Meduza (MedusaLocker) ransomware

Meduza, que es un tipo de ransomware de la familia MedusaLocker, fue identificado durante nuestro análisis de muestras de malware. Su función principal es cifrar archivos y agrega una extensión específica (como ".meduza24") a los nombres de archivos y al mismo tiempo genera una nota de rescate llamada "How_to_back_files.html".

Para ilustrar, cuando Meduza cifra archivos, les cambia el nombre de la siguiente manera: "1.jpg" se convierte en "1.jpg.meduza24", "2.png" cambia a "2.png.meduza24", y así sucesivamente.

La nota de rescate informa a la víctima que sus archivos cruciales han sido cifrados utilizando métodos de cifrado RSA y AES. Desaconseja encarecidamente cualquier intento de recuperar estos archivos utilizando software de terceros, ya que esto podría provocar una corrupción permanente. También se desaconseja modificar o cambiar el nombre de los archivos cifrados.

Según la nota de rescate, ningún software disponible en línea puede ayudar a descifrar y la única solución está en manos de los atacantes. Afirman haber recopilado datos personales y altamente confidenciales, almacenados en un servidor privado, que serán eliminados al recibir el pago. La falta de pago daría lugar a que los datos se hicieran públicos o se vendieran.

La nota enfatiza que los atacantes están motivados únicamente por ganancias financieras y no tienen intención de dañar la reputación ni las operaciones comerciales del destinatario. Para demostrar su capacidad para descifrar archivos, ofrecen descifrar 2 o 3 archivos menos importantes de forma gratuita previa solicitud.

La información de contacto para negociar el rescate y obtener el software de descifrado se proporciona a través de dos direcciones de correo electrónico (ithelp01@securitymy.name y ithelp01@yousheltered.com). La nota también recomienda crear una nueva cuenta de correo electrónico gratuita en protonmail.com para establecer contacto.

Pasado el plazo de 72 horas, el monto del rescate aumenta si la víctima no logra comunicarse con los atacantes. Además, hay una referencia a Tor-chat para una comunicación continua.

Nota de rescate de Meduza en su totalidad

El texto completo de la nota de rescate de Meduza dice lo siguiente:

SU IDENTIFICACIÓN PERSONAL:

LA RED DE TU EMPRESA HA SIDO PENETRADA
¡Todos tus archivos importantes han sido cifrados!

¡Tus archivos están seguros! Sólo modificado. (RSA+AES)

CUALQUIER INTENTO DE RESTAURAR SUS ARCHIVOS CON SOFTWARE DE TERCEROS
LO CORRUMPIRÁ PERMANENTEMENTE.
NO MODIFICAR ARCHIVOS CIFRADOS.
NO CAMBIAR EL NOMBRE DE LOS ARCHIVOS CIFRADOS.

Ningún software disponible en Internet puede ayudarle. Somos los únicos capaces de
resuelve tu problema.

Recopilamos datos personales/altamente confidenciales. Estos datos están actualmente almacenados en
un servidor privado. Este servidor será destruido inmediatamente después de su pago.
Si decide no pagar, divulgaremos sus datos al público o al revendedor.
Por lo tanto, puede esperar que sus datos estén disponibles públicamente en un futuro próximo.

Sólo buscamos dinero y nuestro objetivo no es dañar su reputación ni impedir
su negocio deje de funcionar.

Podrás enviarnos 2 o 3 archivos no importantes y los descifraremos gratis
para demostrar que podemos devolverle sus archivos.

Contáctenos para conocer el precio y obtener software de descifrado.

correo electrónico:
ithelp01@seguridadmi.nombre
ithelp01@yousheltered.com
Para contactarnos, cree una nueva cuenta de correo electrónico gratuita en el sitio: protonmail.com
SI NO SE CONTACTA CON NOSOTROS DENTRO DE LAS 72 HORAS, EL PRECIO SERÁ MÁS ALTO.

Tor-chat para estar siempre en contacto:

¿Cómo puede el ransomware infectar su computadora?

El ransomware puede infectar su computadora a través de varios métodos y, a menudo, se basa en tácticas de ingeniería social para engañar a los usuarios para que inicien la infección. Estas son algunas formas comunes en las que el ransomware puede infectar su computadora:

• Archivos adjuntos de correo electrónico maliciosos: uno de los métodos más comunes es a través de correos electrónicos de phishing. Los atacantes envían correos electrónicos que parecen legítimos y pueden contener archivos adjuntos, como archivos PDF o documentos de Office, con código malicioso incrustado. Cuando abre el archivo adjunto, se ejecuta el ransomware.
• Enlaces maliciosos: los correos electrónicos de phishing también pueden incluir enlaces a sitios web maliciosos. Al hacer clic en estos enlaces se pueden realizar descargas no autorizadas, en las que el ransomware se descarga y ejecuta automáticamente sin su conocimiento.
• Actualizaciones de software falsas: los atacantes pueden crear notificaciones de actualizaciones de software falsas o ventanas emergentes que imitan actualizaciones legítimas para su sistema operativo o software. Si descarga e instala estas actualizaciones falsas, podría instalar ransomware sin saberlo.
• Software infectado: a veces, los atacantes comprometen instaladores de software legítimos y les inyectan ransomware. Cuando descarga e instala lo que parece ser un programa seguro, sin darse cuenta instala ransomware.
• Publicidad maliciosa: la publicidad maliciosa, o publicidad maliciosa, implica que los ciberdelincuentes coloquen anuncios infectados en sitios web legítimos. Al hacer clic en estos anuncios, puede redirigirse a sitios web que distribuyen ransomware.
• Ataques de protocolo de escritorio remoto (RDP): si su RDP no está protegido adecuadamente, los atacantes pueden aprovechar las vulnerabilidades para obtener acceso remoto a su computadora. Una vez dentro, pueden instalar ransomware.
• Explotación de vulnerabilidades: el ransomware puede explotar vulnerabilidades de software en su sistema operativo o aplicaciones. Mantener su software actualizado con los últimos parches de seguridad ayuda a protegerse contra este método.
• Ingeniería social: los atacantes pueden hacerse pasar por entidades confiables, como soporte técnico o colegas, para engañarlo para que descargue y ejecute archivos que contienen ransomware.