CryptoLocker

The CryptoLocker ransomware attack was a cyberattack using the CryptoLockerransomware that occurred from 5 September 2013 to late May 2014. The attack utilized a trojan that targeted computers running on Microsoft Windows,^[1] and was believed to have first been posted to the Internet on 5 September 2013.^[2] It propagated via infected email attachments, and via an existing Gameover ZeuSbotnet.^[3] When activated, the malwareencrypted certain types of files stored on local and mounted network drives using RSA public-key cryptography, with the private key stored only on the malware's control servers. The malware then displayed a message which offered to decrypt the data if a payment (through either bitcoin or a pre-paid cash voucher) was made by a stated deadline, and it threatened to delete the private key if the deadline passes. If the deadline was not met, the malware offered to decrypt data via an online service provided by the malware's operators, for a significantly higher price in bitcoin. There was no guarantee that payment would release the encrypted content.

Although CryptoLocker itself was easily removed, the affected files remained encrypted in a way which researchers considered unfeasible to break. Many said that the ransom should not be paid, but did not offer any way to recover files; others said that paying the ransom was the only way to recover files that had not been backed up. Some victims claimed that paying the ransom did not always lead to the files being decrypted.

CryptoLocker was isolated in late May 2014 via Operation Tovar, which took down the Gameover ZeuSbotnet that had been used to distribute the malware.^[4] During the operation, a security firm involved in the process obtained the database of private keys used by CryptoLocker, which was in turn used to build an online tool for recovering the keys and files without paying the ransom. It is believed that the operators of CryptoLocker successfully extorted a total of around $3 million from victims of the trojan. Other instances of encryption-based ransomware that have followed have used the "CryptoLocker" name (or variations), but are otherwise unrelated.

CryptoLocker se propagaba normalmente como un archivo adjunto a un correo electrónico aparentemente inofensivo , que parecía haber sido enviado por una empresa legítima. ^{[ 5 ]} Un archivo ZIP adjunto a un correo electrónico contiene un archivo ejecutable con el nombre y el icono disfrazados de un archivo PDF , aprovechando el comportamiento predeterminado de Windows de ocultar la extensión de los nombres de archivo para enmascarar la extensión .EXE real. CryptoLocker también se propagó utilizando el troyano y la botnet Gameover ZeuS . ^{[ 6 ] [ 7 ] [ 8 ]}

Cuando se ejecuta por primera vez, la carga útil se instala en la carpeta del perfil del usuario y agrega una clave al registro que hace que se ejecute al inicio. Luego intenta contactar con uno de varios servidores de comando y control designados; una vez conectado, el servidor genera un par de claves RSA de 2048 bits y envía la clave pública de vuelta al equipo infectado. ^{[ 1 ] [ 7 ]} El servidor puede ser un proxy local y pasar por otros, frecuentemente reubicados en diferentes países para dificultar su rastreo. ^{[ 9 ] [ 10 ]}

La carga útil luego cifra los archivos en discos duros locales y unidades de red mapeadas con la clave pública, y registra cada archivo cifrado en una clave de registro. El proceso solo cifra archivos de datos con ciertas extensiones , incluidos Microsoft Office , OpenDocument y otros documentos, imágenes y archivos de AutoCAD . ^{[ 8 ]} La carga útil muestra un mensaje informando al usuario que los archivos han sido cifrados y exige un pago de 400 USD o euros a través de un cupón de efectivo prepago anónimo (es decir, MoneyPak o Ukash ), o una cantidad equivalente en bitcoin dentro de 72 o 100 horas (si bien el precio inicial era de 2 bitcoin, los operadores lo han ajustado a la baja a 0,3 bitcoin para reflejar el valor fluctuante de bitcoin), ^{[ 11 ]} o de lo contrario la clave privada en el servidor sería destruida, y "nadie y nunca [ sic ] podrá restaurar los archivos". ^{[ 1 ] [ 7 ]} El pago del rescate permite al usuario descargar el programa de descifrado, que viene precargado con la clave privada del usuario. ^{[ 7 ]} Algunas víctimas infectadas afirman haber pagado a los atacantes, pero sus archivos no fueron descifrados. ^{[ 5 ]}

En noviembre de 2013, los operadores de CryptoLocker lanzaron un servicio en línea que, según afirmaban, permitía a los usuarios descifrar sus archivos sin el programa CryptoLocker y comprar la clave de descifrado una vez transcurrido el plazo. El proceso consistía en subir un archivo cifrado al sitio como muestra y esperar a que el servicio encontrara una coincidencia. El sitio aseguraba que se encontraría una coincidencia en 24 horas. Una vez encontrada, el usuario podía pagar la clave en línea; si transcurrían las 72 horas, el precio aumentaba a 10 bitcoins. ^{[ 12 ] [ 13 ]}

Aunque el software de seguridad está diseñado para detectar tales amenazas, podría no detectar CryptoLocker en absoluto, o solo después de que el cifrado esté en curso o completo, particularmente si se distribuye una nueva versión desconocida para el software de protección. ^{[ 19 ]} Si se sospecha o detecta un ataque en sus etapas iniciales, el cifrado lleva algún tiempo; la eliminación inmediata del malware (un proceso relativamente simple) antes de que se complete limitaría el daño a los datos. ^{[ 20 ] [ 21 ]} Los expertos sugirieron medidas de precaución, como el uso de software u otras políticas de seguridad para bloquear el lanzamiento de la carga útil de CryptoLocker. ^{[ 1 ] [ 7 ] [ 8 ] [ 10 ] [ 21 ]}

Debido a la naturaleza del funcionamiento de CryptoLocker, algunos expertos sugirieron a regañadientes que pagar el rescate era la única forma de recuperar archivos de CryptoLocker en ausencia de copias de seguridad recientes ( las copias de seguridad sin conexión realizadas antes de la infección que son inaccesibles desde las computadoras infectadas no pueden ser atacadas por CryptoLocker). ^{[ 5 ]} Debido a la longitud de la clave empleada por CryptoLocker, los expertos consideraron prácticamente imposible usar un ataque de fuerza bruta para obtener la clave necesaria para descifrar archivos sin pagar el rescate; el troyano similar de 2008, Gpcode.AK, usó una clave de 1024 bits que se creía que era lo suficientemente grande como para que fuera computacionalmente inviable romperla sin un esfuerzo distribuido concertado , o el descubrimiento de una falla que pudiera usarse para romper el cifrado. ^{[ 7 ] [ 13 ] [ 22 ] [ 23 ]} El analista de seguridad de Sophos, Paul Ducklin, especuló que el servicio de descifrado en línea de CryptoLocker implicaba un ataque de diccionario contra su propio cifrado utilizando su base de datos de claves, lo que explicaba la necesidad de esperar hasta 24 horas para recibir un resultado. ^{[ 13 ]}

En diciembre de 2013, ZDNet rastreó cuatro direcciones de bitcoin publicadas por usuarios infectados por CryptoLocker, en un intento por calcular las ganancias de los operadores. Las cuatro direcciones mostraron un movimiento de 41.928 BTC entre el 15 de octubre y el 18 de diciembre , lo que equivalía a unos 27 millones de dólares estadounidenses en ese momento. ^{[ 11 ]}

En una encuesta realizada por investigadores de la Universidad de Kent , el 41% de quienes afirmaron ser víctimas dijeron haber pagado el rescate, una proporción mucho mayor de lo esperado; Symantec había estimado que el 3% de las víctimas habían pagado y Dell SecureWorks había estimado que el 0,4% de las víctimas habían pagado. ^{[ 24 ]} Tras el cierre de la botnet que se había utilizado para distribuir CryptoLocker, se calculó que alrededor del 1,3% de los infectados habían pagado el rescate; muchos habían podido recuperar archivos que habían sido respaldados, y se cree que otros perdieron grandes cantidades de datos. No obstante, se cree que los operadores extorsionaron un total de alrededor de 3 millones de dólares. ^{[ 18 ]}

El éxito de CryptoLocker generó una serie de troyanos de ransomware no relacionados y con nombres similares que funcionan esencialmente de la misma manera, ^{[ 25 ] [ 26 ] [ 27 ] [ 28 ]} incluyendo algunos que se autodenominan "CryptoLocker", pero que, según los investigadores de seguridad, no tienen relación con el CryptoLocker original. ^{[ 28 ] [ 29 ] [ 30 ]}

En septiembre de 2014, otros clones como CryptoWall y TorrentLocker (cuya carga útil se identifica como "CryptoLocker", pero se denomina así por el uso de una clave de registro llamada " Bit Torrent Application"), ^{[ 31 ]} comenzaron a propagarse en Australia; el ransomware utiliza correos electrónicos infectados, supuestamente enviados por departamentos gubernamentales (por ejemplo, Australia Post para indicar una entrega de paquete fallida) como carga útil. Para evadir la detección por parte de los escáneres automáticos de correo electrónico que pueden seguir enlaces, esta variante fue diseñada para requerir que los usuarios visiten una página web e ingresen un código CAPTCHA antes de que se descargue la carga útil. Symantec determinó que estas nuevas variantes, que identificó como "CryptoLocker.F", no estaban vinculadas a la original. ^{[ 25 ] [ 29 ] [ 32 ] [ 33 ] [ 34 ] [ 35 ]}

• Locky
• PGPCoder
• WannaCry
• Petya