Xrp Ransomware cifra las unidades de las víctimas

Al examinar nuevas muestras de malware, encontramos una variante de ransomware conocida como Xrp, afiliada a la familia GlobeImposter. El objetivo principal de Xrp es cifrar archivos, agregando una dirección de correo electrónico y la extensión ".xrp" a los nombres de archivos. Además, incluye una nota de rescate ("Read_For_Restore_File.html").

Por ejemplo, Xrp altera nombres de archivos como "1.jpg" a "1.jpg.[a.wyper@bejants.com].xrp" y "2.png" a "2.png.[a.wyper@bejants. com].xrp", y así sucesivamente.

La nota de rescate informa a las víctimas que sus archivos se han cifrado utilizando un algoritmo robusto RSA-2048. Afirma que la restauración de archivos es imposible sin una clave secreta en poder de los atacantes.

Para recuperar sus datos, las víctimas deben crear una cuenta de correo electrónico con protonmail.com o cock.li. La nota advierte contra el uso de una dirección de correo electrónico estándar, ya que puede estar bloqueada. Posteriormente, se indica a las víctimas que envíen un correo electrónico desde la dirección recién establecida a a.wyper@bejants.com, incluida su identificación.

Los atacantes se comprometen a responder con más instrucciones sobre cómo descifrar los archivos. Si no hay respuesta dentro de las 48 horas, se proporciona una dirección de correo electrónico alternativa, a.wyper@worldtravelnotebook.com.

La nota de rescate Xrp les dice a las víctimas que creen una nueva dirección de correo electrónico

El texto completo de la nota de rescate de Xrp dice lo siguiente:

YOUR FILES ARE ENCRYPTED!
Your documents, photos, databases and all the rest files encrypted cryptographically strong algoritm RSA-2048.
Without a secret key stored with us, the restoration of your files is impossible

To start the recovery process:
Register email box to protonmail.com or cock.li (do not waste time sending letters from your standard email address, they will all be blocked).
Send a email from your new email address to: a.wyper@bejants.com with your personal ID.
In response, we will send you further instructions on decrypting your files.

Su identificación personal:

PD
Le conviene responder lo antes posible para garantizar la recuperación de sus archivos, ya que no almacenaremos sus claves de descifrado en nuestro servidor durante mucho tiempo.
Revise la carpeta "Spam" cuando espere un correo electrónico nuestro.
Si no respondemos a su mensaje durante más de 48 horas, escriba al correo electrónico de respaldo: a.wyper@worldtravelnotebook.com

P: ¿No recibió respuesta?
R: Revisa la carpeta SPAM.
P: Mi carpeta de spam está vacía, ¿qué debo hacer?
R: Registre su casilla de correo electrónico en protonmail.com o cock.li y siga los pasos anteriores.

¿Cómo puede el ransomware infectar su sistema?

El ransomware puede infectar un sistema a través de diversos medios y los atacantes suelen emplear técnicas sofisticadas para explotar las vulnerabilidades. A continuación se detallan métodos comunes mediante los cuales el ransomware puede infectar su sistema:

Correos electrónicos de phishing: uno de los métodos más frecuentes es a través de correos electrónicos de phishing. Los atacantes envían correos electrónicos que contienen archivos adjuntos o enlaces maliciosos. Una vez que el usuario abre el archivo adjunto o hace clic en el enlace, el ransomware se descarga y ejecuta en el sistema.

Sitios web maliciosos: visitar sitios web comprometidos o maliciosos puede exponer su sistema al ransomware. Pueden ocurrir descargas no autorizadas, donde el malware se descarga e instala automáticamente sin el conocimiento o consentimiento del usuario.

Publicidad maliciosa: los atacantes utilizan anuncios maliciosos (publicidad maliciosa) para distribuir ransomware. Los sitios web legítimos pueden mostrar anuncios maliciosos sin saberlo, y hacer clic en estos anuncios puede provocar la descarga de ransomware.

Explotación de vulnerabilidades del software: el ransomware puede explotar vulnerabilidades en sistemas operativos, software o aplicaciones. Si su sistema no se actualiza periódicamente con parches de seguridad, se vuelve más susceptible a estos ataques.

Ataques del Protocolo de escritorio remoto (RDP): los ciberdelincuentes pueden intentar obtener acceso no autorizado a un sistema a través de conexiones de Protocolo de escritorio remoto mal protegidas. Una vez dentro, pueden implementar ransomware.

Ingeniería social: los atacantes pueden utilizar técnicas de ingeniería social para engañar a los usuarios para que ejecuten scripts maliciosos o descarguen archivos infectados. Esto puede incluir engañar a los usuarios para que otorguen permisos innecesarios o ejecuten aplicaciones aparentemente inofensivas.

Ataques de abrevadero: en este tipo de ataque, los ciberdelincuentes comprometen sitios web que son visitados con frecuencia por el público objetivo. Cuando los usuarios visitan estos sitios, sin saberlo, descargan malware, incluido ransomware.

Instaladores de software infectados: los instaladores de software maliciosos, a menudo disfrazados de aplicaciones o actualizaciones legítimas, pueden generar ransomware cuando se ejecutan.