Imagen: 1, Mensaje de cifrado

Transcripción

1 Nueva variante Ramsomware CTB-Locker conocido también como Critroni.A, Onion-Locker es una nueva variante del tipo Ramsomware detectada en el inicio del año 2015, similar a las versiones pasadas esta amenaza pide un pago para el rescate de la información por medio de Bitcoins. Que hace? Esta amenaza cifra documentos importantes de trabajo diario como son, documentos Office, imágenes, videos, entre otros, agregando una extensión aleatoria de 7 letras, con esto impidiendo el acceso a dichos archivos incluso modificando el archivo con la extensión original. Una vez que es infectado se muestra en pantalla una imagen como la siguiente: Imagen: 1, Mensaje de cifrado

2 Como se muestra en Imagen: 1 indica que nuestros archivos han sido cifrados y tenemos plazo de 96 horas realizar el pago. De lo contrario nuestros archivos quedaran cifrados permanentemente. También trae la opción de ver que archivos fueron cifrados, instrucciones para realizar el pago y como recuperar dichos archivos. Imagen: 2, Instrucciones

3 Un ejemplo de archivo cifrado es cuando tratamos de abrir una imagen o documento y nos muestra un mensaje de error con la leyenda Archivo dañado. Imagen: 3, Ejemplo de archivo cifrado Como puedo ser infectado? La forma propagación de esta amenaza es vía correo, ó también visitando sitios web de dudosa reputación, un ejemplo como llega esta amenaza vía correo electrónico es haciéndose pasar por un correo legítimo, con un asunto de: - Te ganaste un premio. - Factura. - Nominas. Nota: el asunto del correo es para llamar la atención del usuario. En el mensaje puede tener un archivo adjunto ó dando click en una liga para visitar un sitio web. Cabe resaltar que este malware requiere la interacción del usuario para infectar la PC. Que hacer en caso de infección? Lo que se tiene que hacer cuando se detecto que nuestra maquina está infectada es: - Aislar el equipo. - Desconectar cualquier medio extraíble sea USB, Disco duro externo etc. - Desconectar el equipo de la red. - Correr un escaneo completo del equipo con Antivirus actualizado. - Contactar a soporte para la tomar muestra y revisión de equipo. Como puedo prevenir una infección de este malware? La forma de prevenir una infección es concientizar al usuario que hace estas amenazas y de qué manera es que llega a nuestro equipo, también informar los riesgos que se presentan al navegar en

4 sitios de dudosa reputación, revisar la procedencia de correos electrónicos si son legítimos, en el caso de correos con archivos adjuntos no ejecutar si se desconoce la procedencia. De esta manera podemos minimizar el riesgo de infección a nuestra red. Recomendaciones para prevenir infección: - No ejecutar archivos adjuntos de correos desconocidos. - Evitar hacer clic en links de correos desconocidos. - Evitar navegar en sitios de dudosa reputación. - Evitar descargar y ejecutar aplicaciones de correos de dudosa reputación. - Evitar la descarga de programas sospechosos o desconocidos. - No instalar programas desconocidos. - Concientizar al usuario de los riesgos que existen en la red. - Utilizar contraseñas de sesión de usuarios robustas, es decir mínimo 8 caracteres y que contengan mayúsculas y caracteres especiales. - Mantener el Sistema Operativo Actualizado. - Contar con las aplicaciones en general actualizadas. - Realizar respaldos de información sensible o de alta prioridad. - En el caso de contar con algún firewall perimetral solo dar salida a los sitios de trabajo necesarios. Recomendaciones de configuración Antivirus Cabe resaltar que un Antivirus es un complemento importante en nuestra seguridad perimetral, por lo cual debemos de tomar en cuenta las configuraciones mencionadas en los siguientes puntos para lograr un mayor desempeño del mismo. 1.- Otra de las medidas que debemos de tomar en cuenta es en las políticas de nuestro servidor de Antivirus para usuarios que utilizan equipos PC móviles, ya que cuando no se encuentran en nuestra red local no actualizan sus firmas por que no tienen comunicación con el servidor de HAURI, para esto esta la política de actualización desde internet la cual se aplica a dichos usuarios. Política de VRIS --->"Nombre de Politica" --->Otras ---> pestaña de "Actualizacion"

5 Ilustración 14 - Configuración política de VRIS usuario actualización desde internet También - Verificar que nuestro Antivirus este actualizado. - Aplicación de escaneos programados diariamente o semanal de todas las unidades de disco. Política de VRIS ---> Análisis Programado - Limpieza de los archivos temporales diariamente de preferencia. Política de VRIS ---> Optimización del Sistema - Habilitar contraseña de acceso a la configuración del Antivirus, esto para impedir que el usuario pueda detener algún tipo de escaneo (Tiempo real, escaneo programado, limpieza de temporales). Política de VRIS ---> Avanzadas - Habilitar contraseña para desinstalación de Agente o Cliente de Antivirus. Política de agente --->Políticas de Restricción - Restringir el uso de USB si no es necesario. Política de agente ---> Control de Dispositivos

6 - Desactivar el "autorun.inf" en todas las unidades, esto para que no se ejecute algún malware atreves de esta opción de windows. Política de Windows ---> General - Habilitar de preferencia las actualizaciones automáticas de Windows y los software adicionales.(esta política solo aplica para actualizaciones de parches de windows, para otros software se tiene que habilitar manualmente en su configuración) Política de Windows ---> Actualizar - Activar el uso de los 2 motores de detección de amenazas con los cuales reforzamos nuestra protección. Politica de VRIS ---> Avanzadas - También si es posible el bloqueo de ejecutables en los equipos, tomando en cuenta que no se podrá instalar ningún programa adicional al que se tiene instalado en el equipo, en descargar o temporales. Política de VRIS ---> Basadas en comportamiento Esto también aplica para equipos con S.O servidor en política de VRSP.