![\"Imagen\"](\"https:\/\/pbs.twimg.com\/media\/FIBP59VXoAAKtay?format=png&name=medium\")
El ransomware se ha denominado Alerta Roja, en ingl\u00e9s ‘RedAlert’ bas\u00e1ndose en una cadena utilizada en la nota de rescate. Sin embargo, a partir de un encriptador de Linux obtenido por BleepingComputer<\/a>, los autores de la amenaza llaman a su operaci\u00f3n ‘N13V’ de manera interna.<\/p>\n\n\n\n El encriptador de Linux est\u00e1 creado para atacar servidores VMware ESXi, con opciones de l\u00ednea de comandos que permiten a los ciberatacantes apagar cualquier m\u00e1quina virtual en funcionamiento antes de cifrar los archivos.<\/p>\n\n\n\n La lista completa de opciones de l\u00ednea de comandos se puede ver a continuaci\u00f3n.<\/p>\n\n\n\n Cuando se ejecuta el ransomware con el argumento \u00ab-w\u00bb, el encriptador de Linux cerrar\u00e1 todas las m\u00e1quinas virtuales VMware ESXi en ejecuci\u00f3n utilizando el siguiente comando esxcli:<\/p>\n\n\n\n Una caracter\u00edstica interesante de RedAlert\/N13V es la opci\u00f3n de l\u00ednea de comandos \u00ab-x\u00bb que realiza \u00abpruebas de rendimiento de criptograf\u00eda asim\u00e9trica\u00bb utilizando estos diferentes conjuntos de par\u00e1metros NTRUEncrypt. Sin embargo, no est\u00e1 claro si hay una forma de forzar un conjunto de par\u00e1metros concreto al cifrar y\/o si el ransomware seleccionar\u00e1 uno m\u00e1s eficiente.<\/p>\n\n\n\n El \u00fanico otro ransomware conocido hasta ahora que utiliza este algoritmo de cifrado es FiveHands.<\/p>\n\n\n\n En cada carpeta, el ransomware tambi\u00e9n crear\u00e1 una nota de rescate personalizada llamada HOW_TO_RESTORE, que contiene una descripci\u00f3n de los datos robados y un enlace a un sitio \u00fanico de pago de rescate TOR para la v\u00edctima.<\/p>\n\n\n\n Sin embargo, RedAlert\/N13V s\u00f3lo acepta la criptomoneda Monero para el pago, que no se vende com\u00fanmente en los intercambios de criptomonedas de Estados Unidos porque es una moneda de privacidad.<\/p>\n\n\n\n Esta t\u00e1ctica proporciona dos m\u00e9todos de extorsi\u00f3n, lo que permite a los actores de la amenaza no s\u00f3lo exigir un rescate para recibir un descifrador, sino tambi\u00e9n exigirlo para evitar la filtraci\u00f3n de los datos robados.<\/p>\n\n\n\n Las cuant\u00edas de los rescates son de m\u00e1s de 1.300 millones de XMR (Criptomonedas Monero), lo que equivale a unos 200.000 d\u00f3lares norteamericanos.<\/p>\n\n\n\n Cuando una v\u00edctima no paga el rescate, en un plazo de 72 horas la banda RedAlert publica los datos robados en su sitio de filtraci\u00f3n de datos que cualquiera puede descargar, y adem\u00e1s, empiezas a hacer ataques DDoS contra los sitios web de la empresa v\u00edctima.<\/p>\n\n\n\n Aunque no ha habido mucha actividad con la nueva operaci\u00f3n de ransomware N13V\/RedAlert, es algo que definitivamente hay que vigilar debido a su avanzada funcionalidad y su soporte inmediato tanto para Linux como para Windows.<\/p>\n\n\n\n![\"Compatibilidad](\"https:\/\/www.pchardwarepro.com\/wp-content\/uploads\/2019\/03\/c065874abff383777640bac793227167-17.jpg\")
<\/figure>\n\n\n\nesxcli --formatter=csv --format-param=fields==\"WorldID,DisplayName\" vm process list | tail -n +2 | awk -F $',' '{system(\"esxcli vm process kill --type=force --world-id=\" $1)}'<\/code><\/p>\n\n\n\n
Al cifrar los archivos, el ransomware utiliza el algoritmo de cifrado de clave p\u00fablica NTRUEncrypt, que admite varios \u00abconjuntos de par\u00e1metros\u00bb ofreciendo diferentes niveles de seguridad.<\/p>\n\n\n\n![\"NTRUEncrypt](\"https:\/\/www.bleepstatic.com\/images\/news\/ransomware\/r\/redalert-n13v\/encryption-algo-test.jpg\")
Al cifrar los archivos, el ransomware s\u00f3lo se dirige a los archivos asociados a las m\u00e1quinas virtuales VMware ESXi, incluidos los archivos de registro, los archivos de intercambio, los discos virtuales y los archivos de memoria, como se indica a continuaci\u00f3n.<\/p>\n\n\n\n.log
.vmdk
.vmem
.vswp
.vmsn<\/code><\/p>\n\n\n\n
En la muestra analizada por BleepingComputer, el ransomware encriptaba estos tipos de archivos y a\u00f1ad\u00eda la extensi\u00f3n .crypt[number] a los nombres de los archivos encriptados.<\/p>\n\n\n\n![\"Encrypting](\"https:\/\/www.bleepstatic.com\/images\/news\/ransomware\/r\/redalert-n13v\/encrypted-files.jpg\")
![\"Red](\"https:\/\/www.bleepstatic.com\/images\/news\/ransomware\/r\/redalert-n13v\/n13v-ransom-note.jpg\")
El sitio de pago Tor es similar a otros sitios de operaci\u00f3n de ransomware, ya que muestra la demanda de rescate y proporciona una forma de negociar con los actores de la amenaza.<\/p>\n\n\n\n![\"RedAlert](\"https:\/\/www.bleepstatic.com\/images\/news\/ransomware\/r\/redalert-n13v\/tor-payment-site.jpg\")
Aunque s\u00f3lo se ha encontrado un descifrador de Linux, el sitio de pago tiene elementos ocultos que muestran que tambi\u00e9n existen descifradores de Windows.
Como casi todas las nuevas operaciones de ransomware dirigidas a empresas, RedAlert lleva a cabo ataques de doble extorsi\u00f3n, es decir, cuando se roban los datos y luego se despliega el ransomware para cifrar los dispositivos.<\/p>\n\n\n\n![\"RedAlert\/N13V](\"https:\/\/www.bleepstatic.com\/images\/news\/ransomware\/r\/redalert-n13v\/data-leak-site.jpg\")
Actualmente, el sitio de fuga de datos de RedAlert s\u00f3lo contiene los datos de una organizaci\u00f3n, lo que indica que la operaci\u00f3n es muy nueva.<\/p>\n\n\n\n
![\"Archivos](\"https:\/\/www.pcrisk.es\/images\/stories\/screenshots202208\/redalert-n13v-ransomware-encrypted-files.jpg\")