Mediante troyanos filecoder, los cibercriminal pueden cifrar archivos para luego pedir un pago por descifrarlos; también utilizan diversos métodos de propagación como sitios maliciosos, archivos adjuntos en correo electrónico u otros troyanos y cobran rescates en Bitcoin. Esto muestra la adaptación a las nuevas tendencias de los usuarios por parte de cibercriminales.
De acuerdo con Eset, en los últimos meses, ha habido un incremento significativo en la actividad de los troyanos que cifran información de los usuarios e intentan extorsionarlos ofreciéndoles el pago de un rescate a cambio de los mismos. Esta categoría de códigos maliciosos existe hace varios años y se denominan filecoders. Son uno de los tipos de ransomware más prolíficos, y han sido detectados por los productos de Eset como Win32/Filecoder y Win32/Gpcode, entre otros.
El sistema de alerta temprana Eset Live Grid mostró que el número de detecciones semanales de Win32/Filecoder se ha triplicado a partir de julio de 2013, en comparación al número promedio registrado entre enero y junio del mismo año. La principal característica de filecoder es que puede cifrar los archivos de la víctima (generalmente fotos, documentos, música y archivos) para luego pedir un pago para liberarlos. Incluso llega a hacer el cobro utilizando Bitcoin, lo cual demuestra que los cibercriminales siguen adaptándose a las nuevas tendencias de los usuarios.
Al igual que en otros casos de troyanos, los cibercriminales que utilizan el ransomware filecoder poseen diferentes métodos para propagar esta amenaza, que incluyen sitios maliciosos, archivos adjuntos en correo electrónico, o la utilización de otros troyanos, por ejemplo los de tipo backdoor.
“Recomendamos a los usuarios proteger la configuración de la solución de seguridad con una contraseña, para evitar que un atacante pueda alterar los parámetros de protección. Asimismo, es fundamental mantener un respaldo de los datos (backup) actualizado”, declaró André Goujon, especialista de Awareness & Research de Eset Latinoamérica.
En uno de los casos investigados por Eset, se observó que la víctima recibía un archivo adjunto por correo electrónico que contenía un backdoor. Cuando era ejecutado, el troyano procedía a contactarse a un Centro de Comando y Control (C&C) a la espera de comandos remotos. Posteriormente, el atacante enviaba una variante de Win32/Filecoder a los equipos infectados. Esta acción permitía infectar esos sistemas sin la necesidad de copiar el troyano al disco y solamente cargándolo en memoria RAM.
Otro caso es Win32/Filecoder.BH, también conocido como DirtyDecrypt. Este malware utiliza un método visual de extorsión hacia la víctima: durante el ciclo de cifrado de imágenes y documentos, el contenido de ambos tipos de archivos es sobrescrito con un mensaje de advertencia seguido de los bytes originales del cifrado. Una variante más es Win32/Filecoder.BQ, el cual intenta presionar a la víctima utilizando una cuenta regresiva del tiempo que resta para que la llave del cifrado sea eliminada definitivamente y los datos no puedan ser recuperados.
Más información sobre Filecoder disponible en http://blogs.eset-la.com/laboratorio/2013/09/24/filecoder-dinero-cambio-informacion-secuestrada/.
Compartir nota:
