![\"powerware-ransomware-0\"](\"https:\/\/cert.pa\/wp-content\/uploads\/2016\/04\/powerware-ransomware-0.png\")
<\/a>Documento de MS Word solicita la habilitaci\u00f3n de macros<\/p><\/div>\n
CSIRT Panam\u00e1 Aviso 2016-01- Powerware, Ransomware sin archivos ejecutables
\nGravedad: ALTA
\nFecha de publicaci\u00f3n: Marzo 30, 2016
\nFecha de modificaci\u00f3n: Marzo 30, 2016
\n\u00daltima revisi\u00f3n: Revisi\u00f3n A.
\nFuente: CarbonBlack<\/b><\/p>\n
I. Sistemas Afectados
\nTodos los sistemas operativos Microsoft Windows, desde XP en adelante, incluyendo las versiones empresariales para servidores.<\/p>\n
II. Descripci\u00f3n
\nPowerware es el nombre de una nueva variante de Ransomware que debe su nombre por utilizar PowerShell para realizar la descarga y ejecuci\u00f3n de un script malicioso.
\nLo que realmente distingue a Powerware de otros Ransomware es que no posee archivos ejecutables, una t\u00e1ctica adoptada por otras familias de c\u00f3digo malicioso utilizadas en exploit kits tal como lo es Angler.
\nPowerware se propaga a trav\u00e9s de estafas de fraude v\u00eda correo electr\u00f3nico, que incluyen consigo un adjunto en Microsoft Word, este archivo solicita al usuario habilitar la ejecuci\u00f3n de macros bajo la excusa de no poder visualizarse correctamente el documento. Una vez habilitado, el macro abre cmd.exe que luego ejecuta PowerShell, el framework de Windows que administra tareas. Al usar PowerShell se evita que se escriban archivos al disco y permite confundir el c\u00f3digo malicioso con actividad leg\u00edtima en la m\u00e1quina infectada seg\u00fan se\u00f1alan los investigadores de seguridad que lo descubrieron. El programa que realmente realiza el cifrado de los archivos secuestrados es PowerShell a trav\u00e9s del script malicioso que se ejecuta dentro de s\u00ed, sin necesidad de archivos ejecutables adicionales como sucede con las infecciones tradicionales. Para que el usuario descifre y recupere los archivos secuestrados, el Ransomware solicita $500 para el intercambio de la llave criptogr\u00e1fica y despu\u00e9s de dos semanas de infecci\u00f3n solicita hasta $1,000.<\/p>\n
\n
III. Impacto<\/p>\n
Vector de acceso: Remoto, mediante ejecuci\u00f3n de macros en documento Word adjunto en correo electr\u00f3nico fraudulento.
\nComplejidad de Acceso: Media
\nAutenticaci\u00f3n: Se requieren permisos de ejecuci\u00f3n de macros.
\nTipo de impacto: Compromiso parcial o total de la integridad de los datos personales del usuario.<\/p>\n
IV. Detecci\u00f3n<\/p>\n
Powerware suele propagarse por correos electr\u00f3nicos fraudulentos (cuyo origen y\/o contexto sea sospechoso y desconocido), que contienen un documento \u201cinvoice\u201d en formato Word adjunto. En las siguientes im\u00e1genes se presenta la captura de pantalla del adjunto.<\/p>\n