DoNex Ransomware cifra las unidades de las víctimas
Al examinar nuevas muestras de archivos, identificamos una variante de ransomware conocida como DoNex. Este ransomware está diseñado para cifrar datos y agrega una nota de rescate titulada "Readme.[victim's_ID].txt" junto con su extensión (ID de la víctima) a los nombres de todos los archivos cifrados.
Por ejemplo, DoNex altera los nombres de archivos transformando "1.jpg" en "1.jpg.f58A66B51", "2.png" en "2.png.f58A66B51", etc. La nota de rescate comienza con una advertencia audaz sobre la presencia del ransomware DoNex, notificando a la víctima que sus datos han sido cifrados y quedarán expuestos en un sitio web TOR a menos que se pague el rescate. La nota incluye un enlace para descargar el navegador Tor para acceder al sitio web especificado.
En un intento de tranquilizar a la víctima, la nota subraya que el grupo detrás de DoNex está impulsado por motivos financieros más que políticos. Se comprometen a proporcionar herramientas de descifrado y borrar los datos de la víctima tras el pago, lo que subraya la importancia de su reputación.
Además, la nota ofrece la opción de descifrar un archivo de forma gratuita para verificar el proceso de descifrado. Se proporcionan datos de contacto para la comunicación, incluida una identificación Tox, una dirección de correo electrónico (donexsupport@onionmail.org) y una advertencia contra la eliminación o modificación de archivos para evitar complicaciones en la recuperación. La nota concluye con una amenaza de ataques adicionales a la empresa de la víctima si el rescate sigue sin pagarse.
Nota de rescate de DoNex
El texto completo de la nota de rescate de DoNex dice lo siguiente:
DoNex ransomware warning
Your data are stolen and encryptedThe data will be published on TOR website if you do not pay the ransom
Links for Tor Browser:
What guarantees that we will not deceive you?
We are not a politically motivated group and we do not need anything other than your money.
If you pay, we will provide you the programs for decryption and we will delete your data.
If we do not give you decrypters, or we do not delete your data after payment, then nobody will pay us in the future.
Therefore to us our reputation is very important. We attack the companies worldwide and there is no dissatisfied victim after payment.
You need contact us and decrypt one file for free on these TOR sites with your personal DECRYPTION ID
Download and install TOR Browser hxxps://www.torproject.org/
Write to a chat and wait for the answer, we will always answer you.You can install qtox to contanct us online hxxps://tox.chat/download.html
Tox ID Contact: 2793D009872AF80ED9B1A461F7B9BD6209 744047DC1707A42CB622053716AD4BA624193606C9Mail (OnionMail) Support: donexsupport@onionmail.org
Warning! Do not DELETE or MODIFY any files, it can lead to recovery problems!
Warning! If you do not pay the ransom we will attack your company repeatedly again!
¿Cómo se distribuye comúnmente el ransomware en línea?
El ransomware se distribuye comúnmente en línea a través de varios métodos, aprovechando las vulnerabilidades y el comportamiento humano. Estas son algunas formas comunes en que se propaga el ransomware:
Correos electrónicos de phishing:
Archivos adjuntos de correo electrónico: los ciberdelincuentes suelen enviar correos electrónicos de phishing con archivos adjuntos maliciosos, como documentos o ejecutables infectados. Una vez que se abre el archivo adjunto, el ransomware se implementa en el sistema de la víctima.
Enlaces maliciosos: los correos electrónicos de phishing también pueden contener enlaces a sitios web maliciosos. Al hacer clic en estos enlaces se puede descargar y ejecutar ransomware.
Publicidad maliciosa:
Se pueden encontrar anuncios maliciosos o publicidad maliciosa en sitios web legítimos. Al hacer clic en estos anuncios, los usuarios pueden redirigirse a sitios que alojan ransomware, lo que provoca una descarga e infección no intencionadas.
Descargas no autorizadas:
El ransomware se puede descargar silenciosamente en el sistema de un usuario sin su conocimiento cuando visita sitios web comprometidos o maliciosos. Explotar vulnerabilidades en navegadores o complementos es un método común.
Kits de explotación:
Los kits de explotación son conjuntos de herramientas que apuntan a vulnerabilidades conocidas en el software. Si el sistema de un usuario tiene software desactualizado con vulnerabilidades sin parches, el kit de explotación puede entregar y ejecutar ransomware.
Ataques de abrevadero:
Los ciberdelincuentes pueden comprometer sitios web frecuentados por un grupo objetivo específico, explotando la confianza que los usuarios tienen en esos sitios para distribuir ransomware. Esto se conoce como ataque de abrevadero.
Ataques de protocolo de escritorio remoto (RDP):
Los atacantes pueden explotar contraseñas débiles o predeterminadas en los servicios de Protocolo de escritorio remoto (RDP). Una vez obtenido el acceso, pueden implementar ransomware manualmente en la red de la víctima.
Explotar vulnerabilidades en el software es un método común. Esto incluye debilidades en sistemas operativos, aplicaciones o servicios que, cuando no se parchean, proporcionan un punto de entrada para el ransomware.
