FBIRAS Ransomware intenta viejos trucos de ingeniería social
Nuestro equipo de investigación descubrió el ransomware FBIRAS durante nuestro análisis de nuevas muestras de malware. Este malware cifra datos y exige el pago de un rescate por descifrarlos.
Durante nuestras pruebas, observamos que el ransomware cifraba archivos y añadía una extensión ".FBIRAS" a sus nombres de archivo. Por ejemplo, un archivo originalmente llamado "1.jpg" aparecería como "1.jpg.FBIRAS" y, a veces, la extensión se duplicaba, lo que daba como resultado nombres de archivo como "1.jpg.FBIRAS.FBIRAS".
Una vez que finaliza el cifrado, se genera una nota de rescate llamada "Readme.txt". En esta nota, los perpetradores se identifican falsamente como "agentes de la ley" e intentan engañar a las víctimas haciéndoles creer que la infección es consecuencia de violaciones de la ley cibernética.
La nota de rescate se dirigía a la víctima como un "contribuyente" y explicaba que sus archivos estaban cifrados debido a supuestas infracciones de la ley cibernética. Las víctimas reciben instrucciones de ponerse en contacto con los ciberdelincuentes, haciéndose pasar por "agentes de la ley", y pagar una "multa" a cambio de restablecer el acceso a sus archivos. Negarse a cumplir con las demandas resulta en mayores multas y pérdida permanente de datos. La nota también advierte contra la manipulación de los archivos o el intento de eliminar el ransomware, ya que haría que los datos fueran irrecuperables.
Cabe destacar que este ataque de ransomware obviamente no tiene afiliación con agencias legítimas encargadas de hacer cumplir la ley.
La nota de rescate del FBIRAS es un débil intento de parecer legítimo
El texto completo de la nota de rescate del FBIRAS es el siguiente:
Attention Tax payer:
All Your files have been locked with ransomware by law enforcement for violating cyber laws. All of your important documents, photos, and videos have been encrypted and cannot be accessed without a decryption key. This is a serious offense and you must pay a fine to unlock your files.
To unlock your files, follow these instructions:
- Contact us on telegram = @Lawinfo19
- We will tell about you problem
- You need us to pay a amount for your criminal activity
- Use the decryption key to unlock your files.
If you fail to comply with these instructions, the fine will increase and your files will be permanently deleted.
Do not attempt to remove the ransomware or tamper with your files. Any attempts to do so will result in the permanent loss of your data.
We understand the inconvenience this may cause, but it is necessary to ensure that cyber laws are not violated. We apologize for any inconvenience and hope to resolve this matter as soon as possible.
Sincerely,
Law Enforcement
¿Cómo puede entrar el ransomware en su sistema?
El ransomware puede infiltrarse en un sistema a través de varios medios, que incluyen:
Correos electrónicos de phishing: los ciberdelincuentes suelen distribuir ransomware a través de correos electrónicos de phishing que contienen archivos adjuntos o enlaces maliciosos. Estos correos electrónicos pueden parecer legítimos e incitar a los destinatarios a abrir archivos adjuntos o hacer clic en enlaces, que luego descargan y ejecutan el ransomware en el sistema.
Sitios web maliciosos: visitar sitios web comprometidos o maliciosos puede exponer a los usuarios al ransomware. Estos sitios pueden contener kits de explotación que descargan e instalan automáticamente ransomware en los sistemas de los visitantes a través de vulnerabilidades en sus navegadores web o complementos.
Publicidad maliciosa: los ciberdelincuentes pueden inyectar código malicioso en anuncios en línea (publicidad maliciosa) que, al hacer clic en ellos, redirigen a los usuarios a sitios web que albergan ransomware o inician descargas automáticas en los sistemas de los usuarios.
Descargas no autorizadas: el ransomware también se puede distribuir mediante descargas no autorizadas, donde el malware se descarga e instala automáticamente en el sistema de un usuario sin su consentimiento o conocimiento cuando visita sitios web comprometidos.
Software sin parches: explotar las vulnerabilidades en software desactualizado o sin parches es un método común para que los atacantes entreguen ransomware. Aprovechan debilidades conocidas en los sistemas operativos, aplicaciones o complementos para obtener acceso a los sistemas y ejecutar ransomware.
Redes de intercambio de archivos: el ransomware puede propagarse a través de redes de intercambio de archivos peer-to-peer (P2P), donde los usuarios, sin saberlo, descargan archivos infectados o paquetes de software que contienen ransomware.
