son las mejores formas de proteger sus datos de ataques de ransomware?

Proteger sus datos de ataques de ransomware es crucial para salvaguardar su información personal y comercial. Estas son algunas de las mejores prácticas para ayudar a mitigar el riesgo de ransomware:

Copias de seguridad periódicas: mantenga copias de seguridad periódicas de sus datos importantes en un almacenamiento fuera de línea o basado en la nube. Esto garantiza que incluso si sus archivos están cifrados por ransomware, pueda restaurarlos desde la copia de seguridad sin tener que pagar el rescate.

Actualizar software: mantenga su sistema operativo, software antivirus y todas las aplicaciones actualizados con los últimos parches y actualizaciones de seguridad. Los atacantes de ransomware pueden aprovechar las vulnerabilidades del software obsoleto.

Educar a los empleados: proporcione capacitación integral sobre concientización sobre ciberseguridad a los empleados para ayudarlos a reconocer correos electrónicos de phishing, enlaces maliciosos y otros posibles vectores de ataque de ransomware. Fomente una cultura de escepticismo hacia los correos electrónicos y archivos adjuntos no solicitados.

Utilice software antivirus y antimalware: instale software antivirus y antimalware confiable en todos los dispositivos y asegúrese de que se actualicen periódicamente. Estas herramientas pueden ayudar a detectar y prevenir infecciones de ransomware.

Implemente medidas de seguridad de la red: utilice firewalls, sistemas de detección de intrusiones y otras medidas de seguridad de la red para monitorear y proteger contra el acceso no autorizado y la actividad maliciosa en su red.

Restringir permisos de usuario: limite los permisos de usuario solo a aquellos necesarios para sus funciones laborales. Esto puede ayudar a evitar que el ransomware se propague lateralmente por su red en caso de que el sistema de un usuario se vea comprometido.

Habilite el filtrado de correo electrónico: implemente soluciones de filtrado de correo electrónico para bloquear correos electrónicos de phishing y archivos adjuntos maliciosos antes de que lleguen a las bandejas de entrada de los usuarios. Esto puede reducir significativamente la probabilidad de infecciones de ransomware por correo electrónico.

Deshabilite el Protocolo de escritorio remoto (RDP): si no es necesario para las operaciones comerciales, considere deshabilitar el RDP o implementar medidas de seguridad adicionales, como la autenticación multifactor, para evitar el acceso no autorizado a través de RDP.