El ransomware es un tipo de malware que emplea cifrado asimétrico para secuestrar la información de la víctima y solicitar un rescate. El cifrado asimétrico (clave pública) es una técnica criptográfica en la que se utilizan un par de claves para cifrar y descifrar un archivo. El delincuente genera de manera exclusiva el par de claves pública-privada para la víctima y almacena la clave privada para descifrar los archivos en su servidor. La víctima solamente podrá acceder a la clave privada tras el pago de un rescate al agresor, aunque tal y como se ha podido comprobar en campañas recientes de ransomware, esto no siempre sucede así. Sin acceso a la clave privada, resulta prácticamente imposible descifrar los archivos por los que se exige un rescate.

Evitar - prevención del secuestro de tus datos

La mayoría de las campañas de ransomware empiezan por un mensaje de correo electrónico de phishing. Con el paso del tiempo, han ganado en sofisticación, y ahora muchas están específica y meticulosamente diseñadas en el idioma local de las víctimas a las que van dirigidas.

Ejemplos:

• AusPost y Office of State Revenue (Australia)
• Royal Mail (Inglaterra)
• DHL (Austria y Alemania)
• Česká pošta (República Checa)
• TTTNet ( Turquía)
• SDA (Italia)
• Correos (España)

Historia del Ransomware

¿Cuántos diferentes tipos de Ransomware existen? Muchos y muchas variantes de familias.

El primer ransomware, conocido como PC Cyborg o AIDS, fue creado a finales de los 80 por creado por el ingeniero Joseph L. Popp. en 1989. PC Cyborg cifraba todos los archivos del directorio C: después de reiniciar 90 veces, y después exigía al usuario renovar su licencia mediante el envío de 189 dólares por correo postal a PC Cyborg Corp. El cifrado utilizado era bastante sencillo de descifrar, por lo que no resultaba una gran amenaza para aquellos que estaban familiarizados con la informática. El virus se distribuyó a través de 20.000 disquetes infectados a los comparecientes a las conferencias de la Organización Mundial de la Salud sobre el SIDA.

En 2013, CryptoLocker reintrodujo en el mundo el ransomware de cifrado; pero, esta vez, era mucho más peligroso.

• Reveton (Virus de la policía) "Bloqueadores"
• Tox
• CryptoLocker (2013)
• TorrentLocker (2014)
• CryptoWall (2015)
• CTB-Locker
• ZeroLocker
• TeslaCrypt (En el 2016, TeslaCrypt cubrió el 48% de los ataques de ransomware en todo el mundo.)
• Cerber (2016-17) 25% de toda la actividad global en 2018
• KeRanger (2016, primer ransomware para Mac)
• Locky
• Crysis/Dharma
• WannaCry (2017)
• Wanna Decryptor
• NOTPetya/Petya (2017)
• Mamba (2016)
• Jigsaw
• Erebus - JungleSec (Ransomware para Linux)
• Ryuk (Líder en 2018-19)
• Troldesh
• GandCrab
• BitPaymer
• SamSam
• Bad Rabbit
• Maze
• NetWalker
• WastedLocker
• REvil
• Clop
  

El sentido común es nuestro amigo. Correos no suele enviar email para avisarnos de la llegada de una carta certificada, suele ser el cartero quien nos deja un aviso en el buzón de nuestra casa. Si encontramos más de dos faltas gramaticales claras deberíamos empezar a sospechar.

Pero además al entrar a la supuesta página de Correos veremos en la barra de direcciones del navegador como el dominio no tiene nada que ver con Correos.es aunque en el e-mail y la página web aparezcan los logos de correos. Es un claro ejemplo de phishing (suplantación de identidad). Ya está bien de tomar el pelo a personas con menos conocimientos informáticos que no saben diferenciar entre una página real y una falsa.

Simplemente mira si aparece la palabra correos.es en la barra de direcciones del navegador.

¿Estas seguro del nombre de dominio? Estar seguro de que entran en el dominio correcto verificando el nombre de dominio. Muchas veces los atacantes utilizan nombres similares, que difieren en una letra y lo hacen esperando un error de escritura del usuario, como por ejemplo escribir Facebok en lugar de Facebook o bien utilizan subdominios muy largos.

El 97% de los usuarios no es capaz de identificar un Phishing

 

Listado actualizado de Ransomware con sus extensiones , tipo de cifrado y herramienta de descifrado (si la hay)

• https://docs.google.com/spreadsheets/d/1TWS238xacAto-fLKh1n5uTsdijWdCEsGIM0Y0Hvmc5g/pubhtml#

Puedes utilizar el servicio de identificación de ransomware ID-Ransomware:

• Identificar un ransomware con la nota de rescate o muestra de un archivo cifrado (ID Ransomware)

Consejo básico de seguridad en Windows: Mostrar la extensión real de un archivo


Una extensión de nombre de archivo es un conjunto de caracteres que se agregan al final de un nombre de archivo para determinar qué programa debería abrirlo.

Desmarcar Ocultar las extensiones de archivo para tipos de archivo conocidos

Antes: .pdf

Ahora mostrará: .pdf.exe

Ejemplos:

Antes: los fichero son mostrados con un icono falso, Windows no nos muestra la verdadera extensión del documento

Ahora: después ya podemos ver que aunque el icono es de un PDF, mp3, Excel o ZIP, en realidad es un fichero con extensión EXE.


CryptoLocker no es detectado por ningún antivirus (técnicamente no es un virus).

• Encontrar archivos borrados en: Google Drive, Dropbox, Onedrive
• Recuperar versiones anteriores o antiguas en: Google Drive, Dropbox (o usar script en Python dropbox-restore), Onedrive. Gestiona las Versiones de Google Drive te permite recuperar hasta 100 versiones anteriores

¿Cómo evitar o prevenir infección de cualquier Ransomware?

1. Habilitar el acceso controlado a las carpetas Windows Defender
2. Herramientas específicas Anti-ransomware
3. Desactivar Windows Script Host
4. Desactivar macros Microsoft Office
5. Evitar que los usuarios ejecuten Powershell a través de GPO
6. Editor de directivas locales y de grupo (Group Policy Object, GPO)
7. Usando el administrador de recursos del servidor de archivo en Windows 2012

2. Herramientas específicas de protección (Anti-Ransom)

• Anti-Ransomware de Malwarebytes  (Basado en CryptoMonitor)
• HitmanPro
• CryptoPrevent (Básicamente aplica políticas de seguridad con GPO)
• Cryptostalker
• AntiRansom v3 de SecurityByDefault.com
• AppLocker de Microsoft
• BDAntiRansomware de BitDefender 
• PROTEIN – PROTEct your INformation (Powershell Anti-Ransomware)
• Interceptor de McAffe es un Anti-Ransomware gratuito
• Raccine (Detecta cambios vssadmin.exe, Shadow Volume)
  

Cryptostalker

• https://github.com/unixist/cryptostalker

3. Desactivar Windows Script Host

Microsoft Windows Script Host (WSH) es una tecnología de automatización para los sistemas operativos Microsoft Windows hizo Proporciona capacidades de scripting comparable a batchfiles, pero con un soporte de funciones ampliado. Originalmente fue llamado Windows Scripting Host, pero cambió de nombre en la segunda versión.

Windows Script Host (WSH) se usa para interpretar y ejecutar JScript (archivos .JS) y VBScript (archivos .VBS y .VBE) que pueden ser potencialmente peligrosos.

Extensiones de ficheros bloqueadas

• .hta
• .jse
• .js
• .vbs
• .vbe
• .wsf 
• .wsh

Numerosas campañas de spam están usando varias familias ransomware a través de archivos adjuntos .zip. Y los archivos .zip contienen Normalmente, un JScript (.js / .JSE) Un archivo que, si se hace clic, se ejecutará a través de Windows Script Host.

Se puede editar el registro de Windows para desactivar WSH.

Aquí está la clave (carpeta).

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows Script Host\Settings

Crear un nuevo valor DWORD denominado "Enabled" y establezca los datos de valor a "0".




Y después, si hace clic en un archivo .js, se verá esto:

Acceso Windows Script Host  deshabilitado en este equipo. Póngase en contacto con el administrador para obtener más detalles.

O ejecutar el script nombre.bat

REG ADD "HKCU\Software\Microsoft\Windows Script Host\Settings" /v Enabled /t REG_SZ /d 0

4. Desactivar macros Microsoft Office

5. Evita que los usuarios ejecuten Powershell a través de GPO

No ejecutar aplicaciones de Windows especificadas

Hacer click en "Habilitada"

Lista de aplicaciones no permitidas

Mostrar -->  Valor --> powershell.exe

5.a Editor de directivas locales y de grupo (Group Policy Object, GPO)

Se pueden utilizar los grupos de Windows o el editor de directivas locales para crear directivas de restricción de software que bloquean los ejecutables que se inician cuando se encuentran en rutas específicas. Para obtener más información sobre cómo configurar directivas de restricción de software.


Las rutas de los archivos que han sido utilizados por esta infección son:

C:\Users\\AppData\Local\.exe (Vista/7/8)
C:\Users\\AppData\Local\.exe (Vista/7/8)
C:\Documents and Settings\\Application Data\.exe (XP)
C:\Documents and Settings\\Local Application Data\.exe (XP)

%appdata%\*.exe
%appdata%\*\*.exe
%localappdata%\*.exe
%localappdata%\*\*.exe

Con el fin de bloquear CryptoLocker podemos crear reglas para las rutas en las que no se permite la ejecución de archivos. Para crear estas directivas de restricción de software, añadiendo  las políticas de forma manual usando el editor de directivas de seguridad local o el editor de directivas de grupo.

Nota: Si estás utilizando Windows Home o Windows Home Premium, no tendrás disponible el editor de directivas de seguridad local.

Con el fin de crear manualmente las directivas de restricción de software necesitas usar Windows Professional, Bussiness, Enterprise o Ultimate, o Windows Server. Si quieres establecer estas políticas para un determinado equipo puedes usar el editor de directivas de seguridad local. Si vas a aplicar estas políticas para todo un dominio, entonces necesitas utilizar el editor de directivas de grupo.

Para abrir el editor de directivas de seguridad local, haz click en el botón Inicio y escribe “Directiva de seguridad local”, para después seleccionar el resultado de la búsqueda que aparece. Para abrir el editor de directivas de grupo, escribe “Directiva de grupo” en su lugar. En esta guía veremos el editor de directivas de seguridad local en los ejemplos.

Una vez la pantalla está abierta, expande Configuración de seguridad y, a continuación haz clic en la sección de directivas de restricción de Software. Si no ves nada en el panel de la derecha (como se muestra arriba), tendrás que añadir una nueva política. Para ello haz clic en el botón Acción y selecciona Nuevas políticas de restricción de Software. Esto habilitará la directiva para que aparezca el panel de la derecha. Después, debes hacer clic en la categoría Reglas adicionales, e ir al panel derecho, donde seleccionaremos Nueva regla de ruta… A continuación, agregamos una regla de ruta para cada uno de los elementos enumerados a continuación.

Si las directivas de restricción de software causan problemas al intentar ejecutar aplicaciones legítimas, mira esta sección sobre cómo habilitar aplicaciones específicas.
 

A continuación se presentan algunas reglas de ruta que se sugieren, no solo para bloquear las infecciones sin más, si no también para bloquear los archivos adjuntos que se ejecuten al abrir un cliente de correo electrónico.

Bloquear ejecutable CryptoLocker en %AppData%

Ruta: %AppData%\*.exe
Security Level: Disallowed
Descripción: Don't allow executables to run from %AppData%.

Bloquear ejecutable CryptoLocker en %LocalAppData%

Ruta usando Windows XP: %UserProfile%\Local Settings\*.exe
Ruta usando Windows Vista/7/8: %LocalAppData%\*.exe
Security Level: Disallowed
Descripción: Don't allow executables to run from %AppData%.

Bloquear ejecutable Zbot en %AppData%

Ruta: %AppData%\*\*.exe
Security Level: Disallowed
Descripción: Don't allow executables to run from immediate subfolders of %AppData%.

Block ejecutable Zbot en %LocalAppData%

Ruta con Windows XP: %UserProfile%\Local Settings\*\*.exe
Ruta Windows Vista/7/8: %LocalAppData%\*\*.exe
Security Level: Disallowed
Descripción: Don't allow executables to run from immediate subfolders of %AppData%.

Bloquear ejecutables de un archivo adjunto abierto con WinRAR:

Ruta en Windows XP: %UserProfile%\Local Settings\Temp\Rar*\*.exe
Ruta en Windows Vista/7/8: %LocalAppData%\Temp\Rar*\*.exe
Security Level: Disallowed
Descripción: Block executables run from archive attachments opened with WinRAR.

Bloquear ejecutables de un archivo adjunto abierto con 7zip:

Ruta en Windows XP: %UserProfile%\Local Settings\Temp\7z*\*.exe
Ruta en Windows Vista/7/8: %LocalAppData%\Temp\7z*\*.exe
Security Level: Disallowed
Descripción: Block executables run from archive attachments opened with 7zip.

Bloquear ejecutables de un archivo abierto con WinZip:

Ruta en Windows XP: %UserProfile%\Local Settings\Temp\wz*\*.exe
Ruta en Windows Vista/7/8: %LocalAppData%\Temp\wz*\*.exe
Security Level: Disallowed
Descripción: Block executables run from archive attachments opened with WinZip.

Bloquear ejecutables de ficheros adjuntos usando compresor de Windows:

Ruta para Windows XP: %UserProfile%\Local Settings\Temp\*.zip\*.exe
Ruta para Windows Vista/7/8: %LocalAppData%\Temp\*.zip\*.exe
Security Level: Disallowed
Descripción: Block executables run from archive attachments opened using Windows built-in Zip support.

6. Windows: GPO para prevenir Cryptolocker

Podemos utilizar GPOs para fortificar la configuración e intentar evitar la ejecución de Cryptolockers.

Para ello, utilizaremos las Software Restriction Policies (SRP).

Encontraremos la posibilidad de configurar directivas SRP como GPOs de equipo o usuario:


Podemos configurar GPOs SRP que bloqueen extensiones en rutas. Una GPO SRP de bloqueo de rutas, el bloqueo se efectuará independientemente de los permisos NTFS asignados en la ruta.

Deberemos personalizar la GPO con las exclusiones necesarias según nuestro entorno: aplicaciones instaladas, sistema operativo, descompresor utilizado, etc

Vista completa de la GPO SRP texto: User Configuration (Enabled) > Policies > Windows Settings > Security > Settings > Software Restriction Policies

Enforcement

Apply software restriction policies to the following: All software files except libraries (such as DLLs)
Apply software restriction policies to the following users: All users
When applying software restriction policies: Ignore certificate rules

Designated File Types

ADE ADE File
ADP ADP File
BAS BAS File
BAT Windows Batch File
CHM Compiled HTML Help file
CMD Windows Command Script
COM MS-DOS Application
CPL Control panel item
CRT Security Certificate
EXE Application
HLP Help file
HTA HTML Application
INF Setup Information
INS INS File
ISP ISP File
LNK Shortcut
MDB MDB File
MDE MDE File
MSC Microsoft Common Console Document
MSI Windows Installer Package
MSP Windows Installer Patch
MST MST File
OCX ActiveX control
PCD PCD File
PIF Shortcut to MS-DOS Program
REG Registration Entries
SCR Screen saver
SHS SHS File
URL Internet Shortcut
VB VB File
WSC Windows Script Component

Trusted publisher management: Allow all administrators and users to manage user's own Trusted Publishers

Certificate verification: None

Software Restriction Policies/Security Level

Default Security Level: Unrestricted

Software Restriction Policies/Additional Rules

Path Rules

Disallowed:

%AppData%\
%AppData%\*\
%localappdata%\
%localappdata%\*\
%localappdata%\Microsoft\Windows\Temporary Internet Files\
%localappdata%\Microsoft\Windows\Temporary Internet Files\Content.Outlook\
%localappdata%\Microsoft\Windows\Temporary Internet Files\Content.Outlook\*\
%localappdata%\Microsoft\Windows\Temporary Internet Files\Content.Outlook\*\*\
%Temp%\
%Temp%\$*\
%Temp%\*.zip\
%userprofile%\

Unrestricted:

%Temp%\Procmon64.exe
%localappdata%\*\Procmon64.exe
%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRoot%
%HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ProgramFilesDir%

Raccine es parecido a una vacuna, porque detecta cambios y llamadas al ejecutable vssadmin.exe (y wmic.exe), ya que los ransomware suelen eliminar los Shadow Volume Copies para que no sea posible recuperar versiones anteriores de los ficheros. Es decir eliminan las copias de seguridad de los ficheros creadas por Windows.

Ejemplo de código que suelen utilizar ransomware:

vssadmin delete shadows /all /quiet

Fuentes:
https://josecarlosnietoramos.wordpress.com/2015/01/30/como-evitar-que-el-ordenador-se-infecte-con-cryptolocker/
https://www.welivesecurity.com/la-es/2016/04/12/evitar-ransomware-cifre-servidor-de-ficheros-w2012/
http://www.hackplayers.com/2016/04/de-como-protegerse-contra-cryptolocker-2.html
http://www.sysadmit.com/2015/04/windows-gpo-para-prevenir-cryptolocker.html