NUEVA VARIANTE DE RANSOM SHRUG QUE AÑADE .SHRUG2 A LOS CIFRADOS

---

Descubierta ayer la primera versión de este ransomware, hoy ya tenemos una variante que añade un 2 al consabido añadido del .SHRUG , quedando los ficheros cifrados con un añadido de .SHRUG2, y ofreciendo el siguiente informe en el preanalisis de virustotal:



https://www.virustotal.com/es/file/953cc2f61b2c680bced22ba8daefb04ab7500240e30c06a7b59df8a0e3b96f64/analysis/1531901805/



Con el actual ELISTARA ya controlamos esta variante, que ofrece esta información en la pantalla de los ordenadores infectados:

IMAGEN SHRUG2.JPG



Como suele suceder, el mensaje no proporciona ninguna información detallada; simplemente dice que los datos están encriptados y que la víctima debe pagar Bitcoins por valor de $ 50 para poder restaurarlo. Por esta razón, actualmente no se sabe si SHRUG usa criptografía simétrica o asimétrica. En cualquier caso, sin embargo, el descifrado requiere una clave única. Ahora esta es la parte difícil. Los desarrolladores ocultan intencionadamente todas las claves en un servidor remoto. Por lo tanto, para recibir la llave particular requieren que se pague un rescate. También se observa que el pago se debe enviar dentro de los 3 días posteriores al cifrado, de lo contrario, la clave se eliminará permanentemente, lo que imposibilitará el descifrado. Sin embargo, a pesar de que el monto del rescate es bastante pequeño (los delincuentes cibernéticos típicamente piden $ 500-1500), NO DEBE PAGARSE !!!. Los resultados de la investigación muestran que los desarrolladores de ransomware a menudo ignoran a las víctimas después de enviar los pagos. Esto significa que en la mayoría de los casos el pago no da resultados positivos y los usuarios son engañados. Por lo tanto, recomendamos encarecidamente ignorar todos los estímulos para pagar rescates.



Desafortunadamente, actualmente no hay herramientas capaces de descifrar SHRUG2 y restaurar datos de forma gratuita, ya que está diseñado para eliminar las instantáneas de Shadow Volume realizadas por Windows, eliminar los puntos de restauración del sistema y codificar los archivos de destino.





Recordar lo indicado para el RANSOM SHRUG : Arrancar en Modo seguro y lanzar el ELISTARA, tras lo cual reiniciar y proceder a restaurar con la copia de seguridad los ficheros cifrados.





saludos



ms, 18-7-2018