Además, exigen un pago para devolver el control. Los archivos son irrecuperables a menos que la organización afectada haga copias de seguridad y que estos datos no hayan sido afectados por el ransomware. La vía de infección suele ser el correo electrónico simulando ser una factura de Endesa con un enlace que descarga el malware desde una ubicación remota. Se ha detectado que el ransomware contacta con distintos dominios para comunicarse por lo que recomendamos su filtrado para evitar posibles conexiones. Los archivos quedan cifrados con la extensión .encrypted

La parte interesante de esta nueva campaña ransomware es que la mayoría de los dominios que albergan los scripts maliciosos se basan en el popular CMS Joomla.  Sobre la base de los sitios compromisos, parece que esta campaña está aprovechando la vulnerabilidad crítica CVE-2015-8562.

Es importante aclarar que se trata de una suplantación que utiliza la imagen de la empresa para cometer el fraude y, en ningún caso, afecta a la seguridad de los servicios de la entidad.



Los correos electrónicos detectados tienen como remitente a «Factura electrónica de Endesa» y en el asunto para dar más credibilidad al correo comienza con el nombre y apellidos asociados a la cuenta de correo del destinatario seguido de “Factura” y unos caracteres alfanuméricos generados aleatoriamente, como por ejemplo «Nombre Apellidos Factura WYS2414BA7775376».

Un ejemplo del correo electrónico malicioso recibido sería el siguiente:



El correo tiene un enlace con el literal “Consulta tu factura y consumo” que al acceder a él redirige a una página en la que tras unos segundos de espera se descarga de un fichero zi (comprimido) llamado ENDESA_FACTURA.ZIP

Dentro hay un fichero  de extensión JS (JavaScript) con el código malicioso ofuscado utilizando técnicas habituales usando funciones como eval(), charAt(), charCodeAt(), fromCharCode():

ENDESA_FACTURA.js

Que descarga y ejecuta el EXE

Ejemplos:

hxxp;/ mobilegallery.in/1.exe
hxx:;//luxury-bond.com/1.exe

• https://virustotal.com/es/file/e8fc27d1ee20929f5e31dc109c1f8405a9d4a374228ea7506d9a7b911cebe417/analysis/
• https://www.hybrid-analysis.com/sample/d948798df4c5f0dde08d015f8de06a4ac67b176531d6599cb6aa71028f3a7082?environmentId=100

Según se puede ver en los análisis, el ransomware elimina todas las copias de volumen del sistema  (copias instantáneas del sistema (Shadow Copy) mediante la ejecución del comando: "vssadmin.exe Delete Shadows /All /Quiet"

Contramedidas: Desactivar Windows Script Host

Una solución para no quedar infectado es no poder ejecutar ficheros JS potencialmente peligrosos. Archivo de secuencia de Comandos de Jscript, wscript.exe

Dado que el script hace uso de Windows Script Host (WSH) para interpretar y ejecutar JScript (archivos .JS) y VBScript (archivos .VBS y .VBE) se puede deshabilitar:

Registro de Windows: el valor DWORD llamado Enabled

Valor  0 para deshabilitar wsh (valor 1 para habilitar wsh)

• Valor 1 activará Windows Script Host
• Vallor 0 desactivará Windows Script Host.

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Script Host\Settings\Enabled

O ejecutando el siguiente contenido dentro de un fichero.bat:

REG ADD "HKCU\Software\Microsoft\Windows Script Host\Settings" /v Enabled /t REG_SZ /d 0

Tal y cómo explicamos aquí:

• http://blog.elhacker.net/2016/04/microsoft-alerta-de-e-mails-con-adjuntos-maliciosos-en-javascript-y-macros-word-office.html

Con el fin de reducir el riesgo de ser infectados con el Ransomware se deben realizar, en la medida de lo posible, las siguientes acciones:

• Extremar las precauciones y, en caso de recibir un correo de origen sospechoso, lo notifiquen al administrador de seguridad del sistema o no lo abran
• Bloquear en el proxy de su organización los dominios que se han detectado y están involucrados en la campaña. Hasta ahora hemos detectado los siguientes aunque estan activos durante muy poco tiempo y van cambiando constantemente:

Estimado cliente:

Se ha detectado una campaña fraudulenta simulando avisos de factura de Endesa que invitan a descargarse la factura. Una vez abierto el mail, si haces "clic", enlazas a una página con código malicioso ("virus") que bloquea los archivos personales de los usuarios de ordenadores.

Desde Endesa te recomendamos no hacer clic en los enlaces de ningún eMail de factura que no cumpla que el remitente sea "Endesa Online" gestiononline@endesaonline.com.

Estamos realizando las acciones pertinentes contra estos ataques informáticos.
Te mantendremos informado de cualquier cambio relevante sobre este asunto.


Gracias por confiar en nosotros.

Equipo de Atención al Cliente.

Factura electrónica de Endesa

 La factura electrónica de Endesa es un opción que existe realmente y que ofrece la propia empresa.

La factura electrónica de Endesa recoge los mismos datos que la factura que recibes en papel, pero en un formato digital.

• Disponibilidad: Te enviamos un email en cuanto esté disponible tu factura y podrás consultarla en el momento.
• Rapidez: Accede a tus facturas de forma rápida desde tu email.
• Seguridad: La firma digital te garantiza la autenticidad del emisor y la integridad del contenido.
• Organización: Puedes archivar todas las facturas en tu ordenador o consultarlas desde Mi Endesa.
• Ahorro ecológico: Respeta el medio ambiente.

Con el servicio de facturación electrónica de Endesa, puedes consultar tu factura en cuanto esté disponible, ya que recibirás un aviso en tu correo electrónico informándote de la fecha, el importe y el enlace a tu factura.

Activar la factura electrónica es un servicio gratuito y muy sencillo. Puedes hacerlo desde tu área privada Mi Endesa desde la pestaña de Mis facturas y Mis contratos y lo puedes hacer para un solo contrato o para todos tus contratos.

Recuerda que una vez activada la factura electrónica, dejarás de recibir tus facturas en papel. No obstante, podrás volver a la factura en papel si lo deseas (excepto si tienes contratado algún producto ONE).

• https://www.endesaclientes.com/factura-electronica.html

Fuentes:
http://www.csirtcv.gva.es/es/noticias/alerta-nueva-campa%C3%B1a-de-ransomware-suplantando-endesa.html
http://blog.emiliocasbas.net/2016/05/massive-ransomware-campaign-of.html
https://www.osi.es/es/actualidad/avisos/2016/05/falsa-factura-electronica-de-endesa-intenta-infectar-tu-equipo.html
Lista de correo de la RootedCON