SWIFT Ransomware bloquea los sistemas infectados

Mientras analizamos nuevas muestras de malware, identificamos una variante de ransomware asociada con la familia Proton, llamada SWIFT. Al infiltrarse en una computadora, SWIFT cifra y altera los nombres de los archivos, cambia el fondo del escritorio y genera una nota de rescate titulada "#SWIFT-Help.txt".

Para modificar los nombres de los archivos, SWIFT agrega la dirección de correo electrónico swift_1@tutamail.com y agrega la extensión ".SWIFT". Por ejemplo, transforma "1.jpg" en "1.jpg.[swift_1@tutamail.com].SWIFT" y "2.png" se convierte en "2.png.[swift_1@tutamail.com].SWIFT". Etcétera.

La nota de rescate comienza con una descripción de la situación, afirmando que los atacantes han utilizado algoritmos AES y ECC para cifrar y confiscar todos los archivos de la víctima, haciendo imposible la recuperación de archivos sin su servicio de descifrado.

Posteriormente, la nota describe los pasos de recuperación, enfatizando los motivos financieros de los ciberdelincuentes y proponiendo el intercambio de pago por software de descifrado y destrucción de datos. Para demostrar su capacidad, el grupo recomienda enviar un archivo intrascendente de menos de 1 MB para descifrarlo como prueba de su compromiso de cumplir sus promesas.

Se proporcionan datos de contacto, como la dirección de correo electrónico (swift_1@tutamail.com) y el ID de Telegram (@swift_support), y se sugiere una dirección de correo electrónico alternativa (swift@onionmail.com) si no hay respuesta dentro de las 24 horas. Se indica a la víctima que incluya su identificación personal en el asunto del correo electrónico.

En conclusión, la nota desaconseja buscar ayuda de empresas de recuperación, advirtiendo sobre una posible explotación por parte de intermediarios con fines de lucro. Además, se advierte a la víctima que no retrase el pago y que se abstenga de eliminar o alterar archivos cifrados para evitar complicaciones con el proceso de descifrado.

Nota de rescate SWIFT completa

El texto completo de la nota de rescate de SWIFT es el siguiente:

SWIFT
What happened?
We encrypted and stolen all of your files.
We use AES and ECC algorithms.
Nobody can recover your files without our decryption service.

How to recover?
We are not a politically motivated group and we want nothing more than money.
If you pay, we will provide you with decryption software and destroy the stolen data.

¿Qué garantías?
Puedes enviarnos un archivo sin importancia de menos de 1 MG, lo desciframos como garantía.
Si no le enviamos el software de descifrado o eliminamos los datos robados, nadie nos pagará en el futuro, por lo que cumpliremos nuestra promesa.

¿Cómo contactarnos?
Nuestra dirección de correo electrónico: swift_1@tutamail.com
Nuestro ID de Telegram: @swift_support
En caso de no recibir respuesta dentro de las 24 horas, comuníquese a este correo electrónico: swift@onionmail.com
Escribe tu DNI personal en el asunto del correo electrónico.

Su identificación personal: -

¡Advertencias!

No acuda a empresas de recuperación, son sólo intermediarios que ganarán dinero con usted y le engañarán.
Negocian en secreto con nosotros, compran software de descifrado y se lo venderán mucho más caro o simplemente lo estafarán.

No lo dudes por mucho tiempo. Cuanto más rápido pague, menor será el precio.

No elimine ni modifique archivos cifrados, ya que provocará problemas con el descifrado de archivos.

¿Cómo puede proteger sus datos del ransomware?

Proteger sus datos del ransomware requiere un enfoque proactivo y de múltiples capas. A continuación se detallan algunos pasos clave que puede seguir para proteger sus datos de ataques de ransomware:

Copia de seguridad periódicamente:
Haga copias de seguridad de sus datos importantes con regularidad y asegúrese de que las copias de seguridad se almacenen fuera de línea o en una ubicación separada y segura. Esto puede ayudarle a restaurar sus archivos si están cifrados por ransomware.

Utilice software de seguridad confiable:
Instale y actualice periódicamente software antivirus y antimalware de buena reputación. Este software puede detectar y bloquear amenazas conocidas de ransomware.

Mantenga el software actualizado:
Actualice periódicamente su sistema operativo, software y aplicaciones. Las actualizaciones de software suelen incluir parches de seguridad que pueden ayudar a proteger contra las vulnerabilidades explotadas por el ransomware.

Educar y capacitar a los empleados:
Capacite a los empleados sobre las mejores prácticas de seguridad, incluido cómo reconocer correos electrónicos de phishing y enlaces sospechosos. El error humano es un punto de entrada común para los ataques de ransomware.

Utilice medidas de seguridad del correo electrónico:
Implemente soluciones de filtrado de correo electrónico para bloquear correos electrónicos de phishing y archivos adjuntos maliciosos. Tenga cuidado al hacer clic en enlaces o descargar archivos adjuntos de fuentes desconocidas o inesperadas.

Limitar los privilegios del usuario:
Restringir el acceso de los usuarios al nivel mínimo necesario para sus funciones laborales. Esto puede ayudar a limitar el impacto de un ataque de ransomware al reducir la cantidad de archivos a los que pueden acceder posibles amenazas.

Segmentación de la red:
Segmente su red para aislar sistemas críticos y datos confidenciales. Esto puede evitar la rápida propagación del ransomware por toda su red.