Alerta Máxima, Evolución CryptoVirus Trojan-Ransom.Win32.Bitman.ywu (Máxima difusión)

El pasado 16 de abril se activó una nueva evolución de los Crypto-Virus con capacidad para cifrar los archivos de datos.

Esta nueva modificación tiene una serie de cualidades que lo hacen único.

La siguiente información todavía no está del todo confirmada pero gran parte si lo está.

No cambia la extensión de los archivos cifrados.

El virus es muy posible que entre a través de un correo electrónico y ejecuta una descarga sobre un archivo ejecutable que al ejecutarse comienza a realizar el trabajo para el que fue creado.

Cifrar todo el contenido de datos posible y dejar en cada carpeta un archivo llamado "-!RecOveR!-nisyo++" con extensiones htm,png y txt (El nombre del archivo puede cambiar aleatoriamente)

Los archivos .txt y .png tienen el siguiente mensaje.

COMIENZO DEL MENSAJE -----------------------------------------
NOT YOUR LANGUAGE? USE https://translate.google.com

7++8;!5*8?34( &?3'03=2&/6<0%+.; ------- 7++8;!5*8?34( &?3'03=2&/6<0%+.;

What's the matter with your files?

Your data was secured using a strong encryption with RSA-4096.
Use the link down below to find additional information on the encryption keys using RSA-4096 https://en.wikipedia.org/wiki/RSA_(cryptosystem)

What exactly that means?

7++8;!5*8?34( &?3'03=2&/6<0%+.; ------- 7++8;!5*8?34( &?3'03=2&/6<0%+.;

It means that on a structural level your files have been transformed . You won't be able to use , read , see or work with them anymore .
In other words they are useless , however , there is possibility to restore them with our help .

7++8;!5*8?34( &?3'03=2&/6<0%+.;  ----- 7++8;!5*8?34( &?3'03=2&/6<0%+.;

What exactly happened to your files ???

!!! Two personal RSA-4096 keys were generated for your PC/Laptop; one key is public, another key is private.
!!! All your data and files were encrypted by the means of the public key , which you received over the web .
!!! In order to decrypt your data and gain access to your computer you need a private key and a decryption software, which can be found on one of our secret servers.

!!! What should you do next ???

7++8;!5*8?34( &?3'03=2&/6<0%+.;  ----- 7++8;!5*8?34( &?3'03=2&/6<0%+.;

In case you have valuable files , we advise you to act fast as there is no other option rather
than paying in order to get back your data.

In order to obtain specific instructions , please access your personal homepage by choosing one of the few addresses down below :
http://k47d3.proporr.com/EC42636F43D85BE
http://wor4d.slewirk.at/EC42636F43D85BE
http://kbv5s.kylepasse.at/EC42636F43D85BE

7++8;!5*8?34( &?3'03=2&/6<0%+.;  ----- 7++8;!5*8?34( &?3'03=2&/6<0%+.;

If you can't access your personal homepage or the addresses are not working, complete the following steps:
*** Download and Install  TOR Browser - http://www.torproject.org/projects/torbrowser.html.en
*** Run TOR Browser Insert link in the address bar -  yyhn7fpvq44cqcu3.onion/EC42636F43D85BE

7++8;!5*8?34( &?3'03=2&/6<0%+.;----IMPORTANT*****************INFORMATION---------7++8;!5*8?34( &?3'03=2&/6<0%+.;

Your personal homepages
http://k47d3.proporr.com/EC42636F43D85BE
http://wor4d.slewirk.at/EC42636F43D85BE
http://kbv5s.kylepasse.at/EC42636F43D85BE

Your personal homepage Tor-Browser yyhn7fpvq44cqcu3.onion/EC42636F43D85BE
Your personal ID EC42636F43D85BE

7++8;!5*8?34( &?3'03=2&/6<0%+.;  ----- 7++8;!5*8?34( &?3'03=2&/6<0%+.;
COMIENZO DEL MENSAJE -----------------------------------------
El archivo .htm tiene un código en java script que es muy posible que sea para mantener el virus regenerado y poder re-ejecutarlo.

Principales medidas de seguridad para la prevención de estos virus.

1.- Realizar copias de seguridad con sistemas de imágenes o a través de Windows Backup con discos ocultos para que si se ejecuta el virus no pueda infectar estas unidades.
2.- Tener antivirus y mantenerlos actualizados. (Aunque en este caso los primeros días el antivirus Kaspersky no lo detectó permitiendo su ejecución, al días siguiente ya lo bloqueaba y lo detectaba con el nombre del asunto de esta entrada. Trojan-Ransom.Win32.Bitman.ywu

Recomendaciones

1.- Tener un servicio en otra ubicación o cloud que nos permita también tener nuestros datos a salvo.
2.- No abrir los archivos de correo electrónico que no corresponden con personas de confianza.
3.- No entrar en sitios web o descargar archivos de internet que no nos permitan garantizar su procedencia. Mucho menos ejecutarlos una vez descargados
4.- Contratar un servicio de mantenimiento o Google Apps como el que suministramos en SISTEMAS INFORMÁTICOS CANARIOS
5.- Mantener siempre un disco de copia de seguridad desconectado de los equipos para que el virus no llegue a los datos. Recomendable meterlo en armarios ignífugos y en otra ubicación de donde están los equipos informáticos.

En caso de infección:

Denunciar a la policía, para que puedan realizar la investigación. (Tristemente hoy por hoy la verdad que mucho no hacen)
Nunca, nunca, nunca realizar el pago al chantajista, corren el riesgo de quedar marcados para un próximo ataque.

Difundir este mensaje lo máximo posible, la seguridad de todos es la seguridad de uno mismo.

#Trojan #Crypto-virus #Seguridad #Ransomware