{"id":248,"date":"2015-05-28T09:52:05","date_gmt":"2015-05-28T14:52:05","guid":{"rendered":"https:\/\/10.252.76.154\/?p=248"},"modified":"2015-10-15T21:06:17","modified_gmt":"2015-10-16T02:06:17","slug":"csirt-panama-aviso-2015-05-informacion-acerca-de-ransomware","status":"publish","type":"post","link":"https:\/\/cert.pa\/?p=248","title":{"rendered":"CSIRT Panam\u00e1 Aviso 2015-05- Informaci\u00f3n acerca de Ransomware"},"content":{"rendered":"<p style=\"text-align: justify;\">CSIRT Panam\u00e1 Aviso 2015-05- Informaci\u00f3n acerca de Ransomware<br \/>\nGravedad: ALTA<br \/>\nFecha de publicaci\u00f3n: Mayo, 2015<br \/>\nFecha de modificaci\u00f3n: Mayo, 2015<br \/>\n\u00daltima revisi\u00f3n: Revisi\u00f3n B \u2013 Mayo 2015.<\/p>\n<p style=\"text-align: justify;\">I. Sistemas Afectados<br \/>\nWindows en todas sus versiones, tanto de escritorio como de servidor. Esto incluye Linux y MacOS que est\u00e9n ejecutando de forma virtual alguna versi\u00f3n de Windows.<\/p>\n<p style=\"text-align: justify;\">II. Descripci\u00f3n<br \/>\nRansomware (software malicioso de secuestro de informaci\u00f3n), es un tipo de c\u00f3digo malicioso que restringe el acceso a los archivos del usuario mediante el cifrado de la informaci\u00f3n contenida en un computador. Luego de esto, el malware demanda el rescate de estos archivos a trav\u00e9s un pago electr\u00f3nico (bitcoins, por ejemplo) para poder habilitar el descifrado de los archivos secuestrados. Las im\u00e1genes 1 y 2 muestran distintos avisos utilizados por los ransomware m\u00e1s populares, al momento de cifrar los archivos de la v\u00edctima.<\/p>\n<p style=\"text-align: justify;\"><a href=\"https:\/\/cert.pa\/wp-content\/uploads\/2015\/05\/ctb-locker-la.png\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-252 size-full\" src=\"https:\/\/cert.pa\/wp-content\/uploads\/2015\/05\/ctb-locker-la.png\" alt=\"ctb-locker-la\" width=\"421\" height=\"341\" srcset=\"https:\/\/cert.pa\/wp-content\/uploads\/2015\/05\/ctb-locker-la.png 421w, https:\/\/cert.pa\/wp-content\/uploads\/2015\/05\/ctb-locker-la-300x243.png 300w\" sizes=\"auto, (max-width: 421px) 100vw, 421px\" \/><\/a><\/p>\n<p style=\"text-align: justify;\">III. Impacto<br \/>\nVector de acceso: A trav\u00e9s de red \u2013 remoto<br \/>\nComplejidad de Acceso: Baja<br \/>\nAutenticaci\u00f3n: Se requieren permisos de instalaci\u00f3n y ejecuci\u00f3n de programas.<br \/>\nTipo de impacto: Compromiso total\/parcial de la disponibilidad y confidencialidad de los archivos del usuario\/servidor.<\/p>\n<p style=\"text-align: justify;\"><a href=\"https:\/\/cert.pa\/wp-content\/uploads\/2015\/05\/ctb-locker-variante.png\"><img loading=\"lazy\" decoding=\"async\" class=\"aligncenter wp-image-253 size-full\" src=\"https:\/\/cert.pa\/wp-content\/uploads\/2015\/05\/ctb-locker-variante.png\" alt=\"ctb-locker-variante\" width=\"651\" height=\"542\" srcset=\"https:\/\/cert.pa\/wp-content\/uploads\/2015\/05\/ctb-locker-variante.png 651w, https:\/\/cert.pa\/wp-content\/uploads\/2015\/05\/ctb-locker-variante-300x250.png 300w\" sizes=\"auto, (max-width: 651px) 100vw, 651px\" \/><\/a><\/p>\n<p style=\"text-align: justify;\">IV. Detecci\u00f3n<br \/>\nEs posible detectar y eliminar variantes de programas de rescate mediante barridos\u00a0frecuentes con herramientas antivirus y antimalware actualizadas. Una buena implementaci\u00f3n de pol\u00edticas de filtrado de correo y cortafuegos permiten el descarte de fuentes maliciosas a las que el usuario puede acceder para la descarga e instalaci\u00f3n involuntaria del ransomware.<\/p>\n<p style=\"text-align: justify;\">\u00bfC\u00f3mo se reconoce?<br \/>\nUn m\u00e9todo com\u00fan para infectar a usuarios con un ransomware es mediante correos. Se debe sospechar de fuentes desconocidas y correos en otros idiomas. Sin embargo es posible que el correo provenga de alg\u00fan contacto conocido, se debe confirmar por otra v\u00eda (sin responder al correo de sospecha) sobre el env\u00edo del adjunto. Algunos correos viene con el asunto fax. Otro m\u00e9todo de infecci\u00f3n es al hacer click en un enlace que redirecciona a una p\u00e1gina que realiza la descarga de forma autom\u00e1tica. Se debe revisar primero hacia d\u00f3nde dirige la p\u00e1gina antes de hacer click en el enlace.<\/p>\n<p style=\"text-align: justify;\"><a href=\"https:\/\/cert.pa\/wp-content\/uploads\/2015\/05\/ransomware-propagation.png\"><img loading=\"lazy\" decoding=\"async\" class=\"wp-image-254 size-full aligncenter\" src=\"https:\/\/cert.pa\/wp-content\/uploads\/2015\/05\/ransomware-propagation.png\" alt=\"ransomware-propagation\" width=\"739\" height=\"241\" srcset=\"https:\/\/cert.pa\/wp-content\/uploads\/2015\/05\/ransomware-propagation.png 739w, https:\/\/cert.pa\/wp-content\/uploads\/2015\/05\/ransomware-propagation-300x98.png 300w\" sizes=\"auto, (max-width: 739px) 100vw, 739px\" \/><\/a><\/p>\n<p style=\"text-align: justify;\"><a href=\"https:\/\/cert.pa\/wp-content\/uploads\/2015\/05\/ransomware-propagation-attachment.png\"><img loading=\"lazy\" decoding=\"async\" class=\"wp-image-257 size-full aligncenter\" src=\"https:\/\/cert.pa\/wp-content\/uploads\/2015\/05\/ransomware-propagation-attachment.png\" alt=\"Correo adjunto sospechoso\" width=\"643\" height=\"419\" srcset=\"https:\/\/cert.pa\/wp-content\/uploads\/2015\/05\/ransomware-propagation-attachment.png 643w, https:\/\/cert.pa\/wp-content\/uploads\/2015\/05\/ransomware-propagation-attachment-300x195.png 300w\" sizes=\"auto, (max-width: 643px) 100vw, 643px\" \/><\/a><\/p>\n<p>V. Recomendaciones<\/p>\n<ul>\n<li style=\"text-align: justify;\">Generalmente el Ransomware utiliza mecanismos de cifrado no reversibles. La mayor\u00eda de las veces no existen mecanismos para descifrar los archivos sin la clave que est\u00e1 en poder de los atacantes. Las siguientes recomendaciones buscan brindar al lector opciones para evitar ser v\u00edctimas de este tipo de malware.<\/li>\n<li style=\"text-align: justify;\">Evitar abrir archivos adjuntos o enlaces de Internet de procedencia sospechosa o desconocida. Tambi\u00e9n pueden ocurrir casos donde se reciben correos maliciosos de contactos conocidos (donde ocurre una falsificaci\u00f3n de identidad), por lo que se recomienda confirmar con la fuente si en verdad envi\u00f3 el adjunto, esto se debe realizar en persona\/tel\u00e9fono o en un correo aparte del recibido, ya que al responder un correo malicioso con identidad falsificada la respuesta se redirigir\u00eda al atacante y no al verdadero usuario del correo.<\/li>\n<li style=\"text-align: justify;\">Evitar abrir enlaces sospechosos en Internet. Antes de hacer click en un enlace se puede revisar hacia d\u00f3nde redirige solamente colocando el mouse sobre el enlace sin hacer click y se mostrar\u00e1 en pantalla o en la parte inferior el verdadero enlace de la p\u00e1gina.<\/li>\n<li style=\"text-align: justify;\">Realizar respaldos frecuentes y almacenarlos en discos duros sin acceso a Internet o a la red, ya que al infectar una m\u00e1quina con acceso a un servidor se pueden cifrar tambi\u00e9n archivos del servidor.<\/li>\n<li style=\"text-align: justify;\">Activar Shadow Volume Copies con la funcionalidad Restaurar Sistema de Windows en las m\u00e1quinas importantes.<\/li>\n<li style=\"text-align: justify;\">Actualizar herramientas anti-virus y anti-malware, y correr escaneos de forma regular.<\/li>\n<li style=\"text-align: justify;\">Implementar pol\u00edticas de filtrado de correo por el tipo de extensi\u00f3n de los archivos adjuntos. Se deben bloquear todos los adjuntos con extensiones .exe y .scr. Algunas variantes tambi\u00e9n pueden venir en archivos de extensi\u00f3n .cab.<\/li>\n<li style=\"text-align: justify;\">Monitoreo constante de la actividad de conexi\u00f3n de los equipos en red para detectar alg\u00fan comportamiento o tr\u00e1fico inusual.<\/li>\n<\/ul>\n<p style=\"text-align: justify;\">Todo el personal funcionario de la instituci\u00f3n que utilice computadora, laptop, celular, tableta y cualquier dispositivo que le permita tener acceso al servicio de correo e Internet debe estar informado y capacitado en las campa\u00f1as de concienciaci\u00f3n sobre las infecciones de c\u00f3digo malicioso, los correos sospechosos, correos fraudulentos, enlaces acortados y temas relacionados, para evitar que mediante ingenier\u00eda social y falsificaci\u00f3n de identidad sean v\u00edctimas de un ataque por correo.<\/p>\n<p>VI. Informaci\u00f3n Adicional<\/p>\n<ul>\n<li>http:\/\/www.symantec.com\/connect\/blogs\/support-perspective-ctb-locker-and-other-forms-crypto-malwareand-upatre<\/li>\n<li style=\"text-align: justify;\">https:\/\/kc.mcafee.com\/resources\/sites\/MCAFEE\/content\/live\/PRODUCT_DOCUMENTATION\/25000\/PD25696\/en_US\/McAfee_Labs_Threat_Advisory-CTB-Locker.pdff<\/li>\n<li style=\"text-align: justify;\">http:\/\/www.welivesecurity.com\/2015\/01\/21\/ctb-locker-multilingual-malware-demands-ransome\/<\/li>\n<\/ul>\n<p style=\"text-align: justify;\">VII. Informaci\u00f3n de contacto<\/p>\n<p style=\"text-align: justify;\">CSIRT PANAMA<br \/>\nComputer Security Incident Response Team Autoridad Nacional para la\u00a0Innovacion Gubernamental<br \/>\nE-Mail: info@cert.pa<br \/>\nPhone: +507 520-CERT (2378)<br \/>\nWeb: https:\/\/cert.pa<br \/>\nTwitter: @CSIRTPanama<br \/>\nFacebook: http:\/\/www.facebook.com\/CSIRTPanama<br \/>\nKey ID: 16F2B124<\/p>\n<p style=\"text-align: justify;\">\n","protected":false},"excerpt":{"rendered":"<p>CSIRT Panam\u00e1 Aviso 2015-05- Informaci\u00f3n acerca de Ransomware Gravedad: ALTA Fecha de publicaci\u00f3n: Mayo, 2015 Fecha de modificaci\u00f3n: Mayo, 2015 \u00daltima revisi\u00f3n: Revisi\u00f3n B \u2013 Mayo 2015. I. Sistemas Afectados Windows en todas sus versiones,&#8230;<\/p>\n","protected":false},"author":4,"featured_media":295,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"om_disable_all_campaigns":false,"_monsterinsights_skip_tracking":false,"_monsterinsights_sitenote_active":false,"_monsterinsights_sitenote_note":"","_monsterinsights_sitenote_category":0,"_uf_show_specific_survey":0,"_uf_disable_surveys":false,"footnotes":""},"categories":[4],"tags":[8,30],"class_list":["post-248","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-avisos-de-seguridad","tag-avisos","tag-ransomware"],"aioseo_notices":[],"_links":{"self":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/248","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/users\/4"}],"replies":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fcomments&post=248"}],"version-history":[{"count":9,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/248\/revisions"}],"predecessor-version":[{"id":438,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/posts\/248\/revisions\/438"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=\/wp\/v2\/media\/295"}],"wp:attachment":[{"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fmedia&parent=248"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Fcategories&post=248"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/cert.pa\/index.php?rest_route=%2Fwp%2Fv2%2Ftags&post=248"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}