Nuevas variantes instaladas a
través de servicios de escritorio remoto hackeados.
Variaciones
avanzadas...
Dos nuevas variantes de Matrix Ransomware fueron descubiertas esta semana
por MalwareHunterTeam que se están instalando a través de servicios de
Escritorio remoto Hackeados. Si bien estas dos variantes cifran los archivos de
su computadora, uno es un poco más avanzado, con más mensajes de depuración y
el uso de cifrado para eliminar espacio libre.
Basándose en los mensajes de depuración mostrados por el Ransomware cuando
se ejecuta y los diversos informes en los foros de BleepingComputer, este
Ransomware se está distribuyendo actualmente a las víctimas por los atacantes
que fuerzan las contraseñas de los servicios de Escritorio remoto,
conectados directamente a Internet. Una vez que los atacantes obtienen acceso a
una computadora, cargan el instalador y lo ejecutan.
Identificación...
Cuando los archivos están encriptados, encriptará el nombre del archivo y luego agregará la
extensión [RestorFile@tutanota.com]. Por ejemplo, test.jpg se cifraría y cambiaría de nombre
a: ejemplo—0ytN5eEX-RKllfjug. [Files4463@tuta.io].
Esta variante también incluirá una nota de rescate llamada, ReadMe_To_Decrypt_Files! .rtf
en cada carpeta que se escanea. Esta nota de rescate contiene las direcciones de correo
electrónico Files4463@tuta.io, Files4463@protonmail.ch y Files4463@gmail.com que se
utilizan para contactar al atacante y realizar un pago de rescate.
Después de que esta variante termine de encriptar la computadora, ejecutará el comando
"cipher.exe / w: c" para sobrescribir el espacio libre en la unidad C:. Esto es para evitar que
la víctima use herramientas de recuperación de archivos para recuperar sus archivos.
Contramedida...
Para protegerse del
ransomware en general, es importante que use buenos hábitos informáticos y
software de seguridad. En primer lugar, siempre debe tener una copia de
seguridad confiable y probada de sus datos que se puede restaurar en caso de una
emergencia, como un ataque de ransomware.
Como Matrix Ransomware se
puede instalar a través de servicios de Escritorio remoto pirateados, es muy
importante asegurarse de que esté bloqueado correctamente. Esto incluye
asegurarse de que ninguna computadora con servicios de escritorio remotos esté
conectada directamente a Internet. En su lugar, coloque las computadoras que
ejecutan el escritorio remoto detrás de las VPN para que solo puedan acceder a
ellas quienes tengan cuentas VPN en su red.
Recomendaciones
¡Respaldo, Respaldo, Respaldo!
No abra archivos adjuntos si no sabe quién los envió.
No abra archivos adjuntos hasta que confirme que la persona realmente los envió.
¡Asegúrese de que todas las actualizaciones de Windows estén instaladas tan pronto como salgan!
Fuente: The Hacker News
