Tutoriales y Manuales
Entradas Mensuales
- ► 2021 (Total: 730 )
- ► 2020 (Total: 212 )
- ► 2019 (Total: 102 )
- ► 2018 (Total: 150 )
- ► 2017 (Total: 231 )
- ► 2016 (Total: 266 )
- ► 2015 (Total: 445 )
-
▼
2014
(Total:
185
)
-
▼
diciembre
(Total:
38
)
- MegaChat: el nuevo Skype con cifrado seguro de Kim...
- Hackean Modems USB 4G y tarjetas SIM usando mensaj...
- Lizard Squad para los ataques DDos a PSN y XBOX Li...
- Hackean la web de AEDE en protesta contra el canon
- El proveedor de hosting DinaHosting sufre un ataqu...
- Kodi 14 Helix, el MediaCenter libre y multiplatafo...
- Un adolescente de 17 años de Londres se declara cu...
- SMB Worm Tool es la herramienta usada en el ataque...
- Publican el código fuente de The Open Bay como Ope...
- Disponible John the Ripper 1.8.0-jumbo-1
- Vídeo demostración de BadUSB con USBdriveby en Mac...
- ShadowCrypt, una extensión de Chrome para cifrar c...
- La extensión de Chrome para cifrar e-mails llega a...
- Vulnerabilidad Misfortune Cookie - La galleta de l...
- La ICANN fue objeto de un ataque de spear phishing
- El FBI utilizó Metasploit para descubrir a usuario...
- Análisis del ransomware TorrentLocker
- Disponible Wifislax 4.10 versión Final
- Detenido a un exdirectivo de Intereconomía por con...
- UFONet - DDoS via WebAbuse - v0.4b "Infection"
- Google Zeitgeist 2014: Lo más buscado en Google
- CryptPHP el malware que afecta a WordPress, Drupal...
- Recopilación de más de 100 libros sobre programaci...
- Snort++ aka Snort 3.0 - Network intrusion preventi...
- ODROID-C1, una alternativa a la Raspberry Pi
- msfpayload y msfencode desaparecerán de Metasploit
- Conferencias de seguridad en Santander: Sh3llCON -...
- thepiratebay.cr NO es el nuevo dominio de The Pira...
- Adobe Flash Player 16 ya se encuentra disponible
- Lizard Squad amenaza con tirar Xbox Live el día de...
- Los vídeos más vistos de YouTube en 2014
- Un redada policial en Suecia deja sin servicio a T...
- Poodle también afecta a TLS 1.2
- Alerta por infecciones masivas por e-mail falso de...
- Solucionada grave vulnerabilidad CSRF en Paypal
- La red temática Criptored cumple 15 años
- (PoC) Proof of Concept Wordpress y Drupal (CVE-201...
- Samurai Web Testing Framework 3.0: LiveDVD para au...
-
▼
diciembre
(Total:
38
)
- ► 2013 (Total: 100 )
- ► 2012 (Total: 8 )
- ► 2011 (Total: 7 )
Blogroll
Etiquetas
noticias
(
396
)
seguridad
(
336
)
privacidad
(
243
)
vulnerabilidad
(
191
)
software
(
183
)
ransomware
(
178
)
android
(
166
)
google
(
165
)
Malware
(
153
)
tutorial
(
153
)
Windows
(
149
)
manual
(
138
)
cve
(
134
)
hardware
(
130
)
linux
(
93
)
herramientas
(
70
)
ddos
(
63
)
hacking
(
63
)
Wifi
(
62
)
sysadmin
(
57
)
cifrado
(
56
)
WhatsApp
(
53
)
app
(
49
)
twitter
(
33
)
firmware
(
31
)
adobe
(
30
)
eventos
(
30
)
Networking
(
29
)
contraseñas
(
28
)
nvidia
(
27
)
antivirus
(
26
)
flash
(
26
)
office
(
26
)
ssd
(
25
)
cms
(
24
)
firefox
(
24
)
MAC
(
23
)
hack
(
22
)
programación
(
22
)
youtube
(
20
)
apache
(
18
)
juegos
(
18
)
javascript
(
17
)
SeguridadWireless
(
16
)
documental
(
16
)
exploit
(
16
)
multimedia
(
16
)
ssl
(
16
)
anonymous
(
15
)
Kernel
(
14
)
conferencia
(
14
)
Debugger
(
13
)
Forense
(
13
)
técnicas hacking
(
13
)
auditoría
(
12
)
lizard squad
(
12
)
delitos
(
11
)
Virtualización
(
10
)
metasploit
(
10
)
adamo
(
9
)
reversing
(
9
)
Ehn-Dev
(
7
)
Rootkit
(
7
)
antimalware
(
6
)
MAC Adress
(
5
)
oclHashcat
(
5
)
Entradas populares
-
-
Reportan la detección de una nueva "técnica" para recopilar credenciales de usuarios robadas abusando de las características de l...
-
¿Vale la pena seguir usando banda 2.4GHz o mejor usar sólo Banda 5GHz? Diferencias, ventajas y desventajasLa forma de conectarnos a Internet en nuestra casa suele ser la conectividad WiFi, por este motivo es tan importante tener un router WiFi...
viernes, 5 de diciembre de 2014


Publicado por
el-brujo


Editar entrada
Se ha detectado una campaña de phishing que suplanta la identidad de la
empresa Correos con una supuesta "carta certificada" con el objetivo de engañar a los usuarios mediante
ingeniería social, para que hagan clic en un enlace que les redirige a
una web maliciosa que suplanta la identidad de la compañía y tratar de
provocar que los usuarios descarguen e instalen (ejecuten) un virus que cifrará los
archivos del ordenador.
Herramientas como TorrentUnlocker parecen no funcionar.
TorrentLocker es un programa ransomware archivo de cifrado que fue lanzado a finales de agosto 2014 que se dirige a todas las versiones de Windows, incluyendo Windows XP, Windows Vista, Windows 7 y Windows 8. Una vez que haya sido infectado con TorrentLocker va a escanear su ordenador para buscar archivos de datos y cifrarlos utilizando un cifrado AES para que luego ya no son capaces de ser abiertos
Una vez que la infección ha cifrado los archivos de datos en todas las letras de unidad del ordenador, se mostrará una ventana que contiene la nota de rescate y las instrucciones sobre cómo obtener los archivos de nuevo. Estas instrucciones incluyen un enlace a la CryptoLocker Comprar descifrado, que le informará de la cantidad actual de rescate, la cantidad de archivos encriptados, y las instrucciones sobre cómo hacer su pago. El costo del rescate comienza en alrededor de $ 550 USD y sube después de 3 días. El rescate debe ser pagado en Bitcoins y enviado a una dirección bitcoin que es único para cada usuario infectado..
TorrentLocker se distribuye a través de correos electrónicos que pretenden ser el envío de notificaciones, conducir o exceso de velocidad violaciónes, u otra correspondencia corporativa / gobierno. Algunos correos electrónicos contendrán el instalador de malware como archivos adjuntos ZIP o documentos de Word, mientras que otros contienen un enlace que le llevará al sitio falso asociado que se le pedirá que introduzca un código de 5 dígitos con el fin de descargar la notificación del envío o violación aviso. Cuando se introduce el código que se descarga un archivo ZIP que contiene un ejecutable que se disfrazan como archivos PDF. Ejemplos de cómo los archivos ZIP se nombran y cómo los ejecutables se disfrazan como PDF se pueden ver a continuación.
Cuando se abren los archivos PDF falsos van a infectar su computadora con la infección TorrentLocker e instalar los archivos de malware en la carpeta% AppData%,% Temp% o% carpetas% WinDir. Una vez infectado el instalador comenzará a escanear las letras de unidad de su computadora para los archivos de datos. Cuando TorrentLocker detecta un archivo de datos soportada se cifrará y luego agregar la información .encrypted al nombre del archivo. Los archivos de datos que se cifran incluyen las siguientes extensiones de archivo:
Método 1: copias de seguridad
El primer y mejor método para restaurar los datos es una copia de seguridad reciente. Si no tienes backup ¿qué estas esperando para hacerlo?
Método 2: Software de recuperación de archivos
Parece que cuando CryptoLocker cifra un archivo, primero hace una copia del mismo, codifica la copia y luego elimina el original. Debido a este procedimiento se puede usar un software de recuperación de archivos como R-Studio o Photorec para intentar recuperar algunos de los archivos originales. Es importante tener en cuenta que cuanto más se utilice la computadora, más difícil será recuperar los archivos eliminados sin cifrar.
Método 3: Instantáneas de volumen de Windows (Shadow Volume Copies)
Como último recurso, puede tratar de restaurar los archivos a través de las instantáneas de volumen automática de Windows, siempre y cuando las mismas se encuentren activadas en el sistema operativo. Desafortunadamente, el malware intentará eliminar las instantáneas, pero a veces no logra hacerlo y esta copia puede utilizarse para restaurar los archivos.
Estos snapshots permiten restaurar una versión anterior de los archivos, antes de que fueran cifrados. Sin embargo, los archivos recuperados seguramente no serán la última versión del archivo.
Existen dos métodos que pueden utilizarse para restaurar archivos y carpetas desde el Volume Shadow Copy. El primer método es usar las funciones nativas de Windows y el segundo método es utilizar la aplicación gratuita Shadow Explorer. No hace daño probar ambos métodos y ver qué cual funciona mejor.
Para restaurar archivos individuales se puede hacer clic derecho sobre el archivo, ir a propiedades y seleccionar la versión anterior que se desea recuperar.
Haz click con el botón derecho en cualquier archivo cifrado o carpeta entera y click en "EXPORT..."
La fisonomía del ataque se aleja de los típicos correos mal escritos y
que son detectables a simple vista. Por contra, la campaña está empleando e-mails que simulan provenir de Correos y hablan sobre un paquete que no ha podido ser entregado.
Las últimas versiones son capaces incluso de cifrar lo que tengas conectado por USB, ya sea disco duro o pendrive, e incluso lo que tengas en otro ordenador conectado por LAN (con permiso de escritura de las carpetas compartidas claro).
También hay una variante llamada Teslacrypt que se aprovecha de una vulnerabilidad en Adobe Flash Player.
En breve recibirá en su domicilio el envío XX remitido por YY .
Para más información, pinche en el nº de envío
Atentamente,
Atención al Cliente
Correos S.A.E.
Por favor, no responda a este correo electrónico ya que su petición no será atendida. La Información incluida en el presente correo electrónico es SECRETO PROFESIONAL Y CONFIDENCIAL, siendo para el uso exclusivo del destinatario arriba mencionado.
Si usted no es el destinatario del mensaje o ha recibido esta comunicación por error le informamos que esta totalmente prohibida cualquier divulgación, distribución o reproducción de esta comunicación.
Gracias.
Las últimas versiones son capaces incluso de cifrar lo que tengas conectado por USB, ya sea disco duro o pendrive, e incluso lo que tengas en otro ordenador conectado por LAN (con permiso de escritura de las carpetas compartidas claro).
También hay una variante llamada Teslacrypt que se aprovecha de una vulnerabilidad en Adobe Flash Player.
El dominio que están empleando (al menos en algunos de esos e-mails) es correos24.net
TorrentLocker (fake CryptoLocker) Ransomware
TorrentLocker es un programa ransomware archivo de cifrado que fue lanzado a finales de agosto 2014 que se dirige a todas las versiones de Windows, incluyendo Windows XP, Windows Vista, Windows 7 y Windows 8. Una vez que haya sido infectado con TorrentLocker va a escanear su ordenador para buscar archivos de datos y cifrarlos utilizando un cifrado AES para que luego ya no son capaces de ser abiertos
Una vez que la infección ha cifrado los archivos de datos en todas las letras de unidad del ordenador, se mostrará una ventana que contiene la nota de rescate y las instrucciones sobre cómo obtener los archivos de nuevo. Estas instrucciones incluyen un enlace a la CryptoLocker Comprar descifrado, que le informará de la cantidad actual de rescate, la cantidad de archivos encriptados, y las instrucciones sobre cómo hacer su pago. El costo del rescate comienza en alrededor de $ 550 USD y sube después de 3 días. El rescate debe ser pagado en Bitcoins y enviado a una dirección bitcoin que es único para cada usuario infectado..
TorrentLocker se distribuye a través de correos electrónicos que pretenden ser el envío de notificaciones, conducir o exceso de velocidad violaciónes, u otra correspondencia corporativa / gobierno. Algunos correos electrónicos contendrán el instalador de malware como archivos adjuntos ZIP o documentos de Word, mientras que otros contienen un enlace que le llevará al sitio falso asociado que se le pedirá que introduzca un código de 5 dígitos con el fin de descargar la notificación del envío o violación aviso. Cuando se introduce el código que se descarga un archivo ZIP que contiene un ejecutable que se disfrazan como archivos PDF. Ejemplos de cómo los archivos ZIP se nombran y cómo los ejecutables se disfrazan como PDF se pueden ver a continuación.
Cuando se abren los archivos PDF falsos van a infectar su computadora con la infección TorrentLocker e instalar los archivos de malware en la carpeta% AppData%,% Temp% o% carpetas% WinDir. Una vez infectado el instalador comenzará a escanear las letras de unidad de su computadora para los archivos de datos. Cuando TorrentLocker detecta un archivo de datos soportada se cifrará y luego agregar la información .encrypted al nombre del archivo. Los archivos de datos que se cifran incluyen las siguientes extensiones de archivo:
*.wb2, *.psd, *.p7c, *.p7b, *.p12, *.pfx, *.pem, *.crt, *.cer, *.der, *.pl, *.py, *.lua, *.css, *.js, *.asp, *.php, *.incpas, *.asm, *.hpp, *.h, *.cpp, *.c, *.7z, *.zip, *.rar, *.drf, *.blend, *.apj, *.3ds, *.dwg, *.sda, *.ps, *.pat, *.fxg, *.fhd, *.fh, *.dxb, *.drw, *.design, *.ddrw, *.ddoc, *.dcs, *.csl, *.csh, *.cpi, *.cgm, *.cdx, *.cdrw, *.cdr6, *.cdr5, *.cdr4, *.cdr3, *.cdr, *.awg, *.ait, *.ai, *.agd1, *.ycbcra, *.x3f, *.stx, *.st8, *.st7, *.st6, *.st5, *.st4, *.srw, *.srf, *.sr2, *.sd1, *.sd0, *.rwz, *.rwl, *.rw2, *.raw, *.raf, *.ra2, *.ptx, *.pef, *.pcd, *.orf, *.nwb, *.nrw, *.nop, *.nef, *.ndd, *.mrw, *.mos, *.mfw, *.mef, *.mdc, *.kdc, *.kc2, *.iiq, *.gry, *.grey, *.gray, *.fpx, *.fff, *.exf, *.erf, *.dng, *.dcr, *.dc2, *.crw, *.craw, *.cr2, *.cmt, *.cib, *.ce2, *.ce1, *.arw, *.3pr, *.3fr, *.mpg, *.jpeg, *.jpg, *.mdb, *.sqlitedb, *.sqlite3, *.sqlite, *.sql, *.sdf, *.sav, *.sas7bdat, *.s3db, *.rdb, *.psafe3, *.nyf, *.nx2, *.nx1, *.nsh, *.nsg, *.nsf, *.nsd, *.ns4, *.ns3, *.ns2, *.myd, *.kpdx, *.kdbx, *.idx, *.ibz, *.ibd, *.fdb, *.erbsql, *.db3, *.dbf, *.db-journal, *.db, *.cls, *.bdb, *.al, *.adb, *.backupdb, *.bik, *.backup, *.bak, *.bkp, *.moneywell, *.mmw, *.ibank, *.hbk, *.ffd, *.dgc, *.ddd, *.dac, *.cfp, *.cdf, *.bpw, *.bgt, *.acr, *.ac2, *.ab4, *.djvu, *.pdf, *.sxm, *.odf, *.std, *.sxd, *.otg, *.sti, *.sxi, *.otp, *.odg, *.odp, *.stc, *.sxc, *.ots, *.ods, *.sxg, *.stw, *.sxw, *.odm, *.oth, *.ott, *.odt, *.odb, *.csv, *.rtf, *.accdr, *.accdt, *.accde, *.accdb, *.sldm, *.sldx, *.ppsm, *.ppsx, *.ppam, *.potm, *.potx, *.pptm, *.pptx, *.pps, *.pot, *.ppt, *.xlw, *.xll, *.xlam, *.xla, *.xlsb, *.xltm, *.xltx, *.xlsm, *.xlsx, *.xlm, *.xlt, *.xls, *.xml, *.dotm, *.dotx, *.docm, *.docx, *.dot, *.doc, *.txt
Es importante destacar que TorrentLocker explorará todas las letras de unidad en el equipo, incluyendo las unidades extraíbles, unidades compartidas de red, o incluso las asignaciones de Dropbox. En resumen, si hay una letra de unidad en el equipo que se analizan en busca de archivos de datos por TorrentLocker.
¿Cómo recuperar los archivos y ficheros secuestrados?
- Usando un backup (copia de seguridad)
- Usando versiones anteriores
- Shadow copy (Volume Snapshot Service, Volume Shadow Copy Service, VSS)
- Usar herrmientas específicas. Ver en Otras soluciones
¿Cómo restaurar archivos cifrados por CryptoLocker?
Método 1: copias de seguridad
El primer y mejor método para restaurar los datos es una copia de seguridad reciente. Si no tienes backup ¿qué estas esperando para hacerlo?
Método 2: Software de recuperación de archivos
Parece que cuando CryptoLocker cifra un archivo, primero hace una copia del mismo, codifica la copia y luego elimina el original. Debido a este procedimiento se puede usar un software de recuperación de archivos como R-Studio o Photorec para intentar recuperar algunos de los archivos originales. Es importante tener en cuenta que cuanto más se utilice la computadora, más difícil será recuperar los archivos eliminados sin cifrar.
Método 3: Instantáneas de volumen de Windows (Shadow Volume Copies)
Como último recurso, puede tratar de restaurar los archivos a través de las instantáneas de volumen automática de Windows, siempre y cuando las mismas se encuentren activadas en el sistema operativo. Desafortunadamente, el malware intentará eliminar las instantáneas, pero a veces no logra hacerlo y esta copia puede utilizarse para restaurar los archivos.
¿Cómo restaurar archivos cifrados por CryptoLocker con instantáneas de volumen?
Si se encuentra activada la opción "Restaurar sistema" del equipo, Windows crea copias instantáneas del sistema (Shadow Copy). Esta opción está disponible desde Windows XP Service Pack 2 en adelante.Estos snapshots permiten restaurar una versión anterior de los archivos, antes de que fueran cifrados. Sin embargo, los archivos recuperados seguramente no serán la última versión del archivo.
Existen dos métodos que pueden utilizarse para restaurar archivos y carpetas desde el Volume Shadow Copy. El primer método es usar las funciones nativas de Windows y el segundo método es utilizar la aplicación gratuita Shadow Explorer. No hace daño probar ambos métodos y ver qué cual funciona mejor.
Para restaurar archivos individuales se puede hacer clic derecho sobre el archivo, ir a propiedades y seleccionar la versión anterior que se desea recuperar.
Haz click con el botón derecho en cualquier archivo cifrado o carpeta entera y click en "EXPORT..."
Utilidades para eliminar ransomware sin tener que pagar rescate
Recursos afectados
Potencialmente cualquier usuario que
haga uso del correo electrónico y reciba un correo malicioso de las
características descritas en este aviso de seguridad.
Solución
Para una versión previa de este tipo de virus existía la siguiente solución:
Criptolocker: virus que cifra los ficheros del ordenador, pero puesto que los virus cambian constantemente, esta nueva versión actua de otro modo. De momento no es posible ofrecer una solución definitiva.
Evita ser víctima de fraudes de tipo phishing siguiendo nuestras recomendaciones:
Criptolocker: virus que cifra los ficheros del ordenador, pero puesto que los virus cambian constantemente, esta nueva versión actua de otro modo. De momento no es posible ofrecer una solución definitiva.
Evita ser víctima de fraudes de tipo phishing siguiendo nuestras recomendaciones:
- No abras correos de usuarios desconocidos o que no hayas solicitado, elimínalos directamente.
- No contestes en ningún caso a estos correos.
- Precaución al seguir enlaces en correos aunque sean de contactos conocidos.
- Precaución al descargar ficheros adjuntos de correos aunque sean de contactos conocidos.
- Cierra todas las aplicaciones antes de acceder a la web del banco.
- Escribe directamente la url en el navegador, en lugar de llegar a ella a través de enlaces disponibles desde páginas de terceros o en correos electrónicos.
- No accedas al servicio de banca online de tu banco desde ordenadores públicos, no confiables o que estén conectados a redes wifi públicas.
- MUY IMPORTANTE: ningún banco envía por correo electrónico solicitudes de datos personales de sus clientes. Si recibes un correo en este sentido, no facilites ningún dato y contacta inmediatamente con él.
Detalles
Se están recibiendo una gran
cantidad de correos fraudulentos de tipo phishing que se hacen pasar por
la compañía Correos para instalar un virus que cifrará los archivos de
los usuarios que caigan en la trampa dejando inutilizado el ordenador
afectado.
Los correos electrónicos cuyo asunto es "NombreX ApellidoX usted tiene una Carta certificada" tienen el siguiente aspecto:
Si se hace click en el enlace que propone el correo, llegamos a una URL tal que así:
Y, si se cumple la máxima de que la IP sea Española (he probado con variantes de varios países) llegamos a una URL tal que así:
Si el usuario accede al enlace en el correo, accederá a una página de aspecto similar a la legítima. Para dar más credibilidad al fraude, se invita al usuario a introducir un código:
Una vez introducido el código comenzará la descarga del virus:
El archivo ejecutable que contiene el virus, intenta hacer ver que se trata de un pdf, lleva por nombre "Carta certificada_XXXX" tiene el siguiente aspecto:
El virus se hace pasar por un aviso de correos, pulsas el enlace, y se descarga un zip llamado carta_certificada.zip, dentro hay un exe que no debe ser ejecutado.
En el caso de que el usuario afectado siga los pasos indicados en la web y descargue e instale el virus, el ordenador y los archivos quedarán inutilizados hasta que se pague el "supuesto" rescate.
https://noransom.kaspersky.com/
DecryptoLocker.exe
https://www.decryptcryptolocker.com/Decryptolocker.exe
Fuentes:
https://www.osi.es/es/actualidad/avisos/2014/12/mantente-alerta-si-te-llega-un-aviso-de-correos
http://www.securitybydefault.com/2014/12/atencion-infecciones-masivas-de.html
Los correos electrónicos cuyo asunto es "NombreX ApellidoX usted tiene una Carta certificada" tienen el siguiente aspecto:
Si se hace click en el enlace que propone el correo, llegamos a una URL tal que así:
http://correos24.net/login.php?id=76264463456
Y, si se cumple la máxima de que la IP sea Española (he probado con variantes de varios países) llegamos a una URL tal que así:
http://correos-online.org/5a99b6186605843b7fdbc19400439af4
Si el usuario accede al enlace en el correo, accederá a una página de aspecto similar a la legítima. Para dar más credibilidad al fraude, se invita al usuario a introducir un código:
Una vez introducido el código comenzará la descarga del virus:
El archivo ejecutable que contiene el virus, intenta hacer ver que se trata de un pdf, lleva por nombre "Carta certificada_XXXX" tiene el siguiente aspecto:
El virus se hace pasar por un aviso de correos, pulsas el enlace, y se descarga un zip llamado carta_certificada.zip, dentro hay un exe que no debe ser ejecutado.
En el caso de que el usuario afectado siga los pasos indicados en la web y descargue e instale el virus, el ordenador y los archivos quedarán inutilizados hasta que se pague el "supuesto" rescate.
Otras soluciones
Herramienta de Kaspersky para desencriptarhttps://noransom.kaspersky.com/
DecryptoLocker.exe
https://www.decryptcryptolocker.com/Decryptolocker.exe
Fuentes:
https://www.osi.es/es/actualidad/avisos/2014/12/mantente-alerta-si-te-llega-un-aviso-de-correos
http://www.securitybydefault.com/2014/12/atencion-infecciones-masivas-de.html