Programari maliciós CryWiper
Els actors de l'amenaça estan utilitzant una nova eina de programari maliciós en atacs dirigits contra les oficines de l'alcaldia i els tribunals a Rússia. Els investigadors de Kaspersky segueixen l'amenaça maliciosa com a CryWiper. Detalls addicionals sobre les campanyes d'atac han estat revelats pel servei de notícies Izvestia.
Segons la informació disponible, CryWiper es presenta com una amenaça de ransomware desplegada com a part d'un atac amb motivació financera. L'amenaça afectarà les dades trobades als sistemes informàtics violats i les deixarà en un estat inutilitzable. Els fitxers bloquejats tindran ".cry" adjunt als seus noms originals. Izvestia informa que les víctimes reben una nota de rescat que exigeix el pagament de 0,5 BTC (Bitcoin). Amb el tipus de canvi actual de la criptomoneda, el rescat val més de 8500 dòlars. S'espera que els fons es transfereixin a l'adreça de criptomoneda proporcionada.
La recuperació de dades no és possible
En realitat, però, les víctimes de CryWiper no podran restaurar les seves dades, encara que compleixin les demandes dels atacants. El motiu és que CryWiper destrueix les dades dels fitxers que afecta. Aquesta funcionalitat no sembla ser el resultat d'una programació defectuosa i, en canvi, és una conseqüència prevista de l'execució de CryWiper. Els experts han descobert que l'algoritme utilitzat per a la destrucció de les dades de les víctimes és Mersenne Vortex PRNG. Aquesta és una opció poc utilitzada que es troba en poques amenaces de programari maliciós, amb un exemple d'IsaacWiper. CryWiper també es podria connectar a les amenaces de ransomware Xorist i MSIL Agent, ja que tots tres utilitzen les mateixes adreces de correu electrònic per contactar.
Detalls Addicionals
CryWiper s'estén com un executable de 64 bits dirigit a sistemes Windows. L'amenaça es va crear mitjançant el llenguatge de programació C++ i complia amb el conjunt d'eines MinGW-w64 i el compilador GCC. Els experts en ciberseguretat assenyalen que no utilitzar el Microsoft Visual Studio més típic és una opció inusual i podria indicar que els pirates informàtics responsables de l'amenaça estaven utilitzant dispositius que no són Windows.
La recuperació de dades afectades per netejadors com CryWiper podria ser difícil. Per això, és molt recomanable crear còpies de seguretat periòdiques i mantenir actualitzades totes les eines de programari instal·lades i les solucions de ciberseguretat.
