Kaspersky ha lanzado una nueva versión de su herramienta de descifrado, diseñada específicamente para ayudar a las víctimas de variantes del ransomware basadas en el código fuente filtrado de Conti. Esta actualización forma parte de los esfuerzos de la empresa para mitigar el impacto de ataques cibernéticos que han aprovechado la exposición de este malware.
Origen y evolución del ransomware Conti
Conti es una banda de ransomware que ha sido activa desde 2019, destacándose como uno de los principales actores en el cibercrimen durante 2020. Representó más del 13 por ciento de todas las víctimas de ransomware en ese período. En marzo de 2022, se filtraron datos relacionados con Conti, incluyendo su código fuente, tras un conflicto interno provocado por la crisis geopolítica en Europa.
Descubrimiento y análisis de nuevos datos
A finales de febrero de 2023, los expertos de Kaspersky identificaron una nueva parte de los datos filtrados publicados en foros. Estos contenían 258 claves privadas, código fuente y algunos descifradores precompilados. Basándose en este análisis, la empresa lanzó una versión actualizada del descifrador público para ayudar a las víctimas de esta variante específica.
Impacto de los ataques
La variante del malware cuyas claves se filtraron fue identificada por Kaspersky en diciembre de 2022. Esta cepa se utilizó en múltiples ataques contra empresas e instituciones estatales. Treinta y cuatro de las carpetas encontradas tienen nombres explícitos de empresas y organismos gubernamentales, lo que sugiere una posible vinculación con víctimas específicas.
Acceso a herramientas de descifrado
El código de descifrado y las 258 claves se han incorporado a la última versión de RakhniDecryptor v1.40 de Kaspersky. Además, la herramienta ha sido incluida en el sitio No Ransom de la empresa.
Variantes del ransomware afectadas
- Trojan-Ransom.Win32.Conti
- Trojan-Ransom.Win32.Ragnarok
- Trojan-Ransom.Win32.Fonix
- Trojan-Ransom.Win32.Rakhni
- Trojan-Ransom.Win32.Autoit
- Trojan-Ransom.Win32.Aura
- Trojan-Ransom.AndroidOS.Pletor
- Trojan-Ransom.Win32.Rotor
- Trojan-Ransom.Win32.Lamer
- Trojan-Ransom.Win32.Cryptokluchen
- Trojan-Ransom.Win32.Democry
- Trojan-Ransom.Win32.GandCrypt ver. 4 / 5
- Trojan-Ransom.Win32.Bitman ver. 3 / 4
- Trojan-Ransom.Win32.Libra
- Trojan-Ransom.MSIL.Lobzik
- Trojan-Ransom.MSIL.Lortok
- Trojan-Ransom.MSIL.Yatron
- Trojan-Ransom.Win32.Chimera
- Trojan-Ransom.Win32.CryFile
- Trojan-Ransom.Win32.Crypren.afjh (FortuneCrypt)
- Trojan-Ransom.Win32.Nemchig
- Trojan-Ransom.Win32.Mircop
- Trojan-Ransom.Win32.Mor
- Trojan-Ransom.Win32.Crusis (Dharma)
- Trojan-Ransom.Win32.AecHu
- Trojan-Ransom.Win32.Jaff
- Trojan-Ransom.Win32.Cryakl CL 1.0.0.0
- Trojan-Ransom.Win32.Maze
- Trojan-Ransom.Win32.Sekhmet
- Trojan-Ransom.Win32.Egregor
Recomendaciones de seguridad
Para protegerse contra ataques de ransomware, Kaspersky recomienda seguir estas prácticas:
- No exponga los servicios de escritorio remoto (como RDP) a redes públicas a menos que sea absolutamente necesario y utilice siempre contraseñas seguras para ellos.
- Instale rápidamente los parches disponibles para las soluciones VPN comerciales que proporcionan acceso a los empleados remotos y actúan como pasarelas en su red.
- Centre su estrategia de defensa en la detección de movimientos laterales y la exfiltración de datos a Internet. Preste especial atención al tráfico saliente para detectar conexiones de ciberdelincuentes.
- Haga copias de seguridad de los datos con regularidad. Asegúrese de poder acceder a ellos rápidamente en caso de emergencia cuando sea necesario.
Además, el sitio gratuito NoMoreRansom publica otras herramientas para más de 180 ransomware distintos.