Departamento Informtica

Softhard Seguridad TI

Apoyo soporte Avira Antivirus

Prcticas recomendadas para enfrentar Cryptolocker, CTB-Locker (Ransomware).En esta pequea gua pretendemos entregar los pasos a seguir para proteger nuestro entorno de red de la infeccin de estos molestosos encriptadores de archivos. Lo primero a destacar es que la infraestructura informtica de cada empresa es particular, por lo que esta gua deber ser adaptada a la realidad de cada una.El Cryptolocker, y con ello todas sus derivaciones y mutaciones, es un Malware de la categora Ransomware. Este tipo de infeccin causa daos a niveles de eliminar, bloquear, modificar o copiar datos del sistema e interrumpir el desempeo de nuestros PCs. Este ltimo tiempo la mayor masificacin para Latinoamrica ha sido del CTB-Locker, siglas iniciales que hacen referencia a la tecnologa que sustenta el sistema.

C de Curve, debido a la criptografa de curva elptica usada para cifrar los archivos. Su fortaleza hace VIRTUALMENTE IMPOSIBLE DESBLOQUEAR EL ACCESO A LOS ARCHIVOS, aun pagando el rescate solicitado.

T de TOR, red creada para garantizar el anonimato de los usuarios, dificultando as la localizacin de los servidores que alojan los archivos.

B de Bitcoin, moneda criptogrfica de moda y elegida como mtodo de pago para el rescate de archivos debido a su alto valor y lo difcil de rastrear al momento de su transaccin.

Es de considerar que este malware tiene un mecanismo de propagacin bastante usual, llegando por correo y mediante adjuntos o links PHP que ejecutan secundariamente el contenedor del virus. La informacin ah contenida muchas veces es de carcter atractivo, usndose excusas como mensajes de fax, adjuntos de informacin importante o contenido pornogrfico. El archivo EXE o SCR es un troyano del tipo Downloader que se conecta a alguno de los siguientes sitios para descargar el malware real:breteau-photographe.com (213.186.33.150)

voigt-its.de (188.93.8.7)

maisondessources.com (213.186.33.19)

jbmsystem.fr (213.186.33.3)

pleiade.asso.fr (213.186.33.19)

scolapedia.org (213.186.33.19)

Imagen de propagacin del virus.

Desde el momento que se ejecuta el archivo, todos nuestros archivos de datos se cifran quedando inaccesibles para el usuario. Este malware adems rastreara todas las unidades de disco conectadas, y aunque no se transmite por red, si tenemos discos compartidos o carpetas estas afectaran a las dems maquinas.

Imagen JPG del virus y su cobro en BITCOIN.

De esta forma, los mecanismos de accin para el cuidado preventivo y tambin reactivo frente a una infeccin son:

1- Comunicar previamente y mediante correos masivos a nuestros usuarios la presencia de este virus y el evitar y/o informar si se detectan correos sospechosos como el mostrado ms arriba.2- Mantener Backup de nuestra informacin, ya sea en medios extrables o plataformas Cloud que puedan albergar nuestros datos ms importantes y de manera peridica.3- Mantener nuestros antivirus actualizados, asegurndose adems de haber configurado la eliminacin automtica de infecciones.

4- Crear las polticas de bloqueo para aplicaciones de archivos .CAB o .SCR en nuestros firewall si tuvisemos la opcin en nuestras unidades UTM.

Finalmente y como parte de nuestro compromiso con los clientes, es IMPORTANTISIMO un previo aviso a nuestros tcnicos, quienes podrn asistirlo en la eliminacin y posible RECUPERACION DE LOS ARCHIVOS PERDIDOS.

Apoyo Soporte Productos Softhard