CryptoLocker

CryptoLocker és un ransomware tipo Cuc dirigit a computadores en el sistema operatiu Windows que es va estendre a finals de 2013. CryptoLocker es distribuïx de vàries formes, una d'elles com a archiu adjunt d'un correu electrònic i una atra, accedint a través del port remot 3389. Una volta activat, el malware sifra certs tipos d'archius almagasenats en discs locals i en unitats de ret usant criptografia de clau pública RSA, guardant-se la clau privada en els servidors del malware. Realisat el sifrat, mostra un mensage en pantalla, en el qual oferix dessifrar els archius afectats, si es realisa un pagament abans d'una data llímit (a través de bitcoins o en vals prepagament), i menciona que la clau privada serà destruïda del servidor i que serà impossible recuperar-la si la data llímit expira. Si açò ocorre, el malware oferix la possibilitat de dessifrar les senyes a través d'un servici en llínea proveït pels operadors del malware, en un preu, en bitcoins, molt més alt. A pesar de que el malware és fàcilment eliminat, els archius permaneixen sifrats, la clau privada dels quals es considera casi impossible de dessifrar.

El creador de CryptoLocker va ser un rus de 31 anys, Evgeniy Bogachev, pel qual el FBI oferia una recompensa de tres millons de dólars per qualsevol pista sobre el seu parador.

Modo d'operació

El virus CryptoLocker es propaga principalment com un archiu adjunt des d'un correu electrònic aparentment inofensiu, simulant ser un correu d'una companyia llegítima; o be es descarrega en una computadora infectada en un virus troyano anterior, conectada a un botnet. Un archiu ZIP adjuntat al correu conté un archiu eixecutable, en un ícono i tipo d'archiu que ho fan trading economics un archiu PDF, aprofitant l'us per defecte de Windows d'ocultar l'extensió dels archius, que permet ocultar l'extensió verdadera, .EXE. En alguns casos, este archiu pot contindre al troyano Zeus, que a la seua volta instala el CryptoLocker.

Quan s'eixecuta per primera volta, una part seua s'instala en la carpeta Documents, en un nom aleatori, i després, agrega una clau en el registre que fa que s'eixecute en encendre's la computadora. Després, intenta conectar-se en un dels servidors de control designats; una volta conectada, genera un parell de claus RSA de 2048-bits, i envia la clau pública a la computadora infectada. Degut a que el servidor designat pot ser un proxy local, que després pot ser derivat a uns atres (a sovint en atres països), és difícil rastrejar-ho.

Finalisada la seua instalació, el malware comença el procés de sifrat dels archius en discs locals, i en unitats de rets usant la clau pública, i registra cada archiu sifrat en el registre de Windows. Solament sifra archius en certes extensions, les quals inclouen fichers de Microsoft Office, OpenDocument, archius d'AutoCAD, imàgens i atres documents. Finalisada el sifrat d'archius, el malware mostra un mensage en pantalla informant que s'han sifrat archius, i exigix el pagament de 300 dólars americans o euros a través d'un val prepagament anònim (per eixemple, els de MoneyPak o Ukash) o de 0,5 bitcoins, per a dessifrar els archius. El pagament deu ser realisat dins de 72 o 100 hores, cas contrari, la clau privada en el servidor serà destruïda, i «mai ningú serà capaç de recuperar els archius». Si el pagament és realisat, l'usuari pot descarregar el programa de dessifrat, que ve precargada la clau privada de l'usuari. Symantec va estimar que el 3% dels seus usuaris infectats en CryptoLocker varen decidir pagar. Alguns usuaris infectats que han pagat varen reclamar que els seus archius no varen ser dessifrats.

En novembre de 2013, els operadors de CryptoLocker varen llançar un servici en llínea que diu que permet als usuaris dessifrar els seus archius sense usar el programa oferit per CryptoLocker, i que també permet comprar la clau privada de dessifrat despuix d'haver expirat la data llímit. El procés consistix en pujar un archiu sifrat al lloc com a mostra, i esperar a que el servici trobe una coincidència en els seus registres, el qual menciona que ocorre en 24 hores. Si troba una coincidència, el lloc oferix la possibilitat de realisar el pagament des del lloc web; si la data llímit ya va expirar, el cost s'incrementa a 10 Bitcoin (un preu estimat de US$ 90000).

Mitigació

A pesar de que els programes antivirus estan dissenyats per a detectar tals amenaces, estos potser no podrien detectar al CryptoLocker, o tal volta ho facen quan està sifrant archius, o inclús quan ya ho va finalisar. Açò normalment succeïx quan es distribuïx una versió nova del malware (un atac de dia zero). Com el procés de sifrat tarda un temps, si el malware és eliminat tempranamente, llimitaria el seu dany. Alguns experts sugerixen prendre certes mides preventives, com usar aplicacions que no permeten l'eixecució del còdic de CryptoLocker.

CryptoLocker també intenta borrar les copies de seguritat de Windows abans de sifrar els archius. Per la llongitut de la clau usada pel malware, li la considera casi impossible d'obtindre-la usant un atac de força bruta sense realisar el pagament; un método similar utilisat pel cuc Gpcode.AK, el qual usava una clau de 1024-bits, creguda en aquell llavors computacionalment impossible de trencar sense usar computació distribuïda, o ben descobrint una forma de trencar el sifrat.

Actualment el certsi posseïx un servici gratuït de recuperació: https://www.certsi.es/ A finals d'octubre de 2013, l'empresa en seguritat informàtica Kaspersky Lab va anunciar la creació d'un DNS sinkhole, que permet bloquejar els dominis usats per CryptoLocker.