Ransomware de Zollo

Les amenaces de programari maliciós continuen evolucionant en sofisticació, fent que la protecció dels dispositius sigui una prioritat crítica tant per a particulars com per a organitzacions. Els atacs de ransomware, en particular, poden causar greus interrupcions operatives, pèrdues financeres i l'exposició de dades sensibles. Una amenaça observada recentment és Zollo Ransomware, un programa maliciós dissenyat per xifrar fitxers i extorsionar les víctimes per obtenir pagaments. Comprendre com funciona aquesta amenaça i com es propaga és essencial per construir defenses més fortes contra atacs similars.

L’aparició del ransomware Zollo

El ransomware Zollo ha estat identificat com una variant de la família de ransomware MedusaLocker. Com altres membres d'aquesta família, està dissenyat per infiltrar-se en sistemes, xifrar fitxers valuosos i pressionar les víctimes perquè paguin un rescat a canvi del desxifrat.

Un cop executat en un dispositiu compromès, el programari maliciós escaneja el sistema per trobar fitxers accessibles i els xifra mitjançant algoritmes criptogràfics forts. Després del xifratge, el ransomware modifica els noms dels fitxers afegint-hi una extensió distintiva com ara ".zollo6". Per exemple:

• 1.png esdevé 1.png.zollo6
• 2.pdf es converteix en 2.pdf.zollo6

El número de l'extensió pot variar, però el resultat continua sent el mateix: els fitxers xifrats esdevenen inaccessibles per a l'usuari. A més de bloquejar els fitxers, el ransomware altera el fons de pantalla de l'escriptori del sistema i col·loca una nota de rescat al dispositiu titulada "READ_NOTE.html".

Mètodes de xifratge i el missatge de rescat

La nota de rescat deixada pels atacants afirma que els fitxers estaven protegits mitjançant una combinació de xifratge RSA i AES, que són mètodes criptogràfics habituals en operacions de ransomware modernes. Segons la nota, qualsevol intent de restaurar, canviar el nom o modificar fitxers xifrats pot provocar danys permanents a les dades.

Els atacants insisteixen que cap programari disponible públicament pot recuperar els fitxers i afirmen que només la seva eina de desxifratge patentada pot restaurar l'accés. Es demana a les víctimes que contactin amb els operadors a través de les adreces de correu electrònic proporcionades:

• recuperació1@salamati.vip
• recuperació1@amniyat.xyz

El missatge també introdueix un element de pressió temporal: s'adverteix a les víctimes que l'import del rescat augmentarà si no s'estableix contacte en un termini de 72 hores.

Robatori de dades i tàctiques de doble extorsió

Una característica particularment preocupant d'aquesta variant de ransomware és l'afirmació que s'han robat dades confidencials abans del xifratge. Els atacants afirmen que aquesta informació s'emmagatzema en un servidor privat sota el seu control.

Segons el missatge del rescat, el pagament comportarà l'eliminació de les dades robades dels seus servidors. Si no es paga el rescat, els operadors amenacen amb publicar o vendre la informació. Aquesta estratègia, coneguda com a doble extorsió, augmenta la pressió sobre les víctimes combinant el xifratge de dades amb el risc d'exposició pública de dades.

Fins i tot quan les víctimes compleixen amb les demandes de rescat, no hi ha cap garantia que els atacants proporcionin una eina de desxifrat funcional o eliminin la informació robada. Per aquest motiu, els professionals de la ciberseguretat generalment desaconsellen pagar el rescat.

Com es propaga el ransomware de Zollo

Les campanyes de ransomware sovint es basen en l'engany i l'enginyeria social per infiltrar-se en els sistemes. Els atacants sovint disfressen càrregues útils malicioses com a fitxers legítims per tal d'enganyar els usuaris perquè les executin.

Els vectors d'infecció comuns inclouen:

• Adjunts de correu electrònic maliciosos o enllaços incrustats en correus electrònics de phishing
• Alertes de suport tècnic falses dissenyades per atraure les víctimes perquè descarreguin programari maliciós
• Programari piratejat, generadors de claus no oficials i aplicacions pirates
• Programari obsolet amb vulnerabilitats sense pegats
• Llocs web compromesos, anuncis maliciosos i xarxes de compartició de fitxers entre iguals
• Descarregadors de tercers o unitats USB infectades

Un cop llançat, el ransomware comença a xifrar els fitxers immediatament i pot intentar propagar-se a través de sistemes connectats dins de la mateixa xarxa.

Reptes de recuperació i resposta a incidents

Després del xifratge, les víctimes normalment no poden obrir els fitxers afectats sense la clau de desxifratge dels atacants. La recuperació només és possible en determinades circumstàncies, sobretot quan existeixen còpies de seguretat segures que no estaven connectades al sistema infectat durant l'atac.

L'eliminació immediata del ransomware és essencial un cop detectat. Si el programari maliciós roman actiu en un dispositiu, pot continuar xifrant fitxers addicionals o intentar propagar-se a altres màquines de la xarxa. Per tant, l'aïllament ràpid del sistema infectat pot limitar els danys i evitar una major propagació.

Pràctiques de seguretat essencials per prevenir el ransomware

Uns hàbits de seguretat sòlids redueixen significativament la probabilitat d'infecció per amenaces com ara el ransomware Zollo. Una protecció eficaç requereix una combinació de controls tècnics proactius i un comportament prudent dels usuaris.

Actualitzar regularment els sistemes operatius, les aplicacions i les eines de seguretat és fonamental, ja que moltes campanyes de ransomware exploten vulnerabilitats de programari obsolet. Igualment important és l'ús de solucions antivirus o de protecció de punts finals fiables capaces de detectar comportaments sospitosos.

Mantenir còpies de seguretat fora de línia o basades en el núvol és una de les mesures de seguretat més efectives. Les còpies de seguretat s'han d'emmagatzemar per separat del sistema principal perquè no es puguin xifrar durant un atac. En cas d'infecció, les còpies de seguretat netes poden permetre restaurar els sistemes sense pagar un rescat.

Els usuaris també han d'abordar els fitxers adjunts i les descàrregues de correus electrònics amb precaució. Els fitxers sospitosos, especialment els que al·leguen urgència o requereixen una acció immediata, s'han de verificar abans d'obrir-los. Les organitzacions sovint reforcen aquesta defensa mitjançant el filtratge de correu electrònic, l'entorn de proves dels fitxers adjunts i la formació en conscienciació sobre seguretat.

La segmentació de xarxa pot reduir encara més el risc limitant fins a quin punt es pot propagar el ransomware un cop entra en un entorn. Combinada amb controls d'accés i sistemes de monitorització, la segmentació ajuda a contenir les infeccions abans que afectin les infraestructures crítiques.

Reflexions finals

Les amenaces de ransomware com ara Zollo Ransomware destaquen la importància de les mesures proactives de ciberseguretat. En xifrar fitxers, amenaçar amb l'exposició de dades i pressionar les víctimes amb demandes de rescat urgents, els atacants pretenen forçar pagaments ràpids.

Una estratègia de defensa per capes, que combini actualitzacions del sistema, còpies de seguretat fiables, programari de seguretat i pràctiques d'usuari prudents, continua sent la manera més eficaç de mitigar aquestes amenaces. La detecció precoç i la resposta ràpida poden reduir dràsticament l'impacte dels incidents de ransomware i protegir dades valuoses de pèrdues irreversibles.