{"id":4883,"date":"2015-05-13T00:04:52","date_gmt":"2015-05-12T23:04:52","guid":{"rendered":"http:\/\/ciberseguridad.pre.metafrase.es\/?p=385"},"modified":"2015-05-13T00:04:52","modified_gmt":"2015-05-12T23:04:52","slug":"rescate-de-archivos-secuestrados-por-alphacrypt","status":"publish","type":"post","link":"https:\/\/www.metafrase.com\/blog\/rescate-de-archivos-secuestrados-por-alphacrypt\/","title":{"rendered":"Rescate de archivos secuestrados por AlphaCrypt"},"content":{"rendered":"

AlphaCrypt, otra variedad m\u00e1s de Ransomware<\/a> -o malware que secuestra los datos de nuestros ordenador- ataca en Valladolid y nuestro socio, Nethive acude al rescate.<\/h2>\n

Tal como anunci\u00e1bamos por segunda vez en pocos meses, hace escasos d\u00edas en nuestro blog, desafortunadamente, las amenazas ransomware<\/a> est\u00e1n de moda. CryptoLocker est\u00e1 distribuy\u00e9ndose utilizando un supuesto email de Correos<\/a> a toda velocidad y diversas variantes de dicho malware se propagan por la red d\u00eda tras d\u00eda.<\/p>\n

Nuestros socios de NETHIVE Soluciones Inform\u00e1ticas<\/a>, empresa dedicada al mantenimiento inform\u00e1tico en Valladolid,<\/a> han conseguido recientemente mitigar los da\u00f1os causados por una variante de un ransomware<\/a> <\/strong>que hab\u00eda da\u00f1ado la informaci\u00f3n de los equipos de una empresa local.<\/p>\n

Para ello el equipo de Nethive, utilizando algunas de nuestras herramientas, como Sophos Boot CD<\/strong> y la soluci\u00f3n de seguridad Sophos Endpoint Antivirus<\/a><\/strong>. ha realizado un excelente trabajo que quieren compartir con nosotros, logrando no s\u00f3lo desinfectar los equipos sino tambi\u00e9n recuperar los datos cifrados por el malware.<\/p>\n

La amenaza en cuesti\u00f3n es una variante de TeslaCrypt<\/a>, llamada AlphaCrypt<\/strong><\/em><\/a> y se trata de un ransomware con las mismas caracter\u00edsticas que el anteriormente mencionado CryptoLocker<\/a>, pero que no comparte c\u00f3digo con este y se desarrolla independientemente. AlphaCrypt, infecta los equipos y se propaga por la red a la vez que cifra los ficheros con extensiones comunes del disco duro y cambia la extensi\u00f3n de dichos ficheros afectados a \u00ab.ezz\u00bb.<\/strong><\/p>\n

Tirando del hilo de lo que se iba descubriendo en los equipos del cliente, los consultores de Nethive hallaron una herramienta de desencriptaci\u00f3n<\/a> para revertir los efectos de dicho malware creada por TALOS<\/a>, que es el equipo de ciberseguridad de Cisco, y cuya eficacia hemos podido comprobar.<\/p>\n

<\/h4>\n

<\/p>\n

\u00bfCu\u00e1l es el primer paso?<\/h4>\n

Como normal general, en caso de haber sido infectados con este o con cualquier otro malware, debemos en primer lugar desconectar los equipos afectados de la red para evitar su propagaci\u00f3n<\/strong>.<\/p>\n

Desinfectando<\/h4>\n

Una vez los equipos afectados est\u00e9n aislados de la red, poderemos limpiar la amenaza utilizando Sophos Boot CD siguiendo nuestras instrucciones<\/a> con la opci\u00f3n de eliminaci\u00f3n. Sin embargo, aunque el equipo haya quedado desinfectado, a\u00fan tendremos los datos cifrados.<\/p>\n

\n

Hagamos una copia de seguridad<\/h4>\n

Antes de intentar revertir el cifrado de los ficheros, recomendamos copiar la informaci\u00f3n en un disco duro externo y conectarlo a otro equipo o m\u00e1quina virtual<\/strong>. De esta forma nos protegeremos frente a la p\u00e9rdida definitiva de la informaci\u00f3n en el caso de que la herramienta de desencriptaci\u00f3n corrompiese los ficheros, cometi\u00e9semos alg\u00fan error, o bien el malware realizara contramedidas con peores consecuencias a\u00fan en caso de detectar intentos de rescate de los datos.<\/p>\n

Lo ideal es, si los datos son muy cr\u00edticos, realizar una imagen del equipo del ordenador. Para ello podemos usar herramientas tipo Norton Ghost, o Clonezilla <\/a>por citar una soluci\u00f3n Open Source.<\/p>\n

En este caso el equipo de Nethive<\/a> decidi\u00f3 copiar tambi\u00e9n el fichero de clave de cifrado, generado por el malware<\/strong> que est\u00e1 ubicado en:<\/p>\n

 \"%AppData%\/key.dat<\/em>\"<\/pre>\n
Dicho archivo se va a utilizar a continuaci\u00f3n para revertir el cifrado y recuperar los archivos originales. Una vez tengamos los ficheros encriptados y el fichero de llaves en otro equipo diferente, procederemos a revertir el cifrado.<\/p>\n
Descifrando los datos secuestrados<\/h4>\n
Descargaremos la utilidad TeslaDecrpyt<\/a> y la ejecutaremos desde una l\u00ednea de comandos con privilegios elevados:<\/p>\n
TeslaDecrypt.exe \/keyfile:\"key.dat\" \/dir:\"<<directorio con ficheros encriptados>>\"<\/pre>\n
Este programa desencriptar\u00e1 recursivamente los ficheros contenidos en el directorio que le hemos pasado y eliminar\u00e1 la extensi\u00f3n que el malware les a\u00f1adi\u00f3. Un detalle importante: TeslaDecrypt buscar\u00e1 unicamente los ficheros con extensi\u00f3n \u00ab.ecc\u00bb<\/strong> provenientes del malware TeslaCrypt.<\/p>\n
Renombrando la extensi\u00f3n de archivos cifrados<\/h4>\n
En caso de habernos infectado con la variante AlphaCrypt, como en nuestro caso, deberemos primero cambiar la extensi\u00f3n de todos los ficheros encriptados a con extensi\u00f3n \u00ab.ezz\u00bb a \u00ab.ecc\u00bb<\/strong> y, posteriormente, ejecutar el proceso anteriormente descrito. Para realizar este proceso, podemos utilizar la utilidad \u00abBulk Rename Utility<\/a>\u00ab, disponible para descarga gratuita desde su sitio web.<\/p>\n
Cuando la ejecuci\u00f3n de la utilidad TeslaDecrypt<\/em> <\/strong>termine, podemos comprobar si los ficheros han sido desencriptados correctamente.<\/p>\n
Que esto no se repita<\/h4>\n
Por \u00faltimo, para prevenirse de amenazas de esta tipolog\u00eda, como siempre, recalcamos la importancia de mantener el sistema operativo y las aplicaciones instaladas siempre actualizadas<\/strong> y contar con una soluci\u00f3n de seguridad integral como Sophos Endpoint Antivirus<\/a><\/strong>.<\/p>\n","protected":false},"excerpt":{"rendered":"
AlphaCrypt, otra variedad m\u00e1s de Ransomware -o malware que secuestra los datos de nuestros ordenador- ataca en Valladolid y nuestro socio, Nethive acude al rescate. Tal como anunci\u00e1bamos por segunda vez en pocos meses, hace escasos d\u00edas en nuestro blog, desafortunadamente, las amenazas ransomware est\u00e1n de moda. CryptoLocker est\u00e1 distribuy\u00e9ndose utilizando un supuesto email de […]<\/p>\n","protected":false},"author":12,"featured_media":392,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"inline_featured_image":false,"footnotes":""},"categories":[2],"tags":[13,14,16],"class_list":["post-4883","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-blog","tag-antivirus","tag-cryptolocker","tag-ransomware"],"_links":{"self":[{"href":"https:\/\/www.metafrase.com\/blog\/wp-json\/wp\/v2\/posts\/4883","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.metafrase.com\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.metafrase.com\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.metafrase.com\/blog\/wp-json\/wp\/v2\/users\/12"}],"replies":[{"embeddable":true,"href":"https:\/\/www.metafrase.com\/blog\/wp-json\/wp\/v2\/comments?post=4883"}],"version-history":[{"count":0,"href":"https:\/\/www.metafrase.com\/blog\/wp-json\/wp\/v2\/posts\/4883\/revisions"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.metafrase.com\/blog\/wp-json\/"}],"wp:attachment":[{"href":"https:\/\/www.metafrase.com\/blog\/wp-json\/wp\/v2\/media?parent=4883"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.metafrase.com\/blog\/wp-json\/wp\/v2\/categories?post=4883"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.metafrase.com\/blog\/wp-json\/wp\/v2\/tags?post=4883"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}