El ransomware profundo bloqueará su sistema

Al revisar los envíos de archivos recientes, nuestros investigadores encontraron un programa de ransomware conocido como Deep, que pertenece a la familia de ransomware Phobos. Deep (Phobos) funciona cifrando datos y luego exigiendo un pago a cambio de la clave de descifrado.

En nuestro sistema de prueba, este ransomware cifró archivos y modificó sus nombres. Los nombres de los archivos originales se ampliaron con un identificador único asignado a la víctima, la dirección de correo electrónico de los ciberdelincuentes y una extensión ".deep". Como ejemplo, un archivo originalmente llamado "1.jpg" aparecería como "1.jpg.id[9ECFA84E-3352].[captain-america@tuta.io].deep".

Una vez que se completó el proceso de cifrado, se crearon notas de rescate y se mostraron en una ventana emergente denominada "info.hta" y en un archivo de texto llamado "info.txt".

El archivo de texto asociado con el ransomware Deep (Phobos) indica que los archivos de la víctima han sido cifrados y les insta a ponerse en contacto con los atacantes para obtener ayuda para descifrarlos.

La ventana emergente proporciona información adicional sobre la infección de ransomware y explica que la recuperación de datos sólo se puede lograr pagando un rescate en la criptomoneda Bitcoin. Antes de realizar el pago, la víctima tiene la opción de probar el proceso de descifrado enviando a los ciberdelincuentes hasta tres archivos cifrados, siguiendo determinadas especificaciones.

La nota concluye con advertencias contra cambiar el nombre de los archivos cifrados o intentar utilizar software de recuperación de terceros, ya que hacerlo puede provocar una pérdida permanente de datos. Además, buscar ayuda de terceros podría generar mayores pérdidas financieras.

La nota de ransomware profunda utiliza la plantilla Phobos

El texto completo de la nota de rescate generada por el ransomware Deep dice lo siguiente:

¡Todos tus archivos han sido cifrados!

Todos tus archivos han sido cifrados debido a un problema de seguridad con tu PC. Si deseas restaurarlos escríbenos al correo Captain-america@tuta.io
Escriba este ID en el título de su mensaje -
Si no recibe una respuesta dentro de las 24 horas, contáctenos a través de la cuenta de Telegram.org: @HostUppp
Tienes que pagar por el descifrado en Bitcoins. El precio depende de lo rápido que nos escribas. Después del pago, le enviaremos la herramienta que descifrará todos sus archivos.

Descifrado gratuito como garantía
Antes de pagar, puede enviarnos hasta 3 archivos para descifrarlos de forma gratuita. El tamaño total de los archivos debe ser inferior a 4 Mb (no archivados) y los archivos no deben contener información valiosa. (bases de datos, copias de seguridad, hojas de Excel grandes, etc.)

Cómo obtener Bitcoins
La forma más sencilla de comprar bitcoins es el sitio LocalBitcoins. Tienes que registrarte, hacer clic en 'Comprar bitcoins' y seleccionar el vendedor por método de pago y precio.
hxxps://localbitcoins.com/buy_bitcoins
También puedes encontrar otros lugares para comprar Bitcoins y una guía para principiantes aquí:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/

¡Atención!
No cambie el nombre de los archivos cifrados.
No intente descifrar sus datos utilizando software de terceros, ya que puede provocar una pérdida permanente de datos.
El descifrado de sus archivos con la ayuda de terceros puede provocar un aumento del precio (ellos añaden su tarifa a la nuestra) o puede convertirse en víctima de una estafa.

¿Cómo puede un ransomware como Deep ingresar a su sistema?

El ransomware como Deep puede infiltrarse en su sistema a través de diversos medios, a menudo explotando vulnerabilidades o utilizando tácticas de ingeniería social. A continuación se muestran algunas formas comunes en que el ransomware puede ingresar a su sistema:

• Correos electrónicos de phishing: los ciberdelincuentes envían correos electrónicos convincentes pero maliciosos que parecen provenir de fuentes confiables. Estos correos electrónicos pueden contener archivos adjuntos o enlaces que, cuando se abren, ejecutan el código ransomware en su sistema.
• Sitios web maliciosos: visitar sitios web comprometidos o maliciosos puede desencadenar descargas no autorizadas, donde el ransomware se descarga y ejecuta automáticamente en su sistema sin su conocimiento.
• Software o archivos infectados: la descarga de software o archivos de fuentes no confiables, especialmente software pirateado o descifrado, aumenta el riesgo de infección por ransomware. Estos archivos pueden contener malware oculto.
• Explotación de vulnerabilidades: el ransomware puede aprovechar las vulnerabilidades del software en su sistema operativo o aplicaciones. Si no actualiza su software ni aplica parches de seguridad, su sistema queda susceptible a tales ataques.
• Ataques de protocolo de escritorio remoto (RDP): si tiene RDP habilitado y utiliza contraseñas débiles o fáciles de adivinar, los atacantes pueden obtener acceso a su sistema de forma remota e instalar ransomware.
• Publicidad maliciosa: los ciberdelincuentes pueden colocar anuncios maliciosos en sitios web legítimos. Hacer clic en estos anuncios o incluso simplemente visitar un sitio comprometido puede provocar una infección de ransomware.
• Ingeniería social: los atacantes pueden hacerse pasar por personal de soporte técnico u otras personas confiables para engañarlo para que descargue o ejecute ransomware.
• USB y medios extraíbles: el malware puede propagarse a través de unidades USB u otros medios extraíbles infectados. Conectar un dispositivo infectado puede introducir ransomware en su sistema.