Ransomware SNAKE, enfocado a todos los dispositivos conectados en redes empresariales


Un Ransomware es un programa malicioso desarrollado para encriptar datos sin consentimiento del usuario, secuestrando la información, con la finalidad de solicitar un rescate a cambio de algo valioso para el atacante (dinero, información, etc…).

La cantidad de ransomware diferentes enfocadas a las empresas ha ido creciendo poco a poco, en la cual ahora se suma SNAKE, el cual es usado por agentes no deseados que logran infiltrarse en una red empresarial, obtienen credenciales de administrador y posteriormente ejecuta la herramienta de encriptación para encriptar todos los archivos en las computadoras conectadas en la red.


Características y ejecución
El experto que analizo SNAKE, al realizar ingeniería inversa destaco que el malware fue escrito en Golang (Tambien conocido como Go - Lenguaje de programación compilado desarrollado por Google), en donde contiene un alto nivel de ofuscación, mucho mayor que el visto en este tipo de infecciones. Además de observar su proceso de ejecución, en donde remueve los respaldos de memoria (Shadow Copies o Backups) de tipo volumen del computador, para luego eliminar procesos relacionados a sistemas SCADA, máquinas virtuales, sistemas de control industriales, herramientas de administración remota, aplicaciones administradores de red, entre otros.

El ransomware para dejar funcional el equipo no encripta las carpetas localizadas en “system”. Los cuales son:

  • windir
  • SystemDrive
  • :\$Recycle.Bin
  • :\ProgramData
  • :\Users\All Users
  • :\Program Files
  • :\Local Settings
  • :\Boot
  • :\System Volume Information
  • :\Recovery
  • \AppData\


Los archivos encriptados se les añade 5 caracteres en el nombre de extensión de archivo. Por ejemplo, un archivo nombrado 4.doc, es renombrado como 4.docUmDrV.

Ejemplo de Carpeta con archivos encriptados

La razón del porqué el ransomware fue nombrado “SNAKE” por parte del experto es debido a la firma que deja en texto plano en cada archivo encriptado. Donde se puede leer EKANS, lo cual no es más que SNAKE en reversa.

Análisis en File Maker

Una última característica encontrada por el grupo de analistas es que SNAKE tarda un largo tiempo (horas) en encriptar, algo poco común en comparación a otros ransomware.

Una vez finalizada la encriptación en el computador, el ransomware crea una note en la carpeta C:\Users\Public\Desktop con nombre “Fix-Your-Files.txt”. La cual contiene las instrucciones de contacto hacia un email.

Contenido de “Fix-Your-Files.txt”

En la nota se puede observar que el ransomware está dirigido no solo al computador afectado sino a todos los computadores en la red, además que la herramienta de desencriptación está destinada para toda una red y no para una única máquina.

Observación: Este malware es muy reciente y aún está siendo analizado. Desde Arkavia Networks estamos atentos a cualquier novedad sobre este y otras incidencias.


Indicador de compromiso (IOC)

Hash (SHA-256)
e5262db186c97bbe533f0a674b08ecdafa3798ea7bc17c705df526419c168b60

COMENTARIOS

Nombre

Adobe,1,Adware,3,android,26,Antivirus,3,Apple,13,Apps,11,Arkavia Networks,13,Ataques,4,Backdoor,3,Bancos,6,Bases de Datos,2,Botnet,2,Botnet. Malware,1,Check Point,3,Cibercrimen,112,ciberseguridad,80,Cisco,1,Citrix,1,Cloud,1,CMS,1,CPU,3,Criptomonedas,3,cyber day,2,Cyberwarfare,5,Dark Web,2,Data Leak,6,DDoS,1,Deep Web,5,Ecommerce,2,Empresas,112,Eventos,5,Exploits,8,F5 Networks,1,Facebook,6,Firmware,1,google,26,Hacking,82,Hardware,7,Hosting,2,Industria,10,Instagram,2,Intel,2,Internacional,40,Internet,34,Investigacion,7,ios,3,IoT,3,ISO,1,Linux,7,Malware,26,Malwares,32,Microsoft,23,Nacional,10,Negocios,2,Node.js,1,Oracle,1,OS,9,Payload,2,Paypal,1,phishing,10,Protocolos,12,Python,1,Ransomware,12,Recomendaciones,15,Redes,30,redes sociales,12,Redhat,1,Rootkit,1,Routers,2,RRSS,1,Salud,2,Servicios,5,Smartphones,29,Software,23,Spyware,11,Tplink,1,Update,1,updates,22,Vulnerabilidades,63,Web,5,WhatsApp,3,wifi,2,Windows,11,
ltr
item
Arkavia Networks News: Ransomware SNAKE, enfocado a todos los dispositivos conectados en redes empresariales
Ransomware SNAKE, enfocado a todos los dispositivos conectados en redes empresariales
https://1.bp.blogspot.com/-o5RszEId-ws/XhiWWtcVSvI/AAAAAAAABzw/Hzz3YTdhxNAemEIIO5qHjsnY-FN1RmKyQCLcBGAsYHQ/s640/Ransomware%2BSNAKE.jpg
https://1.bp.blogspot.com/-o5RszEId-ws/XhiWWtcVSvI/AAAAAAAABzw/Hzz3YTdhxNAemEIIO5qHjsnY-FN1RmKyQCLcBGAsYHQ/s72-c/Ransomware%2BSNAKE.jpg
Arkavia Networks News
https://www.arkalabs.cl/2020/01/ransomware-snake-enfocado-todos-los.html
https://www.arkalabs.cl/
https://www.arkalabs.cl/
https://www.arkalabs.cl/2020/01/ransomware-snake-enfocado-todos-los.html
true
7213111567211435179
UTF-8
Se han cargado todas las publicaciones No se ha encontrado ninguna publicación. Ver Todos Leer Noticia Responder Cancelar Respuesta Eliminar Por Inicio PÁGINAS ENTRADAS View All RECOMENDADO PARA TI ETIQUETA ARCHIVOS BUSQUEDA TODAS LAS ENTRADAS No se ha encontrado ninguna coincidencia de publicación con su solicitud. Volver al Inicio Sunday Monday Tuesday Wednesday Thursday Friday Saturday Sun Mon Tue Wed Thu Fri Sat January February March April May June July August September October November December Jan Feb Mar Apr May Jun Jul Aug Sep Oct Nov Dec just now 1 minute ago $$1$$ minutes ago 1 hour ago $$1$$ hours ago Yesterday $$1$$ days ago $$1$$ weeks ago more than 5 weeks ago Followers Follow THIS PREMIUM CONTENT IS LOCKED STEP 1: Share. STEP 2: Click the link you shared to unlock Copy All Code Select All Code All codes were copied to your clipboard Can not copy the codes / texts, please press [CTRL]+[C] (or CMD+C with Mac) to copy