News

El programa chantajista Petya ahora viene con un jugador suplente: Mischa

La aparición en marzo del cifrador-chantajista Petya anunció el aumento del malware criptográfico en la red. Por primera vez el programa chantajista fue más allá de cifrar archivos en discos locales y compartidos y, en vez de eso, se concentró en bloquear la tabla MFT en los equipos comprometidos.

Petya tuvo sus deficiencias y, poco después, los investigadores lograron desarrollar una herramienta que recuperaba algunos de los archivos que se cifraban durante la infección. Mientras tanto, los criminales creadores de Petya solucionaron una falla que evitaba que se ejecutara si no recibía privilegios de administrador cuando trataba de atacar la MFT.

La semana pasada se descubrió un nuevo instalador de Petya. Tiene incluido un modo a prueba de fallos (failsafe); si su instalador no recibe los privilegios que necesita, instala otra cepa de ransomware llamada Mischa.

El investigador Lawrence Abrams, de Bleeping Computer explicó que el ejecutable original Petya solicitaba privilegios de administrador. “Esto hace que Windows publique un aviso de Control de Cuentas de Usuario y solicite estos privilegios antes de que se active el código en el ejecutable. Si la víctima tiene el UAC desactivado, el programa se ejecuta de forma automática [con privilegios de administrador]”, explicó Abrams a Threatpost. “Esto significa que si el usuario dice ‘No’ al comando de Control de Cuentas de Usuario, el programa no se ejecuta ni instala Petya”.

Abrams dijo que los delincuentes de Petya estaban perdiendo dinero con estas instalaciones fallidas. Por eso integraron el ransomware Mischa en el instalador que se ejecuta si Petya falla.

El manifiesto de la nueva versión indica que se ejecutará con las credenciales de seguridad del usuario, dijo Abrams. Entonces, Windows permite que el programa se inicie sin la solicitud de Control de cuentas de usuario. “El instalador está programado para solicitar privilegios de administrador cuando se inicia el instalador. Esto abre una solicitud UAC y, si el usuario pulsa en el botón ‘Sí’ o la desactiva y el programa consigue privilegios de administrador, sigue adelante con sus planes e instala Petya”, dijo Abrams. “Pero si, al contrario, no recibe los privilegios de administrador, instala Mischa. Es un método muy ingenioso”.

gmaimage

Mientras tanto, Petya sigue atacando a los departamentos de recursos humanos alemanes enviándoles spam que contiene un enlace a un archivo malicioso ubicado en un almacenamiento en la nube. Al principio, los delincuentes utilizaban enlaces de Dropbox, pero cuan la compañía los invalidó, pasaron a utilizar el servicio en la nube alemán TelekomCloud. El archivo ejecutable malicioso viene disfrazado como un documento PDF y hasta contiene una fotografía del postulante.

“Cuando la víctima descarga el ejecutable, tiene un ícono PDF para que parezca un currículum en PDF”, dijo Abrams. “Pero este ejecutable trata de instalar Petya y, si falla, instala el ransomware Mischa”.

Mischa se comporta como la mayoría de los programas ransomware. Mischa escanea el disco local en busca de archivos con determinadas extensiones y los cifra con AES. Los archivos también reciben una extensión de cuatro caracteres, como 7GP3, dijo. “Mientras cifra el archivo, Mischa guarda la llave de descifrado al final del archivo resultante”, dijo Abrams. “Un aspecto molesto de Mischa es que no solo cifra los tipos de archivos estándar (PNGs, JPGs, DOCXs, etc.), sino también los archivos .EXE”.

Al concluir su trabajo, Mischa exige un rescate de 1,93 bitcoins, o alrededor de 875 US$ para recuperar el acceso a la información, suma que se debe pagar en bitcoins mediante un sitio de pagos en Tor. Todavía no existe un descifrador de archivos para infecciones Mischa. “A las víctimas siempre les recomendamos que intenten usar el programa Shadow Explorer para asegurarse de que las Instantáneas de volumen (Shadow Volume) estén intactas”, indicó Abrams. “Éstas podrían usarse para restaurar versiones más antiguas de los archivos cifrados”.

El programa chantajista Petya ahora viene con un jugador suplente: Mischa

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

 

Informes

MosaicRegressor: acechando en las sombras de UEFI

Encontramos una imagen de firmware de la UEFI infectada con un implante malicioso, es el objeto de esta investigación. Hasta donde sabemos, este es el segundo caso conocido en que se ha detectado un firmware malicioso de la UEFI usado por un actor de amenazas.

Dark Tequila Añejo

Dark Tequila es una compleja campaña maliciosa que tiene por objetivo a los usuarios ubicados en México, con el propósito principal de robar información financiera, así como credenciales de acceso a sitios populares que van desde versionado de código fuente a cuentas de almacenamiento de archivos en línea y de registro de dominios web.

De Shamoon a StoneDrill

A partir de noviembre de 2016, Kaspersky Lab observó una nueva ola de ataques de wipers dirigidos a múltiples objetivos en el Medio Oriente. El programa malicioso utilizado en los nuevos ataques era una variante del conocido Shamoon, un gusano que tenía como objetivo a Saudi Aramco y Rasgas en 2012.

Suscríbete a nuestros correos electrónicos semanales

Las investigaciones más recientes en tu bandeja de entrada