Introduzca la ruta de la nota de rescate de gandcrab
La evolución de la ciberdelincuencia ha llegado a un punto en el que los virus de chantaje no son la amenaza más extendida en el panorama de las amenazas. También hay adware y malware de criptojacking que empieza a dominar este nefasto ecosistema. Y sin embargo, los troyanos de rescate siguen vivos y coleando. La reciente campaña del ransomware GandCrab demuestra lo intrincada y eficaz que puede llegar a ser la extorsión en línea hoy en día. La variante original de este malvado no dio resultado para los actores de la amenaza, ya que una serie de organismos policiales europeos confiscaron sus servidores de mando y control. Como resultado de este movimiento, las primeras víctimas obtuvieron sus claves de descifrado y pudieron restaurar sus datos sin tener que pagar el rescate. Sin embargo, poco después, el programa perpetrador resurgió con una forma más refinada y dañina.
La versión actual, GandCrab 5.1, se está extendiendo como un reguero de pólvora por todo el mundo. Mancha los archivos cifrados con la extensión .CRAB y deja caer notas de rescate llamadas CRAB-DECRYPT.txt. Los malhechores a cargo de esta campaña bien orquestada aprovechan una mezcla de diferentes técnicas para depositar su código en los PC con Windows. El principal vector es el malspam (spam malicioso), en el que las posibles presas reciben correos electrónicos enmascarados como una especie de notificaciones de asistencia al cliente. El archivo ZIP adjunto a estos mensajes, cuando se extrae, ejecuta instantáneamente el binario del ransomware en el host. También se sabe que los actores de la amenaza utilizan macros de Office para la ejecución remota de código. Otro método de entrega de la carga útil gira en torno a los kits de explotación que hacen que los usuarios se infecten cuando visitan un sitio comprometido.
Gandcrab v5 1
GandCrab es una de las pocas cepas de ransomware bien elaboradas que han aparecido últimamente, lo que explica la gran cantidad de cobertura mediática sobre sus travesuras. Los actores de la amenaza a la cabeza de esta ola de extorsión bien orquestada perdieron algunos servidores C2 a causa de una acción policial en Rumanía. Esto permitió a los expertos en seguridad crear una herramienta de descifrado gratuita para la variante original del culpable. Sin embargo, una semana después, los delincuentes lanzaron una nueva edición de GandCrab, demostrando que su sucio negocio sigue adelante a pesar de todo. La infección actualizada sufrió una serie de cambios. En primer lugar, añade la extensión .CRAB a todos los archivos cifrados. En segundo lugar, el nombre de la nota de rescate se ha convertido en CRAB-DECRYPT.txt.
Una vez que se ha introducido en un nuevo anfitrión, la variante del archivo .CRAB del ransomware GandCrab ejecuta un escaneo masivo en busca de datos potencialmente valiosos. Tiene una lista incorporada de formatos de archivo para buscar, por lo que es cuestión de varios minutos para que la plaga encuentre todos los documentos personales, fotos, vídeos, bases de datos y similares. Las ubicaciones que se recorren incluyen particiones de disco duro, medios extraíbles y unidades de red. Todos los objetos que coinciden con los criterios del malware de chantaje se cifran con RSA, un potente sistema de cifrado asimétrico que no se puede descifrar a menos que se disponga de la clave de descifrado privada. Una parte del proceso de modificación de los archivos es la concatenación del sufijo .CRAB a cada entrada rescatada, de modo que una imagen llamada, por ejemplo, 1.bmp se convertirá en 1.bmp.CRAB.
Herramienta de descifrado del ransomware Gandcrab
Los investigadores de ciberseguridad han publicado una versión actualizada de la herramienta de descifrado del ransomware GandCrab que podría permitir a millones de usuarios afectados desbloquear sus archivos cifrados de forma gratuita sin tener que pagar un rescate a los ciberdelincuentes.
Creada por BitDefender, la nueva herramienta de descifrado de GandCrab [descargar] puede ahora desbloquear los archivos cifrados por las últimas versiones del ransomware, de la 5.0 a la 5.2, así como por las versiones más antiguas del ransomware GandCrab.
Como parte del proyecto “No More Ransom”, BitDefender trabaja en colaboración con el FBI, la Europol, la Policía de Londres y otros organismos policiales de todo el mundo para ayudar a los usuarios afectados por el ransomware.
En los últimos meses, la empresa de ciberseguridad lanzó herramientas de eliminación de ransomware para algunas versiones antiguas de GandCrab que ayudaron a casi 30.000 víctimas a recuperar sus datos de forma gratuita, ahorrando unos 50 millones de dólares en rescates no pagados.
Los creadores de GandCrab anunciaron recientemente la retirada de sus operaciones de Ransomware-as-a-Service (RaaS) que permitieron a los hackers criminales afiliados al crimen organizado extorsionar a las víctimas por más de un total de 2.000 millones de dólares.
Análisis del ransomware Gandcrab
Hoy en día, prácticamente cualquier usuario de ordenador corre el riesgo de ser víctima de un ransomware criptográfico como GandCrab. Incluso sin una acción potencialmente dañina por nuestra parte, como abrir un archivo adjunto de correo electrónico contaminado por un virus, el código malicioso puede depositarse en una máquina a través de técnicas más sofisticadas como el uso de kits de explotación. El grupo de ciberdelincuentes que está detrás de la infección mencionada parece ser muy competente en lo que hace.
Como ya se ha dicho, la denominación real del malware de chantaje en cuestión es GandCrab, que actualmente se encuentra en la versión 2.1. Sin embargo, la mayoría de las víctimas mencionan la extensión de archivo .CRAB cuando se refieren a su situación. Esto es, obviamente, porque la gente tiende a notar la punta del iceberg desde el principio. Este sufijo de archivo es uno de los primeros síntomas del ataque. Una vez completado el cifrado de datos no autorizado en un host de destino, el código ofensivo concatena .CRAB a cada elemento que se sometió a la codificación. Así, un archivo gráfico de ejemplo llamado 1.jpg se convertirá en 1.jpg.CRAB, al tiempo que se volverá inaccesible debido al efecto adverso de un cifrado de grado militar.