Un nuevo y extraño ransomware llamado AnteFrigus ahora se distribuye a través de publicidad maliciosa que redirige a los usuarios al kit de explotación RIG.
A diferencia de otros ransomware, AnteFrigus no está dirigido a la unidad C: sino a otras unidades comúnmente asociadas con dispositivos extraíbles y unidades de red mapeadas.
El kit de explotación RIG utiliza scripts maliciosos alojados en sitios propiedad de atacantes o comprometidos que explotan vulnerabilidades en Internet Explorer. Si se pueden explotar estas vulnerabilidades, se instalará una carga útil en la máquina del visitante sin su conocimiento.
En una nueva campaña de publicidad maliciosa de Hookads descubierta por el experto en kits de exploits Mol69 , el exploit RIG ahora está instalando el ransomware AnteFrigus en usuarios desprevenidos.
Comportamiento inusual del ransomware AnteFrigus
Cuando el ransomware se ejecuta en una computadora, normalmente enumerará todas las letras de unidad en una computadora y cualquier recurso compartido de red accesible. Luego intentará cifrar archivos en estas unidades y recursos compartidos si tienen una determinada extensión de archivo o si no forman parte de una lista negra.
Sin embargo, el ransomware AnteFrigus hace las cosas de manera un poco diferente.
Cuando numerosos investigadores, incluido BleepingComputer, intentaron instalar AnteFrigus, descubrimos que el ransomware no encripta nada más que unidades USB o unidades de red mapeadas.
Resulta que este ransomware solo se dirige a las unidades D:, E:, F:, G:, H:, e I:. Que no cifrar los archivos ubicados en la unidad C: o compartidas de red sin asignar.
Además, no cifrará ningún archivo que contenga las siguientes cadenas.
dll, adv, ani, big, bat, bin, cab, cmd, com, cpl, cur, deskthemepack, diagcab, diagcfg, diagpkg, drv, exe, hlp, icl, icns, ico, ics, idx, ldf, lnk, mod, mpa, msc, msp, msstyles, msu, nls, nomedia, ocx, prf, rom, rtp, scr, shs, spl, sys, theme, themepack, wpx, lock, key, hta, msi, pck
No encriptar el disco C: es extraño, ya que es común que los usuarios guarden documentos en sus discos locales, especialmente si son usuarios domésticos o tienen oficinas hogareñas.
Es posible que el ransomware solo se dirija a estas letras de unidad específicas, ya que pueden corresponder a recursos compartidos de red donde los usuarios suelen guardar sus datos en un entorno empresarial.
Sin embargo, Kremez no cree que se esté haciendo para algún tipo de metodología de focalización pensada.
Basado en el código del ransomware, Kremez le dijo a BleepingComputer que probablemente sea un error ya que el ransomware no le parece particularmente sofisticado.
"Este malware no se ve súper sofisticado y contiene una gran cantidad de símbolos de depuración, referencias de origen y ubicación de prueba / depuración", dijo Kremez a BleepingComputer.
Por esta razón, Kremez siente que AnteFrigus todavía está en modo de desarrollo o prueba.
Sin embargo, distribuir un ransomware en desarrollo sería una tontería, ya que el desarrollador del ransomware tiene que pagar por las instalaciones del kit de explotación RIG y sacrifica a las posibles víctimas para probar el ransomware.
El proceso de encriptación AnteFrigus
Independientemente de sus recompensas, el ransomware AnteFrigus cifrará todos los archivos en las unidades D :, E :, F :, G :, H :, e I: que no contienen las extensiones enumeradas en la sección anterior
El ransomware también creará el archivo C:\qweasd\test.txt , que probablemente se usa como un archivo de bloqueo o depuración.
Finalmente, el ransomware creará notas de rescate llamadas [extensión] -readme.txt en la carpeta C: \ Instraction y en el escritorio.
Esta nota de rescate contendrá un enlace al sitio de pago de Tor, actualmente ubicado en http://yboa7nidpv5jdtumgfm4fmmvju3ccxlleut2xvzgn5uqlbjd5n7p3kid.onion/, que enumerará el monto actual del rescate y una dirección de bitcoin para enviar el pago.
Fecha actualización el 2021-11-14. Fecha publicación el 2019-11-14. Categoría: ransomware Autor: Oscar olg Mapa del sitio Fuente: bleempingcomputer Version movil