El alcalde de Rialp, Gerard Sabarich, el pequeño municipio de Rialp (Lleida), de apenas 700 vecinos, ha comunicado a los Mossos d'Esquadra que la información de los ordenadores de su Ayuntamiento quedó el pasado jueves "secuestrada" por un virus informático, que llegó a través de un correo electrónico fraudulento titulado 'Factura Carmen', tras lo que se exigió un rescate del que el consistorio no ha llegado a conocer la cuantía, ha informado a Europa Press la policía catalana.





Rialp suma apenas 600 habitantes repartidos en siete núcleos de montaña.

• Restablecen el sistema con copias de seguridad y lo denunciarán a los Mossos de Esquadra y la Agencia de Protección de Datos

Al tratar de leer la supuesta factura, técnicos del Ayuntamiento activaron sin saberlo un programa conocido como Cryptolocker, que codificó archivos del consistorio que este podía recuperar sin tener que pagar, gracias a copias de seguridad, ha publicado este miércoles el diario 'Segre'.

Sabarich alertó a alcaldes sobre este virus, que aparece de forma periódica a través de cadenas de email fraudulento. Precisamente, la alcaldesa de Tàrrega, Rosa Maria Perelló, explicó que el consistorio que preside recibió también un mensaje titulado “Factura Carmen”, pero lo borraron al desconfiar sobre su procedencia. Los Mossos apuntaron que Rialp es un “caso aislado”, mientras que firmas del sector de la informática dijeron desconocer incidentes similares en entes públicos, pero indicaron que sí se dan en empresas privadas

Es el primer ataque informático de este tipo que se conoce en un ayuntamiento de Lleida. El consistorio podrá recuper la información “secuestrada” gracias a copias de seguridad. Así lo explicaron fuentes de la firma Canon, contratada para mantener el sistema informático municipal y que este martes daba el incidente por resuelto. El alcalde, Gerard Sabarich, explicó que el ayuntamiento denunciará estos hechos ante los Mossos. También los ha puesto en conocimiento de la Agencia de Protección de Datos, por si información de carácter personal quedara expuesta.

¿Qué es un ransomware?

Un ataque ransomware se despliega normalmente mediante un adjunto en un correo electrónico, que puede ser un ejecutable, un archivo o una imagen. Una vez que se abre el adjunto, el malware se despliega en el sistema del usuario. Los cibercriminales también pueden ocultar el malware en páginas web, infectando los dispositivos de los visitantes de estas páginas sin su conocimiento.

La infección no es evidente de inmediato para el usuario. El malware opera sigilosamente en segundo plano hasta que se despliega un sistema o un mecanismo de bloqueo de datos. Después aparece una ventana de diálogo que informa al usuario de que los datos se han bloqueado y solicita un rescate para desbloquearlo. Entonces ya es demasiado tarde para salvar los datos mediante medidas de seguridad.


Pese a que los documentos de los ordenadores siguen cifrados, el consistorio ha podido recuperar todos los archivos dañados, menos los del pasado jueves, ya que el Ayuntamiento hacía diariamente copias de seguridad, según el alcalde.

El personal municipal ha confirmado que la mayor parte de la información podrá ser recuperada gracias a las copias de seguridad que, como medida de precaución, se realizan de manera rutinaria. El alcalde, que ocupa una de las vicepresidencias de la Diputación de Lleida, ha revelado que ningún dato "comprometido" ha quedado expuesto ya que, asegura, la información relativa a cuentas bancarias y a datos personales de los ciudadanos se almacena en un servidor que depende de la Diputación, y no en los propios del consistorio que infectó el ataque.

Consejos sobre el Ransomware

• Si el usuario tiene habilitadas las macros, el malware se activa e infecta el equipo del usuario.
• Si el usuario tiene deshabilitadas las macros, el documento solicita habilitar las macros para que el usuario pueda visualizarlo (e infectarlo).

La habilitación de los macros de Word produce que el dispositivo se infecte por el malware, mostrándole al usuario un mensaje de advertencia avisándole que su ordenador ha sido secuestrado y que debe pagar un rescate para poder recuperar su información:

Esta forma de fraude se denomina ingeniería social. El reclamo, es algo que resulta familiar al receptor y le convence de que es un mensaje legítimo. Así se consigue que el empleado abra el fichero para infectar su equipo con malware.

Activa la opción de mostrar las extensiones de los archivos en el menú de configuración de Windows. Esto hará mucho más fácil detectar archivos potencialmente maliciosos. Manténte alejado de extensiones como ‘.exe’, ‘.vbs’ y ‘.scr’. Los estafadores pueden usar varias extensiones para camuflar un fichero malicioso como un video, una foto o un documento (como chicas-calientes.avi.exe o doc.scr).

• https://www.nomoreransom.org/es/index.html

¿Nos fiamos del remitente?

• ¿Conocemos a quién supuestamente envía el correo, es decir su nombre?
• ¿Su correo electrónico «pepe.perez@dominio.es» es el de siempre o el esperado?
• ¿Están bien escritos el nombre (antes de la @) y el dominio (después de la @)? Con frecuencia se utilizan dominios, o nombres, parecidos (por ejemplo, pep.peres@dominio-clientes.es) para engañarnos.

¿Es un asunto pendiente?

El asunto suele ser el primer gancho o reclamo, junto con el remitente, para engañarnos. Si han podido espiar con antelación nuestro correo, con quién nos escribimos, qué tipo de mensajes recibimos, etc., sabrán qué asunto poner e incluso cuándo esperamos recibir ese tipo de mensajes, por ejemplo «Envío factura mes de noviembre».

Cuerpo del e-mail

• El cuerpo del mensaje puede incluir logotipos o el pie de firma esperado. También emulan, a veces de forma burda y otras más elaborada, el aspecto que tendría del mensaje que quieren suplantar (el mismo saludo o despedida, por ejemplo). Sospecha del mínimo cambio de aspecto y si es necesario contrástalo con otro mensaje del mismo remitente o mejor llama a tu contacto por teléfono.
• ¿Está bien escrito? Si tiene modismos, utiliza un vocabulario no utilizado en España o tiene faltas gramaticales, desconfiaremos. En ocasiones utilizan traducciones automáticas y si lo leemos con cuidado nos daremos cuenta.
• ¿Contiene una «llamada a la acción» que nos urge, invita o solicita hacer algo no habitual? Esto nos debería hacer sospechar. En particular desconfiaremos si nos están pidiendo datos o información confidencial, como cuentas y contraseñas, o que hagamos clic en un enlace o que descarguemos un fichero.

Ficheros adjuntos en el e-mail

• ¿Reconoces el nombre del archivo? Los adjuntos de un mensaje malicioso suelen tener un nombre de fichero que nos incita a descargarlos, por ser habitual o porque creemos que tiene un contenido atractivo.
• ¿Ese icono es el que corresponde al archivo? Suelen ocultar un fichero ejecutable bajo iconos de aplicaciones comunes como (Word, PDF, Excel, etc.).
• Esa extensión, ¿es la verdadera? Podrían esconder la extensión real del archivo:
  • poniendo una extensión familiar seguida de muchos espacios para que no veamos la extensión real (del ejecutable) en nuestro explorador de ficheros (por ejemplo listadoanual.pdf                         .exe)
  • insertando un código (RLM) que invierte el orden de los caracteres en una parte del nombre del fichero, así  «presupuesto[U+202E]cod.exe» se mostrará en Windows como «presupuestoexe.doc».
• ¡Huy!… ¿es un documento de Office que nos pide habilitar las macros? Estarán deshabilitadas por defecto. Sospecharemos de los archivos que nos pidan habilitarlas.
• ¿Es un archivo ejecutable? Los archivos ejecutables, scripts e instaladores los carga el diablo. ¡Recuerda qué no son sólo los .exe o .zip! Comprueba en este enlace algunas de las extensiones de ejecutables.  
• ¿Es o encubre un archivo JavaScript? Los archivos con extensión .js son peligrosos si se saltan las protecciones del antivirus. Pueden ocultarse en ficheros comprimidos. Podrían hacer que nuestro ordenador descargara y ejecutara otro software malicioso.

Cuidado al hacer click en un enlace de un e-mail

• Antes de hacer clic en ningún enlace revisaremos la URL, es decir la expresión que se abriría en la barra del navegador al hacer clic (del tipo http://www.paginadelproveedor.es/...). Para ello nos situaremos sobre el texto del enlace, generalmente en azul y subrayado y el cliente de correo nos mostrará la URL. La URL debe ser la que esperamos, es decir si el mensaje es de una empresa conocida, debe ser la URL de esa empresa.
• Para identificar enlaces sospechosos nos fijaremos en que:
  • pueden tener letras o caracteres de  más o de  menos (typosquatting) y pasarnos desapercibidas,
  • podrían estar utilizando homógrafos, es decir caracteres que se parecen en determinadas tipografías (1 y l, O y 0),
• Aun así los enlaces aparentemente legítimos:
  • podrían apuntar a direcciones distintas de las que muestran con un sencillo cambio en el código html (si el mensaje viene con formato html),
  • podrían dirigirnos a un web exploit kit, un servidor que analiza las debilidades de nuestro navegador bien para explotarlas e infectarnos bien para fisgar nuestros patrones de navegación para diseñar otros ataques,
  • podrían ser enlaces que nos llevan a sitios web legítimos que están comprometidos, es decir, que los han modificado para infectarnos o robarnos datos.

Fuentes:
http://www.lavanguardia.com/local/lleida/20170419/421819276639/virus-secuestra-datos-ordenadores-ayuntamiento-rialp-piden-rescate.html
http://www.segre.com/es/noticias/comarcas/2017/04/19/secuestran_los_archivos_del_ayuntamiento_rialp_con_virus_informatico_piden_rescate_16824_1091.html
https://www.incibe.es/protege-tu-empresa/blog/cifrado-datos-importantes-empresa-ransomware