PETYA, el crypto-ransomware que sobrescribe el MBR y bloquea el acceso a los usuarios a sus ordenadores

Jasen Sumalapao, Trend Micro

Actualidad

29 junio, 2017

Por si el cifrado de archivos y la toma de rehenes no fuera suficiente, los cibercriminales que crean y difunden crypto-ransomware ahora recurren a provocar la pantalla azul de la muerte (BSoD) y a incluir sus notas de petición de rescate al iniciarse el sistema, incluso antes de que se cargue el sistema operativo. Imagínese encender el ordenador y que en lugar del habitual icono de carga de Windows aparezca una pantalla de color rojo y blanco en la que destella una calavera en su lugar.

Ésta es la rutina de una nueva variante de crypto-ransomware denominado "PETYA" (identificado por Trend Micro comoRANSOM_PETYA.A). No sólo este malware tiene la posibilidad de sobrescribir el registro de arranque principal, también conocido como registro de arranque maestro (MBR) del sistema afectado con el fin de bloquear el acceso a los usuarios, también es interesante observar que para llegar a las víctimas utiliza un servicio de almacenamiento cloud legítimo (en este caso lo hace a través de Dropbox).

El equipo de investigación de Trend Micro ha observado que no se trata de la primera vez que el malware abusa de un servicio legítimo para su propio beneficio; sin embargo, ésta es la primera vez (desde hace un largo período de tiempo) que provoca la infección por crypto-ransomware. También es una desviación de la cadena de infección típica, en la que los archivos maliciosos están asociados a mensajes de correo electrónico o alojados en sitios maliciosos y son entregados por kits de exploits.

Rutina de infección

Según se informa, PETYA todavía se distribuye por correo electrónico. Las víctimas recibirán un email personalizado que invita a leer una aparente carta o mensaje de negocios en el que un "aspirante" busca un puesto de trabajo en una empresa. Se presentaría a los usuarios con un hipervínculo a un lugar de almacenamiento de Dropbox, que supuestamente permitiría la descarga del currículum vitae (CV) del candidato. 

En una de las muestras analizadas, en la carpeta de Dropbox los puntos de enlace contienen dos archivos: un archivo ejecutable autoextraíble, que pretende ser el CV, y las fotos del solicitante. Profundizando más, se ha encontrado que la foto es una imagen de stock que es muy probable que se utilice sin el permiso del fotógrafo.

Por supuesto, el archivo descargado no es en realidad un CV, sino más bien un archivo ejecutable de extracción automática que después desencadena la descarga de un troyano en el sistema. El troyano ciega a los programas antivirus instalados antes de la descargar (y ejecutar) el ransomware PETYA.

 

Síntomas de la infección

Una vez ejecutado, PETYA sobrescribe el MBR de todo el disco duro, haciendo que Windows se cuelgue y muestre una pantalla azul. En caso de que el usuario trate de reiniciar su PC, el MBR modificado le impedirá la carga de Windows con normalidad y, en cambio, le dará la bienvenida con una calavera ASCII y un ultimátum: pague una cierta cantidad de bitcoins o perderá el acceso a sus archivos y al equipo.

Otra cosa a destacar es que el MBR editado tampoco permite reiniciar en Modo Seguro.

Acto seguido, el usuario recibe instrucciones explícitas sobre cómo hacer el pago, al igual que cualquier crypto-ransomware que esté circulando en la actualidad: una lista de demandas, un enlace a Tor Project y cómo llegar a la página de pago a través de él, y un código de descifrado personal.

Viendo la alta profesionalidad del diseño de la web Tor, descubrimos que su precio de rescate se encuentra actualmente en 0,99 Bitcoin (BTC), o 431 dólares, y que dicho precio podría duplicarse si se agota el plazo indicado en la pantalla.

Las soluciones para el endpoint de Trend Micro como Trend Micro™ Security,  Smart Protection Suites, y Worry-Free™ Business Security pueden proteger a los usuarios finales y empresas de esta amenaza mediante la detección de los archivos maliciosos y mensajes de email, así como con el bloqueo de todas las URLs maliciosas relacionadas.

Impacto

¿Qué te pareció este artículo?

  • 269
  • 0

Recomendar

Recomendar

Si te pareció interesante este artículo, sé el primero en recomendarlo.

Deja un comentario

Tu dirección de correo electrónico no será publicada. Los campos obligatorios están marcados con *

Este sitio usa Akismet para reducir el spam. Aprende cómo se procesan los datos de tus comentarios.

Relacionados

Akamai frena el peor ataque DDoS sufrido hasta el momento

El pasado  28 de febrero Akamai Technologies sufrió un ataque DDoS de 1.3 Tbps contra...

  • 5 marzo, 2018
  • No hay comentarios

7 predicciones clave de seguridad para 2018 de WatchGuard Technologies

Las predicciones de seguridad de WatchGuard para 2018 incluyen una serie de problemas de...

  • 20 diciembre, 2017
  • No hay comentarios

RECIBE NUESTRA NEWSLETTER



*Email: *Nombre apellidos: *Empresa:

Cargo:

Sector:  

   

Please don't insert text in the box below!

Patrocinado por: Patrocinador

Visitamos el Showroom Samsung EGO en la MBFW Madrid

eBay celebra 10 años de su aplicación móvil

Ecommerce Tour Las Palmas: Claves para realizar un buen posicionamiento SEO en un ecommerce

WhatsApp identificará los mensajes reenviados para combatir la desinformación

El canal online supone el 5% de las ventas del sector del descanso, que mueve 600MM€ en España

Ecommerce Tour Las Palmas: Mesa redonda Ecommerce y Ventas

Brandsdistribution factura €30 millones en 2017, un 20% más que el año anterior

Las rebajas, mejor en internet

La pregunta ya no es si debo vender en amazon, sino, ¿cual es mi estrategia?

¿Cuáles son los dos pilares que definen el éxito de una tienda?

La transformación del transporte en la logística de distribución

Experiencia de usuario: claves para aplicar Customer Personalization con éxito

3 maneras en que la Inteligencia Artificial puede mejorar la experiencia del cliente

Andalucía exporta: Ecommerce Internacional

Visitamos el Showroom Samsung EGO en la MBFW Madrid

Ecommerce Tour Las Palmas: Claves para realizar un buen posicionamiento SEO en un ecommerce

Ecommerce Tour Las Palmas: Mesa redonda Ecommerce y Ventas

Ecommerce Tour Las Palmas: Mesa Redonda de casos de éxito locales

Ecommerce Tour Las Palmas: e-log

Ecommerce Tour Barcelona: SEO vs. SEM

Ecommerce Tour Barcelona: Mesa Redonda Big Players

Más leídas

Último número

Wait

Optimization WordPress Plugins & Solutions by W3 EDGE