Tutu Ransomware cifra la mayoría de los archivos

Tutu, un ransomware asociado con la familia Dharma, tiene como objetivo bloquear el acceso de las víctimas a sus archivos mediante cifrado. Este malware emplea un patrón de nomenclatura específico para los archivos y presenta una ventana emergente junto con la creación de un archivo "README!.txt" que contiene un mensaje de rescate.

El ransomware altera los nombres de los archivos agregando el ID de la víctima, la dirección de correo electrónico "tutu@download_file" y la extensión ".tutu". Por ejemplo, transforma "1.jpg" en "1.jpg.id-9ECFA84E.[tutu@download_file].tutu" y "2.png" en "2.png.id-9ECFA84E.[tutu@download_file] .tutú."

La nota de rescate afirma que los atacantes descargaron y cifraron todas las bases de datos y datos personales, amenazando con publicar y vender la información en la red oscura y plataformas de piratas informáticos. Si la víctima no responde en un solo día, los datos se ofrecen a los competidores. El correo electrónico de contacto designado es tutu@onionmail.org, lo que enfatiza la necesidad de una respuesta rápida.

Para garantizar la divulgación de los datos, el rescate exige el pago. Asegura que tras el pago, los datos serán descifrados. La nota advierte explícitamente contra el uso de software de descifrado de terceros, afirmando que sólo los atacantes poseen las claves de descifrado necesarias. Para brindar algún tipo de seguridad, los atacantes ofrecen una prueba gratuita de la clave de descifrado en un solo archivo.

Nota de rescate de Tutu en su totalidad

El texto completo de la nota de rescate de Tutu dice lo siguiente:

We downloaded to our servers and encrypted all your databases and personal information!
If you do not write to us within 24 hours, we will start publishing and selling your data on the darknet on hacker sites and offer the information to your competitors
email us: tutu@onionmail.org YOUR ID -
If you haven't heard back within 24 hours, write to this email:tutu@onionmail.org
IMPORTANT INFORMATION!
Keep in mind that once your data appears on our leak site,it could be bought by your competitors at any second, so don't hesitate for a long time.The sooner you pay the ransom, the sooner your company will be safe.
Guarantee:If we don't provide you with a decryptor or delete your data after you pay,no one will pay us in the future. We value our reputation.
Guarantee key:To prove that the decryption key exists, we can test the file (not the database and backup) for free.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Don't go to recovery companies - they are essentially just middlemen.Decryption of your files with the help of third parties may cause increased price (they add their fee to our) we're the only ones who have the decryption keys.

¿Cómo puede un ransomware similar a Tutu infectar su sistema?

El ransomware, incluidas variantes similares a Tutu, puede infectar un sistema mediante varios métodos. A continuación se detallan formas comunes en que dicho ransomware puede infiltrarse en su sistema:

Correos electrónicos de phishing: los ciberdelincuentes suelen utilizar correos electrónicos de phishing para distribuir ransomware. Pueden enviar correos electrónicos aparentemente legítimos que contengan archivos adjuntos o enlaces maliciosos. Una vez que el usuario abre el archivo adjunto o hace clic en el enlace, el ransomware se descarga y ejecuta en el sistema.

Sitios web maliciosos: visitar sitios web comprometidos o maliciosos puede exponer su sistema al ransomware. Es posible que se produzcan descargas no autorizadas o explotación de vulnerabilidades en navegadores y complementos cuando acceda a dichos sitios web, lo que provocará la instalación de ransomware.

Explotación de vulnerabilidades de software: el ransomware puede aprovechar las vulnerabilidades de seguridad en su sistema operativo, software o aplicaciones. No actualizar y parchear periódicamente estos componentes puede dejar su sistema susceptible a la explotación.

Publicidad maliciosa: los ciberdelincuentes pueden utilizar anuncios maliciosos (publicidad maliciosa) en sitios web legítimos para distribuir ransomware. Hacer clic en estos anuncios puede desencadenar la descarga e instalación de ransomware en su sistema.

Ataques del protocolo de escritorio remoto (RDP): si su conexión de escritorio remoto no está adecuadamente protegida, los atacantes pueden explotar contraseñas débiles o vulnerabilidades en RDP para obtener acceso no autorizado a su sistema e implementar ransomware.

Dispositivos externos infectados: el ransomware puede propagarse a través de dispositivos externos infectados, como unidades USB o discos duros externos. Conectar un dispositivo infectado a su sistema puede provocar que el ransomware se propague por sus archivos.