16 de abril de 2018

Los expertos de la empresa Doctor Web analizaron un nuevo troyano encoder. Por causa de un error de los creadores de virus, en la mayoría de los casos no es posible recuperar los archivos dañados por este cifrador.

El nuevo troyano cifrador fue llamado Trojan.Encoder.25129. Este troyano se detecta por la Protección preventiva del Antivirus Dr.Web como DPH:Trojan.Encoder.9. Una vez iniciado, comprueba la ubicación geográfica del usuario por la dirección IP del dispositivo infectado. Según el plan de los malintencionados, el troyano no cifra los archivos si la dirección IP está en Rusia, Bielorrusia o Kazakstán, y si en la configuración del sistema operativo está establecido el idioma ruso y las opciones regionales rusas. Pero por causa de un error en el código, el encoder cifra los archivos sin importar la ubicación geográfica de la dirección IP.

Trojan.Encoder.25129 cifra el contenido de las carpetas del usuario actual, del Escritorio Windows, así como de carpetas de servicio AppData y LocalAppData. El cifrado se realiza a través de los algoritmos AES-256-CBC, a los archivos cifrados se les atribuye una extensión .tron. No se cifran los archivos superiores a 30000000 bytes (unos 28.6 MB). Una vez finalizado el cifrado, el troyano crea un archivo %ProgramData%\\trig y guarda en el mismo el valor «123» (si este archivo ya existe, no se realiza el cifrado). Luego el encoder envía una solicitud al sitio web iplogger cuya dirección está incrustada en su cuerpo. Luego el programa nocivo visualiza una ventana solicitando un rescate.

El valor del rescate solicitado por los malintencionados varía de 0,007305 a 0,04 Btc. Al hacer clic sobre el botón HOW TO BUY BITCOIN, el troyano visualiza una ventana con instrucciones para comprar la criptomoneda Bitcoin:

Aunque en sus requerimientos los malintencionados aseguran a sus víctimas que las mismas podrán recuperar los archivos cifrados, por causa de un error en el código del troyano en la mayoría de los casos no es posible hacerlo.

Los usuarios de Dr.Web están protegidos de las acciones de este cifrador porque el mismo se detecta y se elimina correctamente por la protección preventiva de nuestros productos antivirus. Pero aun así los expertos de la empresa Doctor Web recuerdan sobre la necesidad de crear copias de seguridad oportunas de toda la información importante.

Más información sobre el troyano

#Trojan.Encoder #software_nocivo #extorsión #troyano