Todo el ransomware amenaza con la fuga de datos

Durante nuestra investigación de muestras de malware recién enviadas, nuestros investigadores encontraron un programa de ransomware llamado "Whole". Hemos determinado que se deriva del ransomware Keylock. Este software malicioso cifra datos y exige rescates a cambio de descifrarlos.

En nuestras pruebas, el ransomware "Whole" cifró archivos y agregó una extensión ".whole" a sus nombres de archivo. Por ejemplo, un archivo originalmente llamado "1.jpg" se mostraría como "1.jpg.whole" y "2.png" como "2.png.whole".

Una vez finalizado el proceso de cifrado, se cambió el fondo de pantalla del escritorio y se generó una nota de rescate titulada "README-ID-[victim's_ID].txt". Del contenido de esta nota se desprende claramente que este ransomware se dirige principalmente a empresas y no a usuarios individuales.

El mensaje que se muestra en el fondo de escritorio "Completo" indica a la víctima que lea el archivo de texto asociado ("README-ID-[victim's_ID].txt"). Esta nota de rescate explica que los archivos de la víctima han sido cifrados y les asegura que su clave de descifrado única está almacenada de forma segura en los servidores de los atacantes.

La recuperación se puede probar sin costo alguno enviando algunos archivos cifrados a los ciberdelincuentes (dentro de ciertas pautas). Si la víctima no intenta comunicarse con los atacantes dentro de los 3 días, sus datos comerciales confidenciales pueden quedar expuestos o vendidos.

El mensaje también incluye advertencias, informando a la víctima que cambiar el nombre o alterar los archivos afectados, así como el uso de herramientas de recuperación de terceros o software antivirus, pueden hacer que los datos sean irrecuperables.

Whole Ransomware lanza una larga nota

El texto completo de la nota de rescate completa dice lo siguiente:

TUS ARCHIVOS ESTÁN ENCRIPTADOS

¡Sus archivos han sido cifrados con potentes algoritmos de cifrado y modificados!
No se preocupe, su clave de cifrado única se almacena de forma segura en nuestro servidor y sus datos se pueden descifrar de forma rápida y segura.

Podemos demostrar que podemos descifrar todos sus datos. Por favor, envíenos 3 archivos cifrados pequeños (~2 MB) no importantes, que se almacenan aleatoriamente en su servidor. Adjunte también este archivo README-ID-.txt que dejamos en cada carpeta.
Descifraremos estos archivos y se los enviaremos como prueba. Tenga en cuenta que los archivos para el descifrado de prueba gratuito no deben contener información valiosa.

Si no inicia un diálogo con nosotros en 72 horas, nos veremos obligados a publicar sus archivos en el dominio público. Sus clientes y socios serán informados sobre la filtración de datos.
De esta manera, tu reputación quedará arruinada. Si no reacciona, nos veremos obligados a vender la información más importante, como bases de datos y datos personales, a las partes interesadas para generar algún beneficio.

Si desea resolver esta situación, adjunte en carta este archivo README-ID-.txt y escriba a TODAS estas 2 direcciones de correo electrónico:

pmmx@techmail.info
enterokey@mailfence.com

¡IMPORTANTE!
Le recomendamos que se comunique con nosotros directamente para evitar pagar de más a los agentes.
Le solicitamos que envíe su mensaje a TODAS nuestras 2 direcciones de correo electrónico porque, por diversos motivos, es posible que su correo electrónico no se entregue.
Nuestro mensaje puede ser reconocido como spam, así que asegúrese de revisar la carpeta de spam.
Si no le respondemos dentro de las 24 horas, escríbanos desde otra dirección de correo electrónico.
Por favor, no pierda el tiempo, solo resultará en daños adicionales para su empresa.
No cambie el nombre ni intente descifrar los archivos usted mismo. No podremos ayudarle si se modifican los archivos.
Si intenta utilizar algún software de terceros para restaurar sus datos o soluciones antivirus, haga una copia de seguridad de todos los archivos cifrados.
Si elimina algún archivo cifrado de la computadora actual, es posible que no pueda descifrarlo.

¿Cómo puede introducirse el ransomware en su sistema?

El ransomware puede infiltrarse en su sistema a través de varios medios, y comprender estos puntos de entrada es crucial para proteger su sistema contra dichos ataques. A continuación se detallan formas comunes en las que el ransomware puede ingresar a su sistema:

• Archivos adjuntos de correo electrónico: los correos electrónicos de phishing son un método frecuente de distribución de ransomware. Los ciberdelincuentes envían correos electrónicos aparentemente legítimos con archivos adjuntos infectados (por ejemplo, archivos PDF, documentos de Word o archivos ZIP) o enlaces a sitios web maliciosos. Cuando los usuarios abren estos archivos adjuntos o hacen clic en los enlaces, el ransomware se descarga y ejecuta en sus sistemas.
• Enlaces maliciosos: el ransomware también se puede distribuir a través de enlaces engañosos o maliciosos en correos electrónicos, mensajes instantáneos o sitios web. Al hacer clic en estos enlaces se puede descargar y ejecutar ransomware.
• Publicidad maliciosa: los ciberdelincuentes pueden utilizar anuncios maliciosos (publicidad maliciosa) en sitios web legítimos para distribuir ransomware. Simplemente visitar un sitio web comprometido con estos anuncios puede desencadenar una descarga automática del malware.
• Explotación de vulnerabilidades: los autores de ransomware pueden explotar vulnerabilidades de software en su sistema operativo o aplicaciones. Si su sistema no está actualizado con parches de seguridad, puede ser vulnerable a ataques basados en exploits.
• Descargas no autorizadas: el ransomware se puede entregar a través de "descargas no autorizadas", donde los usuarios, sin saberlo, descargan código malicioso mientras visitan sitios web comprometidos o maliciosos. Estas descargas pueden ocurrir sin ninguna interacción o consentimiento del usuario.
• Ataques de protocolo de escritorio remoto (RDP): los atacantes pueden aprovechar las credenciales RDP débiles o predeterminadas para obtener acceso a sistemas remotos. Una vez dentro, pueden instalar ransomware y cifrar archivos.
• Descargas de software: la descarga de software o archivos de fuentes pirateadas o que no son de confianza puede exponer su sistema al ransomware. El software ilegítimo o las versiones descifradas a menudo vienen con cargas útiles de malware ocultas.