NUEVO RANSOMWARE CRYPTONITE

06/12/2022

BOLETÍN NRO 2022-715

Recientemente se ha observado una versión de un kit de herramientas de ransomware de código abierto llamado Cryptonite con capacidades de wiper debido a que su arquitectura y programación presenta ciertas fallas.

Servicios Afectados

• Sistemas operativos Windows

Detalles Tecnicos

CVE: ---                                    Severidad:   CRÍTICA

Cryptonite, a diferencia de otras cepas de ransomware, no está disponible para la venta en foros o sitios de la dark web, sino en su lugar fue ofrecido de forma gratuita por un ciberdelincuente llamado CYBERDEVILZ hasta hace poco a través desde un repositorio de GitHub. Actualmente, el código fuente y sus demás versiones han sido retirados del repositorio.

Este malware escrito en Python emplea el módulo Fernet del paquete criptográfico para cifrar archivos con extensión ".cryptn8".

Sin embargo, una nueva muestra analizada por analistas de seguridad se pudo observar que al ejecutar el malware bloquea los archivos sin opción de volver a descifrarlos, actuando esencialmente como un destructor de datos.

Pero este cambio no es un acto deliberado por parte del ciberdelincuente, sino que se debe a una falta de control de calidad que hace que el programa se bloquee al intentar mostrar la nota de rescate después de completar el proceso de cifrado.

Según expertos de programación, el problema de este fallo es debido a la simplicidad de diseño del ransomware, si el programa se bloquea o se cierra no hay forma de recuperar los archivos cifrados.

La excepción lanzada durante la ejecución del programa ransomware también significa que la "clave" utilizada para cifrar los archivos nunca se transmite a los operadores, bloqueando así a los usuarios de sus datos.

Estos hallazgos se producen en el contexto de un panorama de ransomware en evolución en el que los wipers bajo la apariencia de malware de cifrado de archivos, se despliegan cada vez más para sobrescribir datos sin permitir el descifrado.

Indicadores de Compromiso

IP

81[.]59[.]117[.]34

Dominio

cryptography[.]io

ngrok[.]io

URL

hxxp[:]//81[.]59[.]117[.]34[.]bc[.]googleusercontent[.]com/

hxxps[:]//ec2-3-125-223-134[.]eu-central-1[.]compute[.]amazonaws[.]com/

hxxps[:]//e4c0660414bf[.]eu[.]ngrok[.]io/

hxxps[:]//cryptography[.]io/en/latest/fernet/

HASH

MD5: eca4bcf2acbd87c38c84fbf32aa0174b

SHA-256: 7508e8b8054a2f773bb20082460a5e2fb224675c7c5c95a7a7006abf921eaf95

MD5: 964f4a2246abd6fb69e95e6b18298e9e

SHA-256: 4e86d727ded7ba6c42109262bdf8cb72ae13303769d07995f99e20de3f2ce7ae

MD5: 379cbdbb5b3221615dd1802d906eb23c

SHA-256: 3b68780719010fc195e6e4f8d1b912030259cb1cddde5a943e44da558222060f

Recomendaciones

Se recomienda a nuestros clientes que cuenten con los servicios que puedan verse afectados, seguir las siguientes acciones preventivas para reducir riesgos:

Para el personal de seguridad de información:

• Mantener un protocolo estricto para realizar copias de seguridad de los activos de información de mayor criticidad.

• Mantener un protocolo de actualizaciones estricto de sistemas operativos, antivirus y todas las aplicaciones que se ejecutan en ellos.

• Concientizar constantemente a los usuarios en temas relacionados a seguridad informática.

• Mantener el conocimiento situacional de las últimas amenazas y zonas vulnerables de la organización.

• Bloquear los indicadores de compromisos (IOC) mostrados, en los dispositivos de seguridad de su infraestructura.

** Antes de realizar el bloqueo de IoCs o aplicar actualizaciones es importante que previamente en ambiente de desarrollo se valide y confirme a nivel de servicios, con el propósito de aplicar los cambios de manera controlada.

Para usuarios finales:

• No abrir correos electrónicos de dudosa procedencia (remitente desconocido), ni dar clic en enlaces, ni descargar archivos adjuntos desconocidos.

• Escanear todo el software descargado de Internet antes de la ejecución.

• De detectar cualquier actividad anómala en su equipo reportarlo inmediatamente a los encargados de seguridad de la información de su institución.

Fuente

• Fuente 1: Open Source Ransomware Toolkit Cryptonite Turns Into Accidental Wiper Malware
• Fuente 2: Equipo de Anti-Fraude y Dark Web Intelligence SecureSoft

Contáctanos

Si usted tiene alguna consulta no dude en contactarse con nosotros: 

Perú:
Consultas técnicas: monitoreo_pe@securesoftcorp.com 
Consultas comerciales: ventas@securesoftcorp.com

Ecuador:
Consultas técnicas: monitoreo_ec@securesoftcorp.com
Consultas comerciales: ventas_ec@securesoftcorp.com

Colombia:
Consultas técnicas: monitoreo_co@securesoftcorp.com
Consultas comerciales: ventas_co@securesoftcorp.com

Chile:
Consultas técnicas: monitoreo_cl@securesoftcorp.com
Consultas comerciales: ventas_cl@securesoftcorp.com

​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​​