El poderoso
Ransomware Satán vuelve a infectar equipos comprometiendo a Windows PC a través
del exploit EternalBlue que se encarga de realizar su distribución mediante
redes comprometidas.
EternalBlue
fue creado para explotar el bloque de mensajes del servidor basado en Windows
(SMBv1), mientras que Minikatz es un instrumento de código abierto que permite
al atacante extraer información de credenciales Windows.
Para
iniciar el proceso del Ransomware Satán, primero se empaqueta un archivo
troyano, que va junto al MPRESS distribuyéndose por correo electrónico o de
diversas formas hasta llegar al equipo de la víctima.
Cuando
la víctima ejecuta el troyano, esté
libera los archivos EternalBlue de versión pública en la ubicación 'C: \ Users
\ All Users \' y los archivos del empaquetador MPRESS, para luego analizar los
sistemas de la misma red empleando EternalBlue y así encontrar servicios SBM
desactualizados.
La
meta de esta agresión al infectar la red completa y encriptar los archivos es
maximizar los beneficios de un ataque en la computadora de destino.
Empresas
de seguridad informaron que este Ransomware también puede eliminar mmkt.exe
(Mimikatz) que es una herramienta de código abierto, permitiendo al atacante
extraer información de credencial de
Windows Isass (Servicio de Subsistema de la Autoridad de Seguridad Local).
luego Mimikatz almacena la credencial de los equipos de la red y accede e infecta
las maquinas en la misma red utilizando las credenciales robadas.
Posteriormente
se elimina satan.exe del equipo infectado y empieza el proceso de encriptación
en el disco una vez ejecutado, al culminar el proceso de cifrado, reescribe
todos los archivos encriptados con: .dbger E.g .: gbhackers.jpg a
[dbger@protonmail.com] gbhackers.jpg.dbger.
Al
desaparecer el archivo Satan.exe de la memoria, se ejecuta el archivo madre
para enviar datos a un servidor de comando y control.
Cuando
ya el equipo está bajo control, se muestra la nota de rescate: “Algún archivo
ha sido infectado, por favor envíe 1 bitcoin a la dirección de la billetera”;
después de la víctima pagar el monto del rescate, debe enviar el código de la
máquina al atacante por email para obtener la clave de descifrado.
Las víctimas
tienen 3 días para realizar el pago de rescate, si no cumplen en ese plazo
entonces los archivos ya no se podrán descifrar.
Mitigaciones:
Þ Verificar las contramedidas y parches
instalados para mitigar el CVE-2017-0143 relacionado a la vulnerabilidad de SMBv1.
Þ Considerar
instalar un detector de anomalías, o una solución de Sandbox.
Þ No
exponer puertos Microsoft a Internet.
Þ Realizar
la actualización de firmas correspondiente a su Antivirus.
Þ Disponer
de tecnología que permita analizar archivos con malware de día cero basado en
análisis de emails.
Þ Disponer
de controles de parchado en sistemas operativos de manera continua.
Fuente: Gbhackers.com
