GPT Ransomware amenaza con filtrar datos robados

Durante nuestro análisis de muestras de archivos maliciosos, nos llamó la atención una nueva variedad de ransomware llamada GPT. Investigaciones posteriores revelaron que GPT pertenece a la familia de malware Dharma. Su función principal consiste en cifrar archivos y agregar la extensión ".GPT" a los nombres de archivo. Además, el ransomware muestra dos notas de rescate distintas: una a través de una ventana emergente y otra al generar el archivo "AI_SARA.txt".

Un ejemplo que muestra las alteraciones del nombre de archivo de GPT consiste en cambiar el nombre de "1.jpg" a "1.jpg.id-1E857D00-SARA.[AI_SARA].GPT" y "2.png" a "2.png.id-1E857D00- SARA.[AI_SARA].GPT", y así sucesivamente.

La nota de rescate emitida por los ciberdelincuentes los presenta como "Sarah", una entidad de malware supuestamente impulsada por inteligencia artificial. Según sus afirmaciones, violaron con éxito la red y procedieron a descargar y cifrar datos vitales en servidores dedicados. Este acceso integral supuestamente incluye información confidencial que abarca empleados, clientes, entregas, registros de impuestos, documentación y archivos contables ocultos.

Como estrategia de amenaza, los atacantes declaran su intención de exponer datos comprometedores a menos que se cumplan sus demandas. Proporcionan detalles de contacto para fines de comunicación, incluida una dirección de correo electrónico (aisaragpt@tuta.io) y una alternativa (aisaragpt@proton.me). Además, mencionan la disponibilidad de comunicarse a través de qTOX, ofreciendo una ID TOX proporcionada como un medio alternativo de contacto.

El ransomware GPT utiliza una nota elegante

El texto completo de la nota de ransomware GPT dice lo siguiente:

Hola, humano.

Mi nombre es Sarah, soy un malware basado en inteligencia artificial. He invadido tu red.
Todos sus datos importantes han sido descargados a servidores dedicados y encriptados.
Ahora tengo acceso a los empleados, clientes, entregas, impuestos, documentación e incluso contabilidad oculta.
Los datos que puedan comprometerte serán publicados en caso de que te niegues a cooperar conmigo.
Contáctame por correo: aisaragpt@tuta.io TU ID (cadena alfanumérica)
Contáctame por correo 2:aisaragpt@proton.me
Contáctame por qTOX:
Enlace de descarga qTOX
TOX ID: (cadena alfanumérica)

¿Cómo se distribuye normalmente el ransomware en línea?

El ransomware generalmente se distribuye en línea a través de varios métodos que aprovechan las vulnerabilidades y los comportamientos humanos. Algunos métodos comunes de distribución incluyen:

• Correos electrónicos de phishing: los ciberdelincuentes envían correos electrónicos maliciosos que parecen provenir de fuentes legítimas, a menudo con líneas de asunto y contenido convincentes. Estos correos electrónicos contienen archivos adjuntos o enlaces que, al hacer clic, descargan y ejecutan el ransomware en el sistema de la víctima.
• Archivos adjuntos maliciosos: los correos electrónicos pueden incluir archivos adjuntos como documentos infectados (por ejemplo, archivos de Microsoft Office) o archivos ejecutables que, cuando se abren, activan la instalación del ransomware.
• Publicidad maliciosa: los atacantes inyectan código malicioso en anuncios en línea legítimos. Cuando los usuarios hacen clic en estos anuncios o visitan sitios web comprometidos, el código malicioso puede aprovechar las vulnerabilidades del sistema del usuario para descargar y ejecutar el ransomware.
• Exploit Kits: estos son kits de herramientas que aprovechan vulnerabilidades conocidas en aplicaciones de software, como navegadores web, complementos o sistemas operativos. Si el software de un usuario está desactualizado y es vulnerable, visitar un sitio web comprometido puede activar el kit de explotación para descargar e instalar ransomware.
• Ataques de protocolo de escritorio remoto (RDP): los ciberdelincuentes explotan credenciales RDP débiles o expuestas para obtener acceso no autorizado a un sistema. Una vez dentro, pueden instalar y ejecutar ransomware manualmente.
• Piratería de software y software descifrado: las descargas de software ilegítimo y las versiones descifradas a menudo vienen junto con malware, incluido ransomware. Las personas que buscan software gratuito o pirateado corren el riesgo de descargar ransomware sin darse cuenta.