XCor Ransomware bloquea los sistemas de las víctimas

xCor es una forma de ransomware creado con la intención de encriptar archivos, alterar sus nombres agregando la identificación de la víctima, la dirección de correo electrónico xcorp@decoymail.mx y agregando la extensión ".xCor". Este software malicioso presenta dos notas de rescate, una en forma de ventana emergente y la otra como un archivo "info.txt". Nuestro equipo se encontró con xCor durante nuestra investigación de muestras de malware.

Además, nuestros hallazgos revelaron que xCor está asociado con la familia de ransomware Dharma. Para ilustrar cómo este ransomware manipula los nombres de archivo, toma un archivo como "1.jpg" y lo transforma en "1.jpg.id-1E857D00.[xcorp@decoymail.mx].xCor", alterando de manera similar otros archivos como "2 .png" a "2.png.id-1E857D00.[xcorp@decoymail.mx].xCor", y así sucesivamente.

La nota de rescate notifica a las víctimas que todos sus archivos han sido encriptados. Sin embargo, también ofrece la seguridad de que los archivos se pueden restaurar. Las víctimas reciben instrucciones para comunicarse con los atacantes por correo electrónico, ya sea a través de xcorp@decoymail.mx o susurro@mailfence.com.

Además, la nota establece que los atacantes brindan una garantía de descifrado gratuito para hasta tres archivos, lo que sirve como demostración de su habilidad. Se imponen ciertas limitaciones a los archivos aptos para el descifrado, incluidas restricciones de tamaño (menos de 3 Mb) y restricciones de contenido (como la exclusión de información valiosa como bases de datos o copias de seguridad).

Por último, las víctimas reciben dos advertencias. En primer lugar, se les recomienda encarecidamente que no cambien el nombre de los archivos cifrados. En segundo lugar, se desaconseja que intenten descifrar los datos utilizando software de terceros, ya que hacerlo puede provocar la pérdida permanente de datos.

Nota de rescate de xCor presentada en dos formatos

La versión más larga de la nota de rescate de xCor dice lo siguiente:

¡Todos sus archivos han sido encriptados!
¡No te preocupes, puedes devolver todos tus archivos!
Si desea restaurarlos escriba al correo: xcorp@decoymail.mx SU ID 1E857D00
Si no ha respondido por correo dentro de las 12 horas, escríbanos por otro correo: susurro@mailfence.com
Descifrado gratuito como garantía
Antes de pagar, puede enviarnos hasta 3 archivos para descifrarlos de forma gratuita. El tamaño total de los archivos debe ser inferior a 3 Mb (no archivados) y los archivos no deben contener información valiosa. (bases de datos, copias de seguridad, hojas de Excel grandes, etc.)
Cómo obtener Bitcoins
La forma más fácil de comprar bitcoins es el sitio LocalBitcoins. Debe registrarse, hacer clic en 'Comprar bitcoins' y seleccionar el vendedor por método de pago y precio.
hxxps://localbitcoins.com/buy_bitcoins
También puede encontrar otros lugares para comprar Bitcoins y una guía para principiantes aquí:
hxxp://www.coindesk.com/information/how-can-i-buy-bitcoins/
¡Atención!
No cambie el nombre de los archivos cifrados.
No intente descifrar sus datos con software de terceros, puede causar la pérdida permanente de datos.
El descifrado de sus archivos con la ayuda de terceros puede aumentar el precio (agregan su tarifa a la nuestra) o puede convertirse en víctima de una estafa.

¿Cómo puede ransomware como xCor infectar su computadora?

xCor y ransomware similares pueden infectar su computadora a través de varios medios. Aquí hay algunos métodos comunes utilizados por el ransomware para infiltrarse en los sistemas:

• Archivos adjuntos de correo electrónico: una forma común en que el ransomware se propaga es a través de archivos adjuntos de correo electrónico maliciosos. Los ciberdelincuentes a menudo envían correos electrónicos que parecen legítimos y convincentes y que contienen archivos adjuntos infectados, como archivos PDF, documentos de Word o archivos ejecutables. Si, sin saberlo, descarga y abre dichos archivos adjuntos, el ransomware puede activarse y comenzar a cifrar sus archivos.
• Correos electrónicos y sitios web de phishing: el ransomware también se puede distribuir a través de correos electrónicos de phishing o sitios web falsos. Los correos electrónicos de phishing están diseñados para engañar a los destinatarios para que hagan clic en enlaces maliciosos o descarguen archivos infectados. Del mismo modo, los sitios web falsos pueden solicitarle que descargue actualizaciones de software o ingrese información personal, pero en su lugar, envían ransomware a su sistema.
• Kits de explotación: el ransomware puede explotar vulnerabilidades en software, sistemas operativos o navegadores web obsoletos. Los kits de explotación son herramientas maliciosas que escanean las computadoras en busca de debilidades de seguridad y entregan cargas útiles de ransomware para explotar esas vulnerabilidades. Es crucial actualizar regularmente su software y usar parches de seguridad confiables para minimizar el riesgo de explotación.
• Malvertising: La publicidad maliciosa, o malvertising, implica la inyección de código malicioso en anuncios o sitios web legítimos en línea. Simplemente visitando un sitio web comprometido o haciendo clic en un anuncio infectado, el ransomware puede descargarse inadvertidamente en su computadora sin su conocimiento.
• Ataques de protocolo de escritorio remoto (RDP): los atacantes de ransomware a veces se dirigen a computadoras con el protocolo de escritorio remoto expuesto. Si explotan con éxito credenciales de inicio de sesión débiles o fáciles de adivinar, obtienen acceso no autorizado al sistema e implementan ransomware.
• Descargas ocultas: las descargas ocultas se producen cuando se visitan sitios web comprometidos que tienen un código malicioso oculto. Simplemente visitar estos sitios web puede desencadenar la descarga e instalación automática de ransomware en su computadora.