EXISC Ransomware se dirige a corporaciones y empresas

Durante nuestra investigación de nuevos envíos en el sitio de VirusTotal, nos encontramos con un programa de ransomware llamado EXISC. Su objetivo principal es cifrar datos y exigir el pago a cambio de descifrarlos.

Al ejecutar una muestra de EXISC en nuestro sistema de prueba, observamos que cifró correctamente los archivos y agregó una extensión ".EXISC" a sus nombres de archivo originales. Por ejemplo, un archivo llamado "1.jpg" se transformaría en "1.jpg.EXISC", mientras que "2.png" se convertiría en "2.png.EXISC", y así sucesivamente.

Después del proceso de encriptación, EXISC generó una nota de rescate titulada "Contáctenos para restaurar.txt". A partir del contenido de este mensaje, se hizo evidente que el ransomware se dirige principalmente a grandes organizaciones en lugar de usuarios domésticos individuales.

La nota de rescate transmite a la víctima que la red de su empresa se ha visto comprometida. El alcance del daño se describe a continuación: los archivos se cifraron y se robaron datos sensibles o confidenciales.

Según la nota, la víctima debe realizar el pago de un rescate para recuperar el acceso a sus archivos y evitar que se filtre el contenido exfiltrado. Aunque no se especifica el monto exacto del rescate, se menciona explícitamente que el pago debe realizarse en criptomonedas Bitcoin o Monero.

Además, la nota sugiere que se puede enviar una cierta cantidad de archivos para un descifrado de prueba. Esto debería servir como prueba para la víctima de que la recuperación de datos es posible.

EXISC Ransom Note espera contacto a través de Tox

El texto completo de la nota de rescate de EXISC dice lo siguiente:

Hola, la computadora de su empresa está encriptada por mí, y la base de datos y los datos están descargados. Si no quiere que revele estos materiales, debe pagarme un rescate. Después de recibir el rescate, eliminaré todos los archivos descargados y lo ayudaré a descifrar su computadora; de lo contrario, si lo hacemos, divulgaremos estos materiales y su empresa enfrentará repercusiones sin precedentes.

Solo trabajamos por dinero y no destruimos su red, y somos muy honestos. Después de recibir el rescate, también le proporcionaremos información sobre la vulnerabilidad de su sistema para ayudarlo a corregir la vulnerabilidad y evitar nuevos ataques.

Si duda de nuestra capacidad para descifrar archivos, puede enviarme algunos archivos cifrados y los descifraré para probarlo.

Pague el rescate en Bitcoin o Monero.

Utilice TOX para ponerse en contacto conmigo o enviarme un correo electrónico.

Correo electrónico: HonestEcoZ@dnmx.org

TOX ID:(cadena alfanumérica)
Descarga TOX:hxxps://tox.chat/download.html

¿Cuáles son los vectores de infección más comunes para ransomware como EXISC?

Ransomware como EXISC emplea varios vectores de infección para infiltrarse en sistemas y redes. Los siguientes son algunos de los vectores de infección más comunes utilizados por ransomware:

• Correos electrónicos de phishing: los correos electrónicos de phishing siguen siendo un método frecuente para distribuir ransomware. Los ciberdelincuentes elaboran correos electrónicos convincentes que parecen legítimos, a menudo haciéndose pasar por personas o entidades de confianza. Estos correos electrónicos contienen archivos adjuntos maliciosos o enlaces incrustados que, cuando se hace clic en ellos o se abren, inician el proceso de infección del ransomware.
• Descargas y archivos adjuntos maliciosos: el ransomware se puede descargar sin darse cuenta de sitios web maliciosos o a través de archivos adjuntos infectados. Esto puede ocurrir cuando los usuarios visitan sitios web comprometidos o abren archivos adjuntos de correo electrónico que contienen archivos ejecutables, macros o cargas útiles basadas en secuencias de comandos.
• Kits de explotación: los kits de explotación son herramientas maliciosas que aprovechan las vulnerabilidades de software presentes en los navegadores web, los complementos o los sistemas operativos. Al explotar estas vulnerabilidades, el ransomware puede enviarse silenciosamente al sistema de una víctima cuando visita un sitio web comprometido o hace clic en un anuncio malicioso.
• Ataques de protocolo de escritorio remoto (RDP): los operadores de ransomware a menudo se dirigen a sistemas con conexiones de protocolo de escritorio remoto expuestas o poco protegidas. Utilizan técnicas de fuerza bruta para obtener acceso no autorizado e instalar el ransomware.
• Vulnerabilidades de software: el ransomware puede explotar vulnerabilidades de software sin parches u obsoletas para infiltrarse en los sistemas. Esto incluye vulnerabilidades en los sistemas operativos, aplicaciones o servicios de red, que permiten que el ransomware obtenga acceso no autorizado y ejecute su carga útil.
• Publicidad maliciosa: se pueden encontrar anuncios maliciosos o anuncios maliciosos en sitios web o redes publicitarias legítimos. Estos anuncios contienen scripts ocultos que redirigen a los usuarios a sitios web maliciosos que alojan ransomware o desencadenan descargas automáticas de la carga útil del ransomware.
• Descargas no autorizadas: las descargas no autorizadas se producen cuando el ransomware se descarga automáticamente sin el consentimiento o la interacción del usuario, generalmente desde sitios web comprometidos. Estos sitios web contienen código malicioso que explota vulnerabilidades en el navegador web del usuario o complementos, lo que permite que el ransomware se entregue de forma silenciosa.