La empresa rumana de ciberseguridad Bitdefender ha lanzado un descifrador gratuito para ayudar a las v\u00edctimas a recuperar datos cifrados mediante el ransomware ShrinkLocker.<\/p>\n
El descifrador es el resultado de un an\u00e1lisis integral<\/a> del funcionamiento interno de ShrinkLocker, lo que permiti\u00f3 a los investigadores descubrir una “ventana de oportunidad espec\u00edfica para la recuperaci\u00f3n de datos inmediatamente despu\u00e9s de la eliminaci\u00f3n de los protectores de los discos cifrados con BitLocker”.<\/p>\n ShrinkLocker fue documentado por primera vez en mayo de 2024 por Kaspersky, que encontr\u00f3 el uso por parte del malware de la utilidad BitLocker nativa de Microsoft para cifrar archivos como parte de ataques de extorsi\u00f3n dirigidos a M\u00e9xico, Indonesia y Jordania.<\/p>\n Bitdefender, que investig\u00f3 un incidente de ShrinkLocker dirigido a una empresa de atenci\u00f3n m\u00e9dica no identificada en Medio Oriente, dijo que el ataque probablemente se origin\u00f3 en una m\u00e1quina perteneciente a un contratista, lo que resalta una vez m\u00e1s c\u00f3mo los actores de amenazas son cada vez m\u00e1s abusar de las relaciones de confianza<\/a> infiltrarse en la cadena de suministro.<\/p>\n En la siguiente etapa, el actor de la amenaza se movi\u00f3 lateralmente a un controlador de dominio de Active Directory haciendo uso de credenciales leg\u00edtimas para una cuenta comprometida, seguido de la creaci\u00f3n de dos tareas programadas para activar el proceso de ransomware.<\/p>\n Mientras que la primera tarea ejecut\u00f3 un script de Visual Basic (“Check.vbs”) que copiaba el programa ransomware en cada m\u00e1quina unida al dominio, la segunda tarea, programada para dos d\u00edas despu\u00e9s, ejecut\u00f3 el ransomware implementado localmente (“Audit.vbs”) .<\/p>\n El ataque, dijo Bitdefender, cifr\u00f3 con \u00e9xito sistemas que ejecutan Windows 10, Windows 11, Windows Server 2016 y Windows Server 2019. Dicho esto, se dice que la variante ShrinkLocker utilizada es una versi\u00f3n modificada de la versi\u00f3n original.<\/p>\n Descrito como simple pero efectivo, el ransomware se destaca por el hecho de que est\u00e1 escrito en VBScript, un lenguaje de secuencias de comandos que, seg\u00fan Microsoft, quedar\u00e1 obsoleto a partir de la segunda mitad de 2024. Adem\u00e1s, en lugar de implementar su propio algoritmo de cifrado, el malware utiliza BitLocker como arma para lograr sus objetivos.<\/p>\n El script est\u00e1 dise\u00f1ado para recopilar informaci\u00f3n sobre la configuraci\u00f3n del sistema y el sistema operativo, despu\u00e9s de lo cual intenta verificar si BitLocker ya est\u00e1 instalado en una m\u00e1quina con Windows Server y, si no, lo instala usando un comando de PowerShell y luego realiza un “reinicio forzado”. usando Apagado de Win32<\/a>.<\/p>\n Pero Bitdefender dijo que not\u00f3 un error que hace que esta solicitud falle con un error de “Privilegio no retenido”, lo que provoca que VBScript se atasque en un bucle infinito debido a un intento fallido de reinicio.<\/p>\n “Incluso si el servidor se reinicia manualmente (por ejemplo, por un administrador desprevenido), el script no tiene un mecanismo para reanudar su ejecuci\u00f3n despu\u00e9s del reinicio, lo que significa que el ataque puede interrumpirse o prevenirse”, Martin Zugec, director de soluciones t\u00e9cnicas de Bitdefender. , dicho.<\/p>\n El ransomware est\u00e1 dise\u00f1ado para generar una contrase\u00f1a aleatoria que se deriva de informaci\u00f3n espec\u00edfica del sistema, como el tr\u00e1fico de red, la memoria del sistema y la utilizaci\u00f3n del disco, y la utiliza para cifrar las unidades del sistema.<\/p>\n Luego, la contrase\u00f1a \u00fanica se carga en un servidor controlado por el atacante. Despu\u00e9s del reinicio, se solicita al usuario que ingrese la contrase\u00f1a para desbloquear la unidad cifrada. La pantalla de BitLocker tambi\u00e9n est\u00e1 configurada para mostrar la direcci\u00f3n de correo electr\u00f3nico de contacto del actor de la amenaza para iniciar el pago a cambio de la contrase\u00f1a.<\/p>\n Eso no es todo. El script realiza varias modificaciones en el Registro para restringir el acceso al sistema al deshabilitar las conexiones RDP remotas y desactivar los inicios de sesi\u00f3n locales basados \u200b\u200ben contrase\u00f1as. Como parte de sus esfuerzos de limpieza, tambi\u00e9n desactiva las reglas del Firewall de Windows y elimina archivos de auditor\u00eda.<\/p>\n![\"Ciberseguridad\"](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/11\/Lanzamiento-de-Decryptor-gratuito-para-victimas-del-ransomware-ShrinkLocker-basado.png\")
<\/a><\/center><\/div>\n<\/a><\/div>\n