ATAQUES EN RED, INTRUSIONES, MALWARE Y APTs

Te lo contamos como nos lo hemos encontrado. Duro, sin ayuda y con muchas ganas de solucionarlo.

CIBERGUERRA, CIBERATAQUES, CIBERDEFENSA...

Todas las anécdotas, medidas de contención y un montón de soluciones.

ACOSO, FRAUDE, ROBO, PORNOGRAFIA INFANTIL, FUGA DE DATOS

Casos prácticos de detección y prevención

Información

Todas las noticias del mundo de la Seguridad IT y Hacking

jueves, 25 de febrero de 2016

NUEVO RANSOMWARE LOCKY. Ataque por red de recursos no compartidos...

NUEVO RANSOMWARE LOCKY





Se ha descubierto un nuevo ransomware llamado Locky que cifra los datos utilizando cifrado AES exigiendo 5 bitcoins para descifrar los archivos. Hasta aquí nada novedoso...

La criticidad de Locky radica en la cantidad de extensiones de archivos que es capaz de cifrar, pero más importante aún es que es capaz de cifrar datos en unidades de red sin asignar (sin mapear). Si bien la enumeración de carpetas accesibles en la red aún no estando mapeadas es algo trivial, la novedad es que los randsomware no utilizaban esta característica (salvo el reciente DMA Locker aparecido hace un par de semanas). Parece que este nuevo método ha llegado para quedarse con nosotros... 

Al igual que CryptoWall, Locky también cambiar completamente los nombres de los archivos cifrados para que sea aún más difícil su restauración.

DESTRIPANDO EL RANSOMWARE: 

Locky a través de facturas falsas

Locky actualmente está siendo distribuido a través de correo electrónico que contiene un archivo adjunto de Word con macros maliciosos. El mensaje de correo electrónico contendrá un objeto similar a Atención: Factura J-98223146 y un mensaje del tipo "(Documento de Microsoft Word) Por favor, vea la factura adjunta y remitir el pago según los términos que figuran en la parte inferior de la factura". Mostramos un ejemplo de uno de estos mensajes de correo electrónico:






El fichero adjunto a este correo electrónico es un documento de Word malicioso que contiene un nombre similar a invoice_J-17105013.doc. Cuando se abre el documento, el texto mostrado es ilegible con un mensaje que dice que para visualizar correctamente el fichero debemos habilitar las macros... Ya esto debería hacer sospechar al usuario, pero ya sabemos la capacidad que tienen los usuarios de sorprendernos ;)



Una vez que una víctima permite que se habiliten las macros, se descarga un archivo ejecutable desde un servidor remoto.



El archivo descargado por la macro se almacena en la carpeta% Temp% y se autoejecuta empezando el cifrado de los achivos de su equipo.


Locky encripta sus datos y cambia por completo los nombres de archivo


Cuando Locky se ejecuta, crea y asigna un único número hexadecimal 16 de la víctima del tipo F67091F1D24A922B. Locky revisará entonces todas las unidades locales y recursos compartidos de red sin asignar para el cifrado. Este cifrado es AES y los archivos afectados tienen la extensiones siguientes:

.mid, .wma, .flv, .mkv, .mov, .avi, .asf, .mpeg, .vob, .mpg, .wmv, .fla, .swf, .wav, .qcow2, .vdi, .vmdk, .vmx, .gpg, .aes, .ARC, .PAQ, .tar.bz2, .tbk, .bak, .tar, .tgz, .rar, .zip, .djv, .djvu, .svg, .bmp, .png, .gif, .raw, .cgm, .jpeg, .jpg, .tif, .tiff, .NEF, .psd, .cmd, .bat, .class, .jar, .java, .asp, .brd, .sch, .dch, .dip, .vbs, .asm, .pas, .cpp, .php, .ldf, .mdf, .ibd, .MYI, .MYD, .frm, .odb, .dbf, .mdb, .sql, .SQLITEDB, .SQLITE3, .asc, .lay6, .lay, .ms11 (Security copy), .sldm, .sldx, .ppsm, .ppsx, .ppam, .docb, .mml, .sxm, .otg, .odg, .uop, .potx, .potm, .pptx, .pptm, .std, .sxd, .pot, .pps, .sti, .sxi, .otp, .odp, .wks, .xltx, .xltm, .xlsx, .xlsm, .xlsb, .slk, .xlw, .xlt, .xlm, .xlc, .dif, .stc, .sxc, .ots, .ods, .hwp, .dotm, .dotx, .docm, .docx, .DOT, .max, .xml, .txt, .CSV, .uot, .RTF, .pdf, .XLS, .PPT, .stw, .sxw, .ott, .odt, .DOC, .pem, .csr, .crt, .key, wallet.dat 



Por otra parte, Locky se saltará cualquier archivo de las siguiente rutas y/o cadenas de los nombres de carpetas:

tmp, winnt, Application Data, AppData, Program Files (x86), Program Files, temp, thumbs.db, $Recycle.Bin, System Volume Information, Boot, Windows 


Cuando Locky cifra un archivo, automáticamente cambia el nombre siguiendo la estructura [id_exclusivo].locky . Por ejemplo, supongamos que encripta un archivo llamado test.jpg; lo renombraría a algo así como F67091F1D24A922B1A7FC27E19A9D9BC.locky (vean el número único hexadecimal mostrado anteriormente...). 


Es importante hacer hincapié en que Locky cifrará archivos en recursos compartidos de red, incluso cuando no se asignan a una unidad local (mapeado). Como dijimos anteriormente, esto se va a convertir en algo común en los ataques de este tipo; es por ello que hago de nuevo hincapié el hecho de que todos los administradores de sistemas deberían aplicarse sí o sí la regla de mínimo privilegio como un "must" de sus políticas de seguridad.


Como parte del proceso de cifrado, Locky, también borrará todas las instantáneas de volumen en la máquina de manera que no se pueden utilizar para restaurar los archivos (las llamadas shadows copy). Locky hace mediante la ejecución del siguiente comando:

vssadmin.exe Delete Shadows /All /Quiet 


En el escritorio de Windows y en cada carpeta en la que se ha cifrado un archivo, Locky creará una nota de rescate llamado _Locky_recover_instructions.txt. Es un detalle su delicadeza al avisarnos del suceso así como enlaces para poder descifrarlo previo pago :(



Además Locky te cambia el fondo de pantalla de Windows estableciendo como predeterminado el fondo: 
UserpProfile%% \ Desktop \ _Locky_recover_instructions.bmp, donde se muestran las mismas instrucciones que las notas de texto de rescate (otro detalle del amigo Locky...)



Por último, pero no menos importante, Locky almacenará diversa información en el registro de la máquina afectada en las siguientes claves: 

HKCU \ Software \ Locky \ id - El identificador único asignado a la víctima. 
HKCU \ Software \ Locky \ pubkey - La clave pública RSA. 
HKCU \ Software \ Locky \ paytext - El texto que se almacena en las notas de rescate. 
HKCU \ Software \ Locky \ completada - Si el ransomware terminó cifrar el equipo 


El Locky Decrypter página

Dentro de las notas de rescate Locky se encuentran los enlaces a una página en Tor llamada Locky Decrypter. Esta página se encuentra en la dirección 6dtxgqam4crv6rr6.onion y contiene la cantidad de bitcoins que tenemos que enviar como pago, así como instrucciones claras de cómo comprar los bitcoins (por si no lo sabes, él te enseña...), y la dirección bitcoin que debemos utilizar para enviar el pago. Una vez que la víctima realiza el pago a la dirección de bitcoins asignada, la página (teóricamente) te proporcionará un descifrador para los archivos afectados.






Resumen de cara a una posible defensa:

Ficheros relacionados con Locky:

%UserpProfile%\Desktop\_Locky_recover_instructions.bmp %UserpProfile%\Desktop\_Locky_recover_instructions.txt %Temp%\[random].exe 

Registros afectados por Locky

HKCU\Software\Locky 
HKCU\Software\Locky\id 
HKCU\Software\Locky\pubkey 
HKCU\Software\Locky\paytext 
HKCU\Software\Locky\completed 1 
HKCU\Control Panel\Desktop\Wallpaper "%UserProfile%\Desktop\_Locky_recover_instructions.bmp" 

A fecha de hoy no se conoce ninguna forma de descifrar los archivos afectados por Locky...