CryptoLocker

El ataque de ransomware CryptoLocker fue un ciberataque que utilizó el ransomware CryptoLocker y que tuvo lugar entre el 5 de septiembre de 2013 y finales de mayo de 2014. El ataque empleó un troyano dirigido a ordenadores con Microsoft Windows [ ^{1 ] y} se cree que se publicó por primera vez en Internet el 5 de septiembre de 2013 ^{[ 2 ]} . Se propagó mediante archivos adjuntos de correo electrónico infectados y a través de una botnet Gameover ZeuS existente ^{[ 3 ]} . Al activarse, el malware cifraba ciertos tipos de archivos almacenados en unidades locales y de red montadas mediante criptografía de clave pública RSA , y la clave privada se almacenaba únicamente en los servidores de control del malware. A continuación, el malware mostraba un mensaje que ofrecía descifrar los datos si se realizaba un pago (mediante bitcoin o un cupón prepago) antes de una fecha límite determinada, y amenazaba con eliminar la clave privada si no se cumplía dicha fecha. Si no se cumplía la fecha límite, el malware ofrecía descifrar los datos a través de un servicio en línea proporcionado por sus operadores, por un precio significativamente mayor en bitcoin. No había garantía de que el pago liberara el contenido cifrado.

Aunque CryptoLocker se eliminó fácilmente, los archivos afectados permanecieron cifrados de una forma que los investigadores consideraron imposible de descifrar. Muchos afirmaron que no se debía pagar el rescate , pero no ofrecieron ninguna manera de recuperar los archivos; otros dijeron que pagar el rescate era la única forma de recuperar los archivos que no se habían respaldado . Algunas víctimas afirmaron que pagar el rescate no siempre resultaba en el descifrado de los archivos.

CryptoLocker fue aislado a finales de mayo de 2014 mediante la Operación Tovar , que desmanteló la botnet Gameover ZeuS , utilizada para distribuir el malware. ^{[ 4 ]} Durante la operación, una empresa de seguridad involucrada obtuvo la base de datos de claves privadas de CryptoLocker, la cual se empleó para crear una herramienta en línea que permitía recuperar las claves y los archivos sin pagar el rescate. Se cree que los operadores de CryptoLocker extorsionaron con éxito un total de aproximadamente 3 millones de dólares a las víctimas del troyano. Otros casos de ransomware basado en cifrado que surgieron posteriormente utilizaron el nombre "CryptoLocker" (o variaciones), pero no guardan relación alguna.

CryptoLocker se propagaba normalmente como un archivo adjunto a un correo electrónico aparentemente inofensivo , que parecía haber sido enviado por una empresa legítima. ^{[ 5 ]} Un archivo ZIP adjunto a un correo electrónico contiene un archivo ejecutable con el nombre y el icono disfrazados de un archivo PDF , aprovechando el comportamiento predeterminado de Windows de ocultar la extensión de los nombres de archivo para enmascarar la extensión .EXE real. CryptoLocker también se propagó utilizando el troyano y la botnet Gameover ZeuS . ^{[ 6 ] [ 7 ] [ 8 ]}

Cuando se ejecuta por primera vez, la carga útil se instala en la carpeta del perfil del usuario y agrega una clave al registro que hace que se ejecute al inicio. Luego intenta contactar con uno de varios servidores de comando y control designados; una vez conectado, el servidor genera un par de claves RSA de 2048 bits y envía la clave pública de vuelta al equipo infectado. ^{[ 1 ] [ 7 ]} El servidor puede ser un proxy local y pasar por otros, frecuentemente reubicados en diferentes países para dificultar su rastreo. ^{[ 9 ] [ 10 ]}

The payload then encrypts files across local hard drives and mapped network drives with the public key, and logs each file encrypted to a registry key. The process only encrypts data files with certain extensions, including Microsoft Office, OpenDocument, and other documents, pictures, and AutoCAD files.^[8] The payload displays a message informing the user that files have been encrypted, and demands a payment of 400 USD or euro through an anonymous pre-paid cash voucher (i.e. MoneyPak or Ukash), or an equivalent amount in bitcoin within 72 or 100 hours (while starting at 2 bitcoin, the ransom price has been adjusted down to 0.3 bitcoin by the operators to reflect the fluctuating value of bitcoin),^[11] or else the private key on the server would be destroyed, and "nobody and never[sic] will be able to restore files."^[1][7] Payment of the ransom allows the user to download the decryption program, which is pre-loaded with the user's private key.^[7] Some infected victims claim that they paid the attackers but their files were not decrypted.^[5]

In November 2013, the operators of CryptoLocker launched an online service that claimed to allow users to decrypt their files without the CryptoLocker program, and to purchase the decryption key after the deadline had expired; the process involved uploading an encrypted file to the site as a sample and waiting for the service to find a match; the site claimed that a match would be found within 24 hours. Once found, the user could pay for the key online; if the 72-hour deadline passed, the cost increased to 10 bitcoin.^[12][13]

Aunque el software de seguridad está diseñado para detectar tales amenazas, podría no detectar CryptoLocker en absoluto, o solo después de que el cifrado esté en curso o completo, particularmente si se distribuye una nueva versión desconocida para el software de protección. ^{[ 19 ]} Si se sospecha o detecta un ataque en sus etapas iniciales, el cifrado lleva algún tiempo; la eliminación inmediata del malware (un proceso relativamente simple) antes de que se complete limitaría el daño a los datos. ^{[ 20 ] [ 21 ]} Los expertos sugirieron medidas de precaución, como el uso de software u otras políticas de seguridad para bloquear el lanzamiento de la carga útil de CryptoLocker. ^{[ 1 ] [ 7 ] [ 8 ] [ 10 ] [ 21 ]}

Debido a la naturaleza del funcionamiento de CryptoLocker, algunos expertos sugirieron a regañadientes que pagar el rescate era la única forma de recuperar archivos de CryptoLocker en ausencia de copias de seguridad recientes ( las copias de seguridad sin conexión realizadas antes de la infección que son inaccesibles desde las computadoras infectadas no pueden ser atacadas por CryptoLocker). ^{[ 5 ]} Debido a la longitud de la clave empleada por CryptoLocker, los expertos consideraron prácticamente imposible usar un ataque de fuerza bruta para obtener la clave necesaria para descifrar archivos sin pagar el rescate; el troyano similar de 2008, Gpcode.AK, usó una clave de 1024 bits que se creía que era lo suficientemente grande como para que fuera computacionalmente inviable romperla sin un esfuerzo distribuido concertado , o el descubrimiento de una falla que pudiera usarse para romper el cifrado. ^{[ 7 ] [ 13 ] [ 22 ] [ 23 ]} El analista de seguridad de Sophos, Paul Ducklin, especuló que el servicio de descifrado en línea de CryptoLocker implicaba un ataque de diccionario contra su propio cifrado utilizando su base de datos de claves, lo que explicaba la necesidad de esperar hasta 24 horas para recibir un resultado. ^{[ 13 ]}

En diciembre de 2013, ZDNet rastreó cuatro direcciones de bitcoin publicadas por usuarios infectados por CryptoLocker, en un intento por calcular las ganancias de los operadores. Las cuatro direcciones mostraron un movimiento de 41.928 BTC entre el 15 de octubre y el 18 de diciembre , lo que equivalía a unos 27 millones de dólares estadounidenses en ese momento. ^{[ 11 ]}

En una encuesta realizada por investigadores de la Universidad de Kent , el 41% de quienes afirmaron ser víctimas dijeron haber pagado el rescate, una proporción mucho mayor de lo esperado; Symantec había estimado que el 3% de las víctimas habían pagado y Dell SecureWorks había estimado que el 0,4% de las víctimas habían pagado. ^{[ 24 ]} Tras el cierre de la botnet que se había utilizado para distribuir CryptoLocker, se calculó que alrededor del 1,3% de los infectados habían pagado el rescate; muchos habían podido recuperar archivos que habían sido respaldados, y se cree que otros perdieron grandes cantidades de datos. No obstante, se cree que los operadores extorsionaron un total de alrededor de 3 millones de dólares. ^{[ 18 ]}

El éxito de CryptoLocker generó una serie de troyanos de ransomware no relacionados y con nombres similares que funcionan esencialmente de la misma manera, ^{[ 25 ] [ 26 ] [ 27 ] [ 28 ]} incluyendo algunos que se autodenominan "CryptoLocker", pero que, según los investigadores de seguridad, no tienen relación con el CryptoLocker original. ^{[ 28 ] [ 29 ] [ 30 ]}

En septiembre de 2014, otros clones como CryptoWall y TorrentLocker (cuya carga útil se identifica como "CryptoLocker", pero se denomina así por el uso de una clave de registro llamada " Bit Torrent Application"), ^{[ 31 ]} comenzaron a propagarse en Australia; el ransomware utiliza correos electrónicos infectados, supuestamente enviados por departamentos gubernamentales (por ejemplo, Australia Post para indicar una entrega de paquete fallida) como carga útil. Para evadir la detección por parte de los escáneres automáticos de correo electrónico que pueden seguir enlaces, esta variante fue diseñada para requerir que los usuarios visiten una página web e ingresen un código CAPTCHA antes de que se descargue la carga útil. Symantec determinó que estas nuevas variantes, que identificó como "CryptoLocker.F", no estaban vinculadas a la original. ^{[ 25 ] [ 29 ] [ 32 ] [ 33 ] [ 34 ] [ 35 ]}

• Locky
• PGPCoder
• WannaCry
• Petya