Nueva Variante Ransomware CTB-Locker conocido también como Critroni.A, Onion-Locker es una nueva variante del tipo Ramsomware detectada en el inicio del año 2015, similar a las versiones pasadas esta amenaza pide un pago para el rescate de la información por medio de Bitcoins. Qué hace? Esta amenaza cifra documentos importantes de trabajo diario como son, documentos Office, imágenes, videos, entre otros, agregando una extensión aleatoria de 7 letras, con esto impidiendo el acceso a dichos archivos incluso modificando el archivo con la extensión original. Una vez que es infectado se muestra en pantalla una imagen como la siguiente: Imagen: 1, Mensaje de cifrado Como se muestra en Imagen: 1 indica que nuestros archivos han sido cifrados y tenemos plazo de 96 horas realizar el pago. De lo contrario nuestros archivos quedaran cifrados permanentemente.
También trae la opción de ver que archivos fueron cifrados, instrucciones para realizar el pago y como recuperar dichos archivos. Imagen: 2, Instrucciones Un ejemplo de archivo cifrado es cuando tratamos de abrir una imagen o documento y nos muestra un mensaje de error con la leyenda Archivo dañado. Imagen: 3, Ejemplo de archivo cifrado
Cómo puedo ser infectado? La forma propagación de esta amenaza es vía correo, ó también visitando sitios web de dudosa reputación, un ejemplo como llega esta amenaza vía correo electrónico es haciéndose pasar por un correo legítimo, con un asunto de: - Te ganaste un premio. - Factura electrónica. - Nóminas. Nota: el asunto del correo es para llamar la atención del usuario. En el mensaje puede tener un archivo adjunto o dando clic en una liga para visitar un sitio web. Cabe resaltar que este malware requiere la interacción del usuario para infectar la PC. Qué hacer en caso de infección? Lo que se tiene que hacer cuando se detectó que nuestra maquina está infectada es: - Aislar el equipo. - Desconectar cualquier medio extraíble sea USB, Disco duro externo etc. - Desconectar el equipo de la red. - Correr un escaneo completo del equipo con Antivirus actualizado. - Contactar a soporte para la tomar muestra y revisión de equipo. Como puedo prevenir una infección de este malware? La forma de prevenir una infección es concientizar al usuario que hace estas amenazas y de qué manera es que llega a nuestro equipo, también informar los riesgos que se presentan al navegar en sitios de dudosa reputación, revisar la procedencia de correos electrónicos si son legítimos, en el caso de correos con archivos adjuntos no ejecutar si se desconoce la procedencia. De esta manera podemos minimizar el riesgo de infección a nuestra red. Recomendaciones para prevenir infección: - No ejecutar archivos adjuntos de correos desconocidos. - Evitar hacer clic en links de correos desconocidos. - Evitar navegar en sitios de dudosa reputación. - Evitar descargar y ejecutar aplicaciones de correos de dudosa reputación. - Evitar la descarga de programas sospechosos o desconocidos. - No instalar programas desconocidos. - Concientizar al usuario de los riesgos que existen en la red. - Utilizar contraseñas de sesión de usuarios robustas, es decir mínimo 8 caracteres y que contengan mayúsculas y caracteres especiales. - Mantener el Sistema Operativo Actualizado. - Contar con las aplicaciones en general actualizadas. - Realizar respaldos de información sensible o de alta prioridad. - En el caso de contar con algún firewall perimetral solo dar salida a los sitios de trabajo necesarios.
- Recomendaciones de configuración Bitdefender Small Office Security (cloud console) y Gravity Zone En el caso de Bitdefender, la configuración es la misma para cualquiera de las 2 versiones, básicamente es habilitar la heurística tanto para el módulo Antimalware y para el Firewall, se recomienda que como mínimo se establezca un nivel de detección Normal para estas 2 opciones. Los pasos para aplicar dicha configuración son los siguientes: 1. Ir a la opción de Policies o Políticas, una vez ahí, como lo muestra la imagen se edita la o las políticas que tengamos asignadas, de lo contrario se crea una nueva para poder establecer la configuración recomendada. Módulo de políticas. 2. Una vez dentro de la política a configurar, del lado izquierdo seleccionar la opción de Antimalware y activar el módulo AVC (Active Virus Control) y configurarlo con un nivel de detección Normal o Agresivo.
3. Por último del lado izquierdo, seleccionamos el módulo de Firewall y activamos el módulo IDS (Intrusion Detection System) y al igual que el AVC, lo establecemos ya sea con un nivel de detección Normal o Agresivo.