Recibimos para analizar y controlar un fichero con extensi\u00f3n CMD el cual llega anexado a un mail y que su ejecuci\u00f3n, tras ofrecer un mensaje de \u00abERROR EN FILE\u00bb, para despistar, empaqueta con password los ficheros de datos de los ordenadores a los cuales tiene acceso el ordenador infectado.<\/p>\n
<\/p>\n
Adem\u00e1s contiene el fichero RAR.EXE y PGP.EXE normales, sin modificaciones v\u00edricas<\/span><\/p>\n Tras la monitorizaci<\/span>\u00f3<\/span>n, vemos que el cifrado es con PGP sin posibilidad de desempaquetamiento de dichos ficheros afectados, sin la clave privada, en p<\/span>oder <\/span>del hacker<\/span><\/span><\/p>\n En cada carpeta donde se han cifrado los ficheros, se crea un archivo de nombre \u201c<\/span>filepas.asc\u00bb <\/span>y con el siguiente contenido:<\/span><\/span><\/p>\n \n —–BEGIN PGP MESSAGE—–<\/i><\/span><\/p>\n Version: 2.6.3i<\/i><\/span><\/p>\n \n hIwDUn+DYjooOb0BBACZ28yrRM\/VbuJjfl2ho\/evGNIGE23Nkoaj7oPwl2y6oNrD<\/i><\/span><\/p>\n bzHM4E2hyqRbBSA5o8B+\/0YoFKgxVghVaqswdcDXBFCyBwa32zni+0+FzOHobFnJ<\/i><\/span><\/p>\n hCIRG\/YAWwsH\/2b7djFLgvJiVsmDyeE3Dh3ROjbBk6K2cMbFXUH3mpQdbTGsGKYA<\/i><\/span><\/p>\n AAAx666YgpcTL7nvv2O5GidfWoJqHuDYc\/3CuTAId3O+Bu5tcYsGSiH23Szsdwdt<\/i><\/span><\/p>\n R3BfVw==<\/i><\/span><\/p>\n =6gg9<\/i><\/span><\/p>\n —–END PGP MESSAGE—–<\/i><\/span><\/p>\n The files are packed in archives with a password.<\/i><\/span><\/p>\n Unpacked – 300 eur<\/i><\/span><\/p>\n To unpack the files send two files to email: chuingamshiki@gmail.com<\/i><\/span><\/p>\n 1) file you are reading now<\/i><\/span><\/p>\n 2) one packed file (no more than 1 megabyte)<\/i><\/span><\/p>\n In response comes the original file and the instruction for bitcoin transfer<\/i><\/span><\/p>\n (The original file is proof that it is possible to return all files to their original)<\/i><\/span><\/p>\n After the transfer bitcoin, you will receive your password to archives.<\/i><\/span><\/p>\n Also coming program to automatically unpack files<\/i><\/span><\/p>\n Reply to your letter will come within 24 hours.<\/i><\/span><\/p>\n If no response comes for more than 24 hours write to reserved e-mail: chuingamshiki@mail2tor.com<\/i><\/span><\/p>\n \n Del cual se desprende que el hacker pide 300 euros en BITCOIN junto con el <\/span>env\u00edo<\/span> de dos ficheros , el que se est\u00e1 leyendo (y que contiene los datos de la clave publica) y otro empaquetado (Cifrado) de menos de 1 MB, y, a vuelta de correo, se recibir\u00e1 el fichero descifrado (prueba de<\/span>l correcto<\/span> funcionamiento del descifrador) junto con las instrucciones para transferirle los BITCOINS pedidos para el rescate.<\/span><\/span><\/p>\n Mas o menos, como todos los ransomware<\/span><\/p>\n \n Detecci\u00f3n<\/b><\/span><\/span><\/p>\n McAfee lo controla de momento mediante la exploraci\u00f3n Heuristica (aconsejamos tener la exploraci\u00f3n Heuristica en modo \u201cMuy alto\u201d) a la espera de incluirlo en los DAT p\u00fablicos.<\/span><\/p>\n Lo pasamos a controlar a partir del ELISTARA 31.59 de hoy como RANSOM CHUING por el fichero que contiene de nombre CHUINGAMSIK<\/span><\/p>\n Dicha versi\u00f3n del ELISTARA 31.59 que lo detecta y elimina, estar\u00e1 disponible en nuestra web a partir de las 19 h CEST de hoy<\/span><\/p>\n \n C\u00f3mo prevenir dichos mails<\/b><\/span><\/span><\/p>\n El mejor m\u00e9todo <\/span><\/span>para prevenir sobre este tipo de mails <\/span><\/span>es disponer de una soluci\u00f3n perimetral, para que el mail ya no llegue al destinatario. <\/span><\/span><\/span><\/p>\n Esta soluci\u00f3n deber\u00eda disponer de un buen filtro de Anti-Spam, control de reputaci\u00f3n y para estar m\u00e1s seguros, impedir anexos por extensiones.<\/span><\/span><\/p>\n Las extensiones <\/span><\/span>a bloquear son del tipo ejecutables, como pueden ser EXE, <\/span><\/span>SCR, PIF, CP<\/span><\/span>L, CMD,<\/span><\/span> etc. <\/span><\/span>y teniendo en cuenta que puede llegar el fichero anexado directamente o comprimido dentro de un ZIP, RAR<\/span><\/span>, <\/span><\/span>etc., dicha soluci\u00f3n debe ser capaz de examinar dentro de dichos ficheros empaquetados.<\/span><\/span><\/span><\/p>\n S<\/span><\/span>i no se dispone de una soluci\u00f3n perimetral, el mail llegar\u00e1 al usuario, quedando com<\/span><\/span>o<\/span><\/span> \u00faltima barrera el antivirus <\/span><\/span>instalado <\/span><\/span>en dicho sistema y tambi\u00e9n del buen criterio del usuario al recibir algo no esperado o dudoso.<\/span><\/span><\/span><\/p>\n Recordamos:<\/span><\/span><\/p>\n N<\/span><\/span>o ejecutar ficheros anexados a mails no solicitados<\/span><\/span><\/span><\/p>\n<\/li>\n No <\/span><\/span>pulsar <\/span><\/span>sobre los<\/span><\/span> enlaces<\/span><\/span> ni en <\/span><\/span>im\u00e1genes<\/span><\/span> de los mismos<\/span><\/span><\/span><\/p>\n<\/li>\n No <\/span><\/span>rellenar datos particulares que se pidan por e-mail, especialmente contrase\u00f1as de correo o de cuentas bancarias<\/span><\/span><\/span><\/p>\n<\/li>\n M<\/span><\/span>antener al d\u00eda y fuera del acceso compartido, una copia de seguridad incremental de los datos<\/span><\/span><\/span><\/p>\n<\/li>\n C<\/span><\/span>onfigurar a nivel MUY ALTO la sensibilidad heuristica <\/span><\/span>del \u201cAnalizador en tiempo real\u201d y el \u201cAn\u00e1lisis bajo demanda\u201d<\/p>\n Nota: para <\/span><\/span>que la <\/span><\/span>detecci\u00f3n<\/span><\/span> heuristica de VirusScan <\/span><\/span>funciones,<\/span><\/span> el ordenador debe estar conectado a Internet<\/span><\/span> Eliminaci\u00f3n<\/b><\/span><\/span><\/p>\n Con la versi\u00f3n 31.59 de EliStarA ya se controla y elimina<\/span><\/span><\/p>\n Para eliminar el virus con VirusScan, es necesario iniciar el sistema en \u201cModo seguro con funciones de red\u201d y conexi\u00f3n a Internet, lanzar un an\u00e1lisis bajo demanda teniendo configurado el \u201cNivel de sensibilidad\u201d a \u201cMuy alto\u201d dentro de la pesta\u00f1a \u201cRendimiento\u201d. Los ficheros cifrados no se pueden recuperar, deben restaurarse de la copia de seguridad.<\/span><\/span><\/p>\n \n SATINFO<\/b><\/span><\/span><\/span>, <\/b><\/span><\/span>SERVICIO DE ASISTENCIA T\u00c9CNICA INFORMATICA<\/b><\/span><\/span> <\/b>5<\/b><\/span><\/span> de <\/b><\/span><\/span>Febrero<\/b><\/span><\/span> <\/b>de 201<\/b><\/span><\/span>5<\/b><\/span><\/span><\/span><\/p>\n","protected":false},"excerpt":{"rendered":" Recibimos para analizar y controlar un fichero con extensi\u00f3n CMD el cual llega anexado a un mail y que su ejecuci\u00f3n, tras ofrecer un mensaje de \u00abERROR EN FILE\u00bb, para despistar, empaqueta con password los ficheros de datos de los ordenadores a los cuales tiene acceso el ordenador infectado. Adem\u00e1s contiene el fichero RAR.EXE […]<\/a><\/p>\n","protected":false},"author":5,"featured_media":0,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"footnotes":""},"categories":[655,891,892],"tags":[669,668,92,667,674,671,670,673,672],"class_list":["post-1173","post","type-post","status-publish","format-standard","hentry","category-655","category-otros","category-todos","tag-6c41449d6c3efd4c9f98374a0d132ff6","tag-chuing","tag-elistara","tag-ransom","tag-rdngeneric-tfreh","tag-trdropper-gen","tag-transferencia-devuelta-pago-erroneo-cmd","tag-trojan-downloader-win32-genome-pcqn","tag-win32kryptik-cxib","category-655-id","category-891-id","category-892-id","post-seq-1","post-parity-odd","meta-position-corners","fix"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/www.satinfo.es\/noticies\/wp-json\/wp\/v2\/posts\/1173","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.satinfo.es\/noticies\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.satinfo.es\/noticies\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.satinfo.es\/noticies\/wp-json\/wp\/v2\/users\/5"}],"replies":[{"embeddable":true,"href":"https:\/\/www.satinfo.es\/noticies\/wp-json\/wp\/v2\/comments?post=1173"}],"version-history":[{"count":0,"href":"https:\/\/www.satinfo.es\/noticies\/wp-json\/wp\/v2\/posts\/1173\/revisions"}],"wp:attachment":[{"href":"https:\/\/www.satinfo.es\/noticies\/wp-json\/wp\/v2\/media?parent=1173"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.satinfo.es\/noticies\/wp-json\/wp\/v2\/categories?post=1173"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.satinfo.es\/noticies\/wp-json\/wp\/v2\/tags?post=1173"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
\n<\/span><\/span><\/b><\/span>\n<\/p>\n<\/li>\n<\/ul>\n