Durante varios meses, QH Labs ha observado un repunte en la actividad de ransomware. Hemos detectado un nuevo ransomware escrito en Go. Los creadores de malware encuentran más fácil escribir ransomware en Go que en lenguajes de programación tradicionales.
La infección del ransomware Jcry comienza con un sitio web comprometido.
Como se muestra en la imagen superior, el autor del malware intenta hacerse pasar por usuarios haciéndose pasar por una actualización de Adobe Flash Player y descarga malware en su equipo. La figura 1 contiene un fragmento de JavaScript alojado en el dominio comprometido, que descarga un archivo malicioso desde la URL indicada. Cada vez que un usuario suplantado hace clic en el botón Actualizar y ejecuta un archivo malicioso para actualizar Flash Player, el malware inicia su ejecución.
Flujo de ejecución:
Análisis técnico:
El malware descargado (flashplayer_install.exe) es un archivo autoextraíble. Al ejecutarse, extraerá los componentes mencionados a continuación en el directorio "Inicio" para crear su persistencia.
Componentes:
- msg.vbs
- Enc.exe
- Dec.exe
Como se menciona en la figura anterior, el malware extrae componentes e inicia msg.vbs junto con enc.exe (Encryptor).
msg.vbs:
Este archivo se utiliza para suplantar al usuario que, cuando el sistema intentó actualizar Adobe Flash Player, se le negó el acceso.
Enc.exe (Cifrificador):
Este ejecutable es responsable del cifrado de archivos y está escrito en lenguaje Go.
Al ejecutarse, primero comprueba la existencia del archivo "personalKey.txt" en el directorio actual para determinar si el sistema está infectado. Si el archivo existe, el malware considera que el sistema ya está infectado y se autodetiene. Además, elimina msg.vbs y Enc.exe con la ayuda de un archivo descifrador. Durante el cifrado, utiliza una combinación de algoritmos AES y RSA. El cifrado de archivos se realiza mediante el algoritmo AES de 128 bits con un vector de inicialización de 16 bytes en modo CBC. La clave pública RSA, codificada de forma rígida, se encuentra en el archivo enc.exe, que posteriormente se utiliza para cifrar la clave AES.
Cifra los 138 archivos de extensión enumerados a continuación.
3dm, 3ds, 3g2, 3gp, 7z, ai, aif, apk, aplicación, asf, asp, avi, b, bak, bin, bmp, c, cbr, cer, cfg, cfm, cgi, cpp, crx, cs, csr, css, csv, cue, dat, db, dbf, dcr, dds, deb, dem, der, dmg, dmp, doc, dtd, dwg, dxf, eps, fla, flv, fnt, fon, gam, ged, gif, gpx, gz, h, hqx, htm, ics, iff, iso, jar, jpg, js, jsp, clave, kml, kmz, registro, lua, m, m3u, m4a, m4v, max, mdb, mdf, mid, mim, mov, mp3, mp4, mpa, mpg, msg, msi, nes, obj, odt, otf, pct, pdb, pdf, php, pkg, pl, png, pps, ppt, ps, psd, py, rar, rm, rom, rpm, rss, rtf, sav, sdf, sh, sln, sql, srt, svg, swf, tar, tex, tga, thm, tif, tmp, ttf, txt, uue, vb, vcd, vcf, vob, wav, wma, wmv, wpd, wps, wsf, xlr, xls, xml, yuv, zip.
Para acelerar el cifrado, solo cifra 1 MB de datos en archivos de más de 1 MB. Tras el cifrado, añade la extensión ".jcry" al nombre del archivo.
Después de cifrar los archivos, elimina todas las copias de seguridad con la ayuda del siguiente comando.
“vssadmin eliminar sombras /all”
y ejecute Dec.exe usando el comando Powershell.
Dec.exe:
Al ejecutar Dec.exe, primero se cierra y elimina enc.exe. Dec.exe es una aplicación de consola que solicita la clave de descifrado (clave privada RSA). Tras introducir una clave válida, puede descifrar archivos cifrados.
También publica una nota de rescate en el escritorio. Para recuperar los archivos cifrados, exige un rescate de 500 $ y proporciona un enlace onion (hxxp://kpx5wgcda7ezqjty.onion) donde el usuario infectado recibirá su clave privada tras el pago.
COI:
flashplayer_install.exe: c86c75804435efc380d7fc436e344898
Enc.exe : 5B640BE895C03F0D7F4E8AB7A1D82947
Dec.exe : 6B4ED5D3FDFEFA2A14635C177EA2C30D
Enlace de recuperación: hxxp://kpx5wgcda7ezqjty.onion
Identificación de la billetera: 1FKWhzAeNhsZ2JQuWjWsEeryR6TqLkKFUt
Consejos de prevención:
- Realice periódicamente una copia de seguridad de sus datos importantes en unidades externas como HDD, memoria USB o almacenamiento en la nube.
- Instale un antivirus y manténgalo actualizado.
- Mantenga su sistema operativo y software actualizados.
- Nunca haga clic en enlaces ni descargue archivos adjuntos de fuentes desconocidas o no deseadas.
Experto en la materia:
Nagesh lathakar, Pratik Pachpor | Laboratorios de seguridad de Quick Heal
