Por si te roban: llega el “Lojack” de las computadoras
Así como los autos tienen servicios de monitoreo satelital que se activan cuando el vehículo es robado, ahora las computadoras pueden contar con un sistema similar.
Informes
Egregor utiliza una variedad de técnicas anti-ofuscación y empaquetamiento del payload para evitar su análisis. Se considera que la funcionalidad del ransomware es similar a la de Sekhmet. Conoce esta amenaza y cómo protegerte.
A mediados de noviembre de 2020, se confirmó que las empresas Cencosud (Jumbo, Easy, Paris y Santa Isabel) habrían sido afectados por Egregor. Los sistemas de algunas tiendas del conglomerado del retail en la región de Valparaíso (Chile) y según se indica en redes sociales, también en el resto del país e incluso en Argentina.
A continuación, presentamos el informe de SOC RAN sobre esta amenaza, los IOCs SHA-, los dominios utilizados y nuestras recomendaciones:
Egregor utiliza una variedad de técnicas anti-ofuscación y empaquetamiento del payload para evitar su análisis. Se considera que la funcionalidad del ransomware es similar a la de Sekhmet. "En una de las etapas de ejecución, la carga útil de Egregor solo se puede descifrar si se proporciona la clave correcta a través de la línea de comando, lo que significa que el archivo no se puede analizar, ya sea manualmente o mediante la utilización técnicas de sandbox".
El ransomware Egregor suele ser distribuido por los delincuentes después de una violación de la red corporativa. La muestra de malware es un archivo DLL que debe iniciarse con la contraseña correcta proporcionada como argumento de línea de comando. La DLL generalmente se descarga de Internet.
En ocasiones, los dominios utilizados para difundirlo explotan nombres o palabras utilizadas en la industria de la víctima.
Egregor es probablemente la familia de ransomware más agresiva en términos de negociación con las víctimas. Solo da 72 horas para contactar al actor de la amenaza. De lo contrario, los datos de la víctima se procesan para su publicación. El pago del ransomware se negocia y acuerda a través de un chat especial asignado a cada víctima y el pago se recibe en BTC. Egregor utiliza un esquema de cifrado de archivos híbrido basado en el cifrado de flujo ChaCha y el cifrado asimétrico RSA. La clave pública maestra RSA-2048 de los delincuentes está incrustada en el cuerpo del troyano.
Cuando se ejecuta en la máquina de una víctima, Egregor genera un nuevo par único de claves RSA de sesión. La clave RSA privada de la sesión es exportada y cifrada por ChaCha con una clave generada de forma única más un nonce, luego la clave y el nonce son cifrados por la clave RSA pública maestra.
Los resultados se guardan en un archivo binario, así como una cadena codificada en Base64 en las notas de rescate. Para cada archivo de datos que procesa Egregor, genera una nueva clave ChaCha de 256 bits y un nonce de 64 bits, cifra el contenido del archivo por ChaCha, luego los cifra usando la clave pública RSA de la sesión y los guarda junto con alguna información auxiliar al final del archivo cifrado. Los últimos 16 bytes de cada archivo cifrado se componen de un marcador dinámico: un DWORD aleatorio y este mismo DWORD xor'ed con el valor 0xB16B00B5 que equivale a 'BIGBOOBS' en el llamado lenguaje leet.
Dominios utilizados:
Tor Onion URLs:
C&C servers:
INFORME: S.O.C. RAN Security
+ Info: expertos@ransecurity.com
www.ransecurity.com
Así como los autos tienen servicios de monitoreo satelital que se activan cuando el vehículo es robado, ahora las computadoras pueden contar con un sistema similar.
Una de las aseguradoras más importantes de Europa ha sido víctima de Avaddon, afectando sus operaciones de TI en Tailandia, Malasia, Hong Kong y Filipinas. Este hecho se da justo la semana después de que el FBI ya había notificado actividad creciente de este ransomware (FLASH CU-000145-MW). Conoce cómo se comporta esta amenaza y cómo protegerte.
Los chatbots pueden ser herramientas útiles en el ámbito laboral, pero es importante tener en cuenta que cualquier información compartida con ellos podría ser utilizada para entrenar al sistema y aparecer en respuestas a otros usuarios. El caso de Samsung es un ejemplo de los riesgos de compartir información confidencial con chatbots.
Con el aumento del teletrabajo, el uso de servicios en la nube como Office 365 aumentó dramáticamente. Aprende como proteger servicios de O365 como Outlook, Onedrive y Teams.
Expertos advierten que el mal resguardo de la privacidad, que va de la mano con la cultura de compartir de más en línea, puede culminar en consecuencias importantes para los usuarios, como el doxing, la práctica de hacer pública y subir a Internet la información privada de una persona (nombre, datos personales, información financiera, dirección, etc.), y la venta de datos personales en los mercados clandestinos en la web.
Conectarse a redes abiertas expone información personal a cibercriminales, que pueden robar datos sensibles, suplantar la identidad o infectar el dispositivo.