Saba Ransomware es un nuevo clon de Djvu

Durante nuestro examen de muestras de malware, nos encontramos con Saba, que es una variante de ransomware que pertenece a la familia de ransomware Djvu. Saba cifra los archivos y modifica sus nombres de archivo agregando la extensión ".saba". También genera una nota de rescate en forma de archivo de texto llamado "_readme.txt".

Por ejemplo, Saba cambia el nombre de archivo de "1.jpg" a "1.jpg.saba" y "2.png" a "2.png.saba", entre otros. Vale la pena señalar que las variantes del ransomware Djvu se distribuyen con frecuencia junto con ladrones de información como Vidar y RedLine.

La nota de rescate creada por Saba proporciona dos direcciones de correo electrónico (support@freshmail.top y datarestorehelp@airmail.cc), indicando a las víctimas que se comuniquen con los atacantes dentro de las 72 horas para evitar un aumento en el pago del rescate. El monto del pago inicial es de $490, pero si no se actúa dentro del límite de tiempo especificado, se incrementará el pago de $980 por las herramientas de descifrado.

Además, la nota de rescate enfatiza que es imposible recuperar archivos cifrados sin comprar el software de descifrado y una clave única de los atacantes. La nota también menciona una oferta de descifrado gratuito para un solo archivo, pero el archivo no puede contener información importante.

Nota de rescate de Saba pide $ 480 en rescate inicial

La nota de rescate completa de Saba sigue la plantilla habitual de Djvu, pide $ 480 en rescate y amenaza con duplicar esa cantidad en tres días. La nota completa dice así:

¡ATENCIÓN!

¡No te preocupes, puedes devolver todos tus archivos!
Todos sus archivos como imágenes, bases de datos, documentos y otros importantes están encriptados con el cifrado más fuerte y una clave única.
El único método para recuperar archivos es comprar una herramienta de descifrado y una clave única para usted.
Este software descifrará todos sus archivos cifrados.
¿Qué garantías tienes?
Puede enviar uno de sus archivos cifrados desde su PC y lo descifraremos de forma gratuita.
Pero podemos descifrar solo 1 archivo de forma gratuita. El archivo no debe contener información valiosa.
Puede obtener y ver la herramienta de descifrado de descripción general de video:
hxxps://we.tl/t-iN0WoEcmv0
El precio de la clave privada y el software de descifrado es de $980.
Descuento del 50% disponible si nos contacta las primeras 72 horas, ese precio para usted es de $490.
Tenga en cuenta que nunca restaurará sus datos sin pagar.
Revisa la carpeta de correo "Spam" o "Basura" si no recibes respuesta en más de 6 horas.

Para obtener este software, debe escribir en nuestro correo electrónico:
support@freshmail.arriba

Reservar dirección de correo electrónico para contactar con nosotros:
datarestorehelp@airmail.cc

Su identificación personal:

¿Cómo distribuyen normalmente los actores de amenazas el ransomware como Saba?

Los actores de amenazas generalmente distribuyen ransomware como Saba a través de varios métodos, que incluyen:

• Archivos adjuntos de correo electrónico maliciosos: el ransomware se puede propagar a través de archivos adjuntos de correo electrónico, especialmente aquellos de fuentes desconocidas o sospechosas. Estos archivos adjuntos pueden contener un archivo ejecutable disfrazado o una macro maliciosa que, cuando se abre, desencadena la infección de ransomware.
• Publicidad maliciosa: los atacantes pueden usar anuncios maliciosos, a menudo en sitios web de alto tráfico, para distribuir ransomware. Estos anuncios pueden parecer legítimos pero, cuando se hace clic en ellos, redirigen a los usuarios a un sitio que descarga el ransomware en su sistema.
• Explotación de vulnerabilidades de software: los atacantes pueden explotar vulnerabilidades de software conocidas para entregar ransomware a sistemas que no han instalado los últimos parches y actualizaciones de seguridad.
• Ingeniería social: los atacantes pueden usar varias tácticas de ingeniería social para engañar a los usuarios para que descarguen e instalen ransomware. Por ejemplo, los atacantes pueden crear actualizaciones de software falsas o alertas de antivirus que, al hacer clic, descargan ransomware en el sistema.
• Software pirateado: el software pirateado a menudo se incluye con malware, incluido el ransomware. La descarga e instalación de dicho software de fuentes no confiables puede provocar una infección de ransomware.

Es fundamental estar atento y ser cauteloso al descargar o abrir archivos adjuntos, hacer clic en enlaces o descargar software. Mantener actualizado el software antivirus, instalar parches y actualizaciones de seguridad y crear copias de seguridad periódicas de los archivos importantes también puede ayudar a protegerse contra ransomware como Saba.