El ransomware es un tipo de troyano que, de vez en cuando, asoma al mundo del malware. Esta semana hemos visto un espécimen que nos ha llamado la atención porque utiliza criptografía asimétrica para cifrar los archivos del usuario y pedir así un rescate por ellos. La mala noticia es que, al contrario que otros ransomware, este está relativamente bien hecho y los archivos pueden quedar inservibles. La buena noticia es que el atacante ha cometido un par de fallos y el impacto se puede mitigar.

Su funcionalidad básica es cifrar documentos y archivos del usuario y pedir un rescate por ellos (en este caso 120 dólares). Normalmente los atacantes utilizan una cuenta de PayPal o cualquier servicio de giro postal que facilite el anonimato. La mayoría ni se molestan, una vez recibido el dinero, en descifrar los archivos. Juegan con la desesperación de las víctimas, que pueden ver como todas las fotografías, documentos, presentaciones y vídeos de su disco duro quedan inservibles.

Uno de los más famosos fue PGPcoder, que saltó a la luz en 2004. Este troyano cifraba los archivos de los sistemas y solicitaba dinero a los usuarios afectados si querían volver a restaurarlos. La realidad es que, debido a un mal diseño de su creador, el troyano utilizaba un algoritmo de cifrado muy simple basado en valores fijos, que permitía invertirlo y recuperar automáticamente los archivos. Cada cierto tiempo el creador ha publicado una nueva versión y si bien comenzó a utilizar criptografía fuerte, no era asimétrica. Kaspersky consiguió crackear la contraseña usada y ofrecía soluciones a las víctimas para descifrar los archivos sin necesidad de pagar el rescate.

Pero parece que los atacantes han aprendido la lección. Este troyano utiliza una combinación de RSA (para generar un par de claves pública y privada) y AES para cifrar. A su vez, utiliza la clave pública del atacante para cifrar la privada con la que han sido cifrados los ficheros de la víctima. Además también evitan borrar los ficheros originales. Ahora los sobrescribe. En versiones anteriores, era posible recuperar los datos cifrados con cualquier programa para recuperar ficheros eliminados del sistema.

Pero aun así, el atacante comete algún que otro error. Lo analizamos en profundidad en la siguiente entrega.

Invitamos al lector a visualizar el vídeo alojado en YouTube (2:27 minutos)

Más información:

una-al-dia (01/06/2005) El talón de Aquiles de PGPcoder, el troyano chantajista
http://www.hispasec.com/unaaldia/2412

una-al-dia (08/06/2005) Descifrado del troyano PGPcoder
http://www.hispasec.com/unaaldia/2419