Solucion al ransomware Planetary

Desde el año pasado se vive un aumento notable de ataques de ransomware en prácticamente todo el mundo, produciéndose ya no por delincuentes en solitario, sino por el trabajo de bandas organizadas de ciberdelincuentes. Y como el ransomware con sus pagos en bitcoin para dificultar la trazabilidad del pago, no hay nada mejor para sus fines.

Pero estamos de enhorabuena para el caso del ransomware Planetary, ya que se ha publicado un decryptor para los archivos infectados. Reconoceremos este ransomware porque las extensiones modificadas de los archivos tienen nombres de planetas: neptune, pluto, mira (este es de un videojuego), o bien .planetary, que fue el nombre original de la extensión. En cada nueva iteración van modificando el nombre de la extensión.

Como pasa con todos los ransomware, si tu equipo ha sido infectado, en la carpeta de los archivos infectados encontraras un fichero readme, donde se indica como contactar con los delincuentes para efectuar el pago.

Lo primero que debemos hacer es descargar el desencriptador desde ESTE ENLACE. Cuando lo ejecutemos ,veremos que nos pide lo habitual en este tipo de programas: un archivo infectado, el mismo archivo sin infectar (algo que te copiases en un pendrive vale, por ejemplo, mientras fuera el mismo archivo), y el archivo readme, que contiene un código que los delincuentes utilizan para generar el código de desencriptado, igual que este programa.

Con estos datos, le llevará un poco de tiempo dar con el código de desencriptado. Una vez lo descubre, la pantalla del programa cambia a una de ruta de archivos infectados, para que indiques dónde debe actuar.

IMPORTANTE: este programa desencripta tus archivos, pero no elimina el ransomware. ¡Tenlo en cuenta! Lo segundo a tener en cuenta es que a veces se generan varios archivos readme, con lo que es posible que debas generar varias claves de desencriptado para distintas carpetas o unidades de disco.

Vacunate contra el nuevo ransomware NotPetya

Esta semana ha comenzado con la segunda oleada de ataques de tipo ransomware, continuando la iniciada con Wannacry, y tal y como se predijo semanas atrás. Por supuesto todas las webs y periódicos se han repetido con las mismas noticias. Pero lo que no dicen es que protegerse del nuevo virus es increíblemente fácil.

 Buscando soluciones tipo killswitch similares al Wannacry, no se encontró nada, de forma que se llegó a la conclusión de que el nuevo virus debería utilizar un archivo local a modo de freno para la rutina de cifrado. Y según confirmaciones de varios investigadores de seguridad, como TrustedSec, se ha localizado ese archivo. Lo que significa que si puedes crear previamente ese archivo, y configurarlo para solo lectura, no permitiendo su edición, bloquearíamos la ejecución del ransomware NotPetya. Vamos, que en vez de funcionar como el Killswitch de wannacry, esto funciona como una vacuna.

Vamos con los pasos para la "vacuna", que son muy simples. Básicamente, tenemos que generar un archivo en c.\Windows llamado "perfc", sin extensión. También sería buena idea generar el archivo perfc.dat y perfc.dll. Esto se puede hacer de varias formas.

1. Utilizando ESTE script que lo haga por ti: este script, muy simple pero claro, desarrollado por Lawrence Abrams, genera los archivos antes mencionados de forma automática. Importante, ejecutarlo con permisos de administrador 8boton derecho sobre el archivo, y "ejecutar como administrador".
2. Crear el archivo a mano: vamos a c:\Windows, duplicamos cualquier archivo, y lo renombramos como perfc

Duplicamos este archivo porque pesa poquito.

Renombramos a "perfc", sin extensión, y marcamos "solo lectura" en las propiedades del documento

Ni que decir tiene que para esto, previamente tienes que verificar que ves los tipos de extensión de archivos, porque si no, no haces nada.

Repetimos estos pasos para generar los archivos perfc.dat y perfc.dll. O directamente copias el archivo perfc, lo duplicas, y le añades a las copias las extensiones.

Como puedes ver, la tarea es realmente fácil.

También puedes recurrir a soluciones de terceros para evitar sustos en el futuro. Por ejemplo, una de las soluciones que a mi me gustan bastante es Malwarebytes, que ha realizado este anuncio:

Malwarebytes is protecting your organization against this specific ransomware variant. Our anti-ransomware technology uses a dedicated real-time detection and blocking engine that continuously monitors for ransomware behaviors, like those seen in Petya/NotPetya.

Lo de siempre: protégete, que si no, vienen los sustos.

Verifica que estás protegido de la vulnerabilidad "eternal blue"

Como a estas alturas ya sabreis, el virus Wannacry es una ransomware como cualquier otro, lo que le ha dado tanto bombo es la utilización de una vulnerabilidad de Windows que fue resuelta hace meses. Pero usualmente la gente bloquea la actualizacion del sistema para evitar esos lentos procesos de apagado mientras instala los parches de seguridad, dejando los equipos desprotegidos.

Si no sabes si estás protegido contra la vulnerabilidad, o no has leído el anterior post donde se explica como acceder a los correspondientes parches de seguridad, todavía puedes ejecutar un pequeño script de Visual Basic que puedes encontrar en Github.

AQUI podeis acceder al enlace de Github donde se muestra el código, para que tú mismo lo revises.

AQUI teneis el script preparado para que lo descargues y ejecutes, si no eres muy mañoso con temas de informática.

Cómo protegerse del ransomware Wannacry

Parece que ha cundido el miedo con el virus tipo ransomware Wannacry. Lo curioso del caso es que este ataque se produce por no tener las máquinas actualizadas, puesto que el virus utiliza un agujero de seguridad que fue cubierto por Microsoft en Marzo de 2017. Vamos a ver dos métodos para protegerse de este ransomware.

Método 1: Actualiza tu equipo.

¿Obvio, verdad? El problema de las actualizaciones no es para el usuario particular, sino en grandes entornos, donde el despliegue de una actualización lleva su tiempo. Especialmente si te pilla el toro y se debe actualizar todo el entorno informático en el menor tiempo posible. En este caso, lo mejor es actualizar sólo con el parche de seguridad requerido, y luego, ya con tiempo, ir aplicando los demás.

Para equipos Windows, desde Windows 7 a Windows Server 2016, el parche de seguridad se incluye en la actualizacion de seguridad del boletín MS17-011. En este boletín se indica que la actualización puedes obtenerla de dos formas: o bien con lo que Microsoft llama la "actualizacion de calidad" o "quality update", que incluye un conjunto de actualizaciones incluyendo la que necesitamos, o bien la "actualización de seguridad" o "security update".

Esta actualización la puedes obtener de dos maneras:

1. Desde el menu de Windows update de tu equipo.
2. Desde el Microsoft Update Catalog.

Debes buscar con las siguientes referencias, para los distintos sistemas:

Solo he puesto las security updates y las versiones de 64 bits. Aun asi, puedes encontrar el listado completo los los KB´s AQUI.
Otra cosa, si te fijas, verás que algunos KB´s se repiten para distintos sistemas.Esto es porque vienen a ser kernel similares y los agrupan bajo el mismo KB, pero al hacer la busqueda en Windows catalog, aparece asi:

Pincha en la imagen para ampliar

Como ves, te muestra las distintas versiones a descargar bajo el mismo KB. Tiene que tener cuidado y elegir la que corresponda.

Método 2: Utiliza software antimalware

Tras buscar varias alternativas en el mercado, las más recomendables son:

• Malwarebytes antimalware: ya hablé de esta solución AQUI. Una solucion muy completa, que tras su última actualización protege de ataques dia cero y ransomware. Le da un repaso a los AV convencionales. Personalmente, me quedo con esta herramienta y el AV de Microsoft.

• Cybereason: Lo puedes encontrar en https://www.cybereason.com/. La ventaja, que es gratis. La desventaja, que solo protege frente a ransomware.

Hay otras alternativas, claro, pero he trabajado con estas dos, y ambas me parecen bastante buenas. Quizá la ultima peca de simple, pero a la vez es su ventaja.

¿Dudas? ¿Preguntas? Postea, y si puedo, respondo  :)

UPDATE: ESTE es el enlace para las descargas del parche para Windows XP SP3, 32 bits (KB4012598)

Malwarebytes actualiza versión y se convierte en una solución completa

Que levante la mano quien no conozca la aplicación Malwarebytes. Una app con opción gratuita y referente en la limpieza de malware en los pc´s desde hace años. Quizá su característica más notable, en el pasado, era el bloqueo en el navegador de links y webs sospechosas o directamente maliciosas, susceptibles de dejarte el equipo con regalitos en forma de troyanos y otros virus.

Ahora Malwarebytes acaba de actualizarse publicando su versión 3.0 con unas novedades muy descatables. Para empezar, te puedes olvidar de otros antivirus, ya que su versión doméstica, Malwarebytes Premium, ofrece protección en tiempo real frente a todo tipo de amenazas. Incluso frente a los ataques "dia cero". A esto se suma la proteccion anti exploits, la clásica proteccion frente a sitios web maliciosos, malware, spyware, y rootkits, aunque de estos cada vez se vean menos.

Me dejo lo mejor para el final: también protege de ataques de ransomware, muy populares últimamente, y causantes de los mayores daños en empresas. ¿Te suena el virus de la policia? ¿Los famosos Crytolockers? ¿Esos programas que solicitan un pago a cambio de desencriptar los archivos de tu equipo? Hasta ahora, la única empresa que dice detener este tipo de ataques es Malwarebytes.

La parte mala es que al igual que las anteriores versiones, la monitorización constante y las funciones más avanzadas sólo están disponibles en la version premium, la de pago. La version gratuita sigue funcionando bajo requerimiento, esto es, que tú le digas al programa que de un escaneo al equipo. No tiene proteccion en tiempo real.

Luego tenemos la version empresarial, denominada "Endpoint Security". Su característica principal, igual que en otras soluciones empresariales es su consola de monitorización.

Permite entre otras cosas el rastreo de equipos dentro de tu red local para lanzar el cliente endpoint a los equipos deseados, tal y como hacen otras soluciones del mercado. Por supuesto, tambien permite conectar con equipos fuera de la red de trabajo para instalarles el cliente, permitiendo la monitorizacion de equipos en oficinas no conectadas directamente en la misma red.

Un producto muy recomendable. sobre todo si no tienes actualmente ninguna solución similar funcionando en tu equipo.

Una última cosa: este software, a pesar de sus funciones, no se "pega" con otras soluciones antivirus que tengas instaladas en tu equipo", lo que asi de primeras hace imprescincible que al menos le eches un ojo aprovechando esos 14 dias de prueba gratuita que ofrece.

Herramientas para desencriptar ransomware

El ransomware se ha puesto ultimamente de moda como medio de extorsión por internet, superando a otro tipo de medios como la obtención de los datos bancarios a través del falso mail, o de otros timos como el del nigeriano o la novia rusa. Por este motivo, la empresa de seguridad Kaspersky pone a nuestra disposición 3 herramientas para recuperar nuestros archivos en caso de haber sido infectados por alguno de estos virus. Empezamos con el repaso:

1º Destroy Coinvault.

Esta herramienta está diseñada específicamente para desencriptar archivos afectados por los virus CoinVault y Bitcryptor. Si has sido infectado ocn este virus, verás una imagen como esta en tu equipo:

Los primero que se recomienda es ir a la web de Kasspersky y descargar una version free para una limpieza del malware. Puedes ocnseguir la herramienta AQUI. Seguidamente, descarga Destroy Coinvault. Ejecutalo. Te pedirá que localices el fichero "filelist.cvlst". Si no lo encuentras, pon todos los archivos encriptados en una misma carpeta. Para ello ,tendras que pulsar sobre el boton "change parameters" de la app, y darle la ruta de la carpeta.

Si tienes el fichero, la cosa es más facil. SImplemente va desencriptando. Lo unico, que va duplicando los archivos, de forma que si tienes un archivos que se llame por ejemplo "archivo.doc", al verse desencriptado pasa a ser archivo.descryptedKLR.doc. Tienes una opcion apra que reemplace los encriptados por los archivos con su nombre original, pero de esta manera, tienes una copia de seguridad, por si acaso. Y AQUI, las instrucciones de uso en inglés

2º Rannoh Decryptor.

Esta herramienta  limpia una buena cantidad de ransomware como Rannoh, Autolt, Fury, Crybola, Cryakl, CrypXXX versiones 1 y 2. Versiones más avanzadas las detecta, pero no las desencripta.
Su funcionamiento es fácil, pero varía con el anterior programa. Aqui descargamos el programa, y lo ejecutamos sobre el equipo infectado. Pulsamos sobre el botón Start, y seguidamente tenemos que indicarle la ruta de un archivo encriptado y de otro no encriptado (preferiblemente, el mismo archivo).

Llevará un largo tiempo, pero la aplicación comenzará a localizar y desencriptar los archivos. Tienes una opcion tambien para eliminar los archivos encriptados una vez finaliza el desencriptado. Tienes las instrucciones en ingles AQUI.

3º RakhniDecryptor.

RakhniDecryptor está pensado para desencriptar archivos afectados por Rakhni, Agent.iih, Aura, Autoit, Pletor, Rotor, Lamer, Lortok, Cryptokluchen, Democry y Bitman (Teslacrypt) versiones 3 y 4.

Este tipo de ransomware crea un archivo, exit.hhr.oshit que contiene el password de encriptación de los archivos. Si lo encontramos, tendremos el desencriptado rapidamente. Si no, lo suyo seria utilizar herramientas de recuperacion de archivos borrados. En cualquier caso, una vez recuperado, debemos poner el archivo en %appdata% y lanzar la aplicación. El archivo exit.hhr.oshit suele encontrarse en estas rutas:

Windows XP: C:\Documents and Settings\\Application Data
Windows 7/8: C:\Users\\AppData\Roaming

 El funcionamiento, el de siempre:

Lanzas la app, despues de todos los pasos previos antes indicados y de haber limpiado el equipo del malware, pulsamos change parameters para indicarle los discos a limpiar y si queremos que elimine los archivos encriptados despues de desencriptar. Instrucciones de uso en inglés, AQUI.

En todos los casos, el desencriptado puede llevar muchas horas. ¡Paciencia, y suerte!

Nuevo malware a través de Whatsapp

Estos días se están dando casos de mensajes enviados por contactos a través de Whatsapp del estilo "que chulos los nuevos emoticones del Whatsapp :P", a continuación un enlace de descarga. Esta vez, la que ha dado la señal de aviso ha sido la policía foral de Navarra.

Este malware básicamente funciona de la siguiente manera: En el momento en el que pinchas sobre el enlace para obtener esos iconos nuevos, lo que consigues es descargar un malware que accede a los contactos, haciendo una copia de los mismos, y utilizándolos para el reenvío de más spam.

Si recibes este mensaje, lo mejor que puedes hacer es eliminar el registro de conversación.

La App Store de Apple, plagada de aplicaciones con malware

Apple ha reconocido que su tienda de aplicaciones está pasando serios apuros con una ingente cantidad de aplicaciones que se han visto afectadas por malware. Y el listado de aplicaciones es tán extenso como peligroso, ya que incluye aplicaciones conocidas como Angry Birds 2, WeChat o CamCard.

La infección la produce el malware XCodeGhost, y no se debe a una vulnerabilidad del servicio de Apple, sino a un grave error por parte de los desarrolladores de las aplicaciones.

Estos, en vez de descargar el entorno de desarrollo (IDE) de Apple, XCode, de los servidores de Apple, lo descargaron de servidores alternativos, que agregaban el virus a la aplicación. Apple tampoco ha estado rápida con la detección, llegando ahora mismo a las 344 aplicaciones infectadas, según el último recuento.

Evita las apps infectadas en Android

Lo primero de todo, decir que Android es tan seguro como lo puede ser iOS, siempre que utilicemos las tiendas oficiales, como la Play Store o la Amazon Store. Fuera de estas tiendas, te pasará lo mismo que a los usuarios que utilizan Cydia en iOS, atente a las consecuencias, porque no sabes lo que te estás instalando Lo mismo es seguro, o lo mismo no.

En estos momentos, hay un troyano para Android que está infectando la impresionante cifra 600.000 dispositivos por dia, según cmcm.com. La parte buena es que solo afecta fundamentalmente a unas 39 aplicaciones, y todas ellas están fuera de las tiendas oficiales. Lo que no quita que alguna esté en la Play Store, pero si la instalas desde ahí, no estará infectada.

Las aplicaciones infectadas son las siguientes:

Fallo de seguridad en VLC Player

La OSI (Oficina de seguridad del internauta) ha detectado un importante fallo de seguridad en el reproductor VLC Media Player que podria permitir a un atacante hacerse con el control del equipo.

Esta vulnerabilidad afecta a prácticamente todas las versiones, y se espera que puedan solventarla en la proxima version, la 2.2.2.

La vulnerabilidad en cuestión permite infectar el equipo mediante un fichero en formato 3GP manipulado por un hacker. Este formato es muy común sobre todo en dispostivos móviles. Cuando se ejecuta con VLC el fichero manipulado, es cuando se produce la infección.

El formato 3GP suele ser de escasa calidad, y esos videos corren usualmente por redes sociales, webs de descargas directas, archivos adjuntos al correo, y paginas de, digamos, contenido no apto para menores.

Así que mucho cuidadito al usar este reproductor de video, al menos hasta que los desarrolladores no solventen el problema, y esperemos que lo hagan en la próxima versión.