Ransomware Ragnar Locker apunta a las herramientas de soporte empresariales MSP


Las diferentes herramientas de proveedores de servicios gestionados (Managed Service Provider - MSP) son utilizados por las compañías para facilitarse la administración de su infraestructura IT (Tecnología de la Información) de manera eficiente y remota. Con la finalidad de mantener todos los sistemas de las computadoras de la red empresarial en óptimas condiciones.

Los primeros indicios del ransomware Ragnar Locker datan a finales de Diciembre del 2019, en donde el análisis forense arrojó que primero los atacantes comprometieron la red, realizaron un exhaustivo reconocimiento, para finalmente desplegar y ejecutar el ransomware.

Las recientes investigaciones demuestran que Ragnar Locker está enfocado en los MSP empresariales con el fin de prevenir que su ataque sea detectado y detenido. El ransomware tiene la capacidad de enumerar todos los servicios de Windows que están siendo ejecutados y detenerlos al comprobar ciertas cadenas.

Las cadenas de los servicios que busca detener son:
  1. vss
  2. sql
  3. memtas
  4. mepocs
  5. sophos
  6. veeam
  7. backup
  8. pulseway
  9. logme
  10. logmein
  11. connectwise
  12. splashtop
  13. kaseya


Se puede observar que Ragnar Locker busca detener los servicios más comunes de seguridad, respaldo (backup), bases de datos, servidores de correo y destacándose dos programas de gestión remota (Remote Management Software - RMM) usados por los MSP, ConnectWise y Kaseya Software. Ambas aplicaciones son utilizadas por un MSP para proveer soporte remoto y administración de software a sus clientes.

El Ransomware inicia comprobando si tiene uno de los primeros lenguajes de los países de la antigua unión soviética (USSR) en la configuración de preferencias de lenguaje, de cumplir esta condición termina el proceso sin encriptar la computadora. En caso contrario, Ragnar Locker comenzará a encriptar los archivos y omitiendo las siguientes carpetas, archivos y extensiones:

  1. kernel32.dll
  2. Windows
  3. Windows.old
  4. Tor browser
  5. Internet Explorer
  6. Google
  7. Opera
  8. Opera Software
  9. Mozilla
  10. Mozilla Firefox
  11. $Recycle.Bin
  12. ProgramData
  13. All Users
  14. autorun.inf
  15. boot.ini
  16. bootfont.bin
  17. bootsect.bak
  18. bootmgr
  19. bootmgr.efi
  20. bootmgfw.efi
  21. desktop.ini
  22. iconcache.db
  23. ntldr
  24. ntuser.dat
  25. ntuser.dat.log
  26. ntuser.ini
  27. thumbs.db
  28. .sys
  29. .dll
  30. .lnk
  31. .msi
  32. .drv
  33. .exe


Todos los archivos encriptados tendrán un extensión preconfigurada como “.ragnar_22015ABC” y agregando una marca al final de cada archivo cifrado.

Marca Ragnar en los Archivos


Luego, para finalizar es creada una nota con el nombre de “.RGNR_[extension].txt”, la cual contiene la amenaza y descripción del secuestro, el monto de rescate en Bitcoin (BTC), una dirección de pago BTC, un identificador de un chat para TOX y una dirección de correo electrónico.

Nota de Rescate

Cabe destacar que actualmente aún no se ha encontrado alguna debilidad en el cifrado del Ransomware Ragnar Locker.

COMENTARIOS

Nombre

Actualizaciones,1,Adobe,1,Adware,3,android,26,Antivirus,3,Apple,13,Apps,11,Arkavia Networks,13,Ataques,4,Azure,1,Backdoor,3,Bancos,6,Bases de Datos,2,Bluetooth,1,Botnet,2,Botnet. Malware,1,Check Point,3,Cibercrimen,115,ciberseguridad,86,Cisco,1,Citrix,2,Cloud,2,CMS,1,CPU,3,Criptomonedas,3,cyber day,2,Cyberwarfare,5,Dark Web,2,Data Leak,6,Datos,1,DDoS,1,Deep Web,5,Ecommerce,2,Emotet,1,Empresas,113,Eventos,5,Exploits,9,F5 Networks,1,Facebook,6,Firmware,1,google,26,Hacking,83,Hardware,7,Hosting,2,Industria,10,Instagram,2,Intel,2,Internacional,40,Internet,34,Investigacion,7,ios,3,IoT,3,ISO,1,Linux,7,Malware,27,Malwares,32,Microsoft,24,MSP,1,Nacional,10,Negocios,2,Node.js,1,Oracle,1,OS,9,Payload,2,Paypal,1,phishing,11,Protocolos,12,Python,1,Ransomware,13,Recomendaciones,15,Redes,30,redes sociales,12,Redhat,1,Rootkit,1,Routers,2,RRSS,1,Salud,2,Servicios,5,Smartphones,29,Software,23,Spamhaus,1,Spyware,11,Tplink,1,Update,4,updates,22,Vulnerabilidad,3,Vulnerabilidades,67,Web,5,WhatsApp,4,wifi,3,Windows,11,Wordpress,3,
ltr
item
Arkavia Networks News: Ransomware Ragnar Locker apunta a las herramientas de soporte empresariales MSP
Ransomware Ragnar Locker apunta a las herramientas de soporte empresariales MSP
https://1.bp.blogspot.com/-5Yuwl_GQoho/XkQg3jyOyFI/AAAAAAAAB2s/yMosxTeocKIcowEh422VWddznuMYkAwGgCLcBGAsYHQ/s640/Ragnar%2BLocker%2BRansomware.jpg
https://1.bp.blogspot.com/-5Yuwl_GQoho/XkQg3jyOyFI/AAAAAAAAB2s/yMosxTeocKIcowEh422VWddznuMYkAwGgCLcBGAsYHQ/s72-c/Ragnar%2BLocker%2BRansomware.jpg
Arkavia Networks News
https://www.arkalabs.cl/2020/02/ransomware-ragnar-locker-apunta-las.html
https://www.arkalabs.cl/
https://www.arkalabs.cl/
https://www.arkalabs.cl/2020/02/ransomware-ragnar-locker-apunta-las.html
true
7213111567211435179
UTF-8
Se han cargado todas las publicaciones No se ha encontrado ninguna publicación. Ver Todos Leer Noticia Responder Cancelar Respuesta Eliminar Por Inicio PÁGINAS ENTRADAS View All RECOMENDADO PARA TI ETIQUETA ARCHIVOS BUSQUEDA TODAS LAS ENTRADAS No se ha encontrado ninguna coincidencia de publicación con su solicitud. Volver al Inicio Sunday Monday Tuesday Wednesday Thursday Friday Saturday Sun Mon Tue Wed Thu Fri Sat January February March April May June July August September October November December Jan Feb Mar Apr May Jun Jul Aug Sep Oct Nov Dec just now 1 minute ago $$1$$ minutes ago 1 hour ago $$1$$ hours ago Yesterday $$1$$ days ago $$1$$ weeks ago more than 5 weeks ago Followers Follow THIS PREMIUM CONTENT IS LOCKED STEP 1: Share. STEP 2: Click the link you shared to unlock Copy All Code Select All Code All codes were copied to your clipboard Can not copy the codes / texts, please press [CTRL]+[C] (or CMD+C with Mac) to copy