Yulnedxmo – El ransomware que ingresó a Bolivia
¿Sabías que: Una organización boliviana está siendo atacada más de 1500 veces por semana en los últimos 6 meses?
En la última semana se tuvo el registro de diversas entidades afectadas por el ataque de un ransomware, impactando en la disponibilidad de servicios y afectación a clientes.
¿Qué es Yulnedxmo?
Un ataque de ransomware es un tipo de ataque de malware en el que el atacante cifra los datos de la víctima y luego exige un pago para descifrar los datos. Por lo general, los archivos no solo se cifran sino que también se renombran. Yulnedxmo cambia el nombre de los archivos agregando la extensión “.yulnedxmo” a sus nombres de archivo, por ejemplo, cambia el nombre de “1.jpg” a “1.jpg.yulnedxmo”, “2.jpg” a “2.jpg.yulnedxmo”, y así. Otra cosa común es que el ransomware está diseñado para mostrar y/o crear una nota de rescate. Yulnedxmo crea el archivo “CÓMO RESTAURAR SUS ARCHIVOS.TXT” (este archivo se puede encontrar en todas las carpetas que contienen archivos cifrados). Este ransomware pertenece a la familia de ransomware Snatch.
Los archivos “CÓMO RESTAURAR SUS ARCHIVOS.TXT” son notas de rescate que dicen que todos los archivos de la víctima están encriptados y que solo el atacante puede desencriptarlos. Para ponerse en contacto con el atacante para obtener más instrucciones (detalles como el precio de una herramienta de descifrado y cómo pagarla), la víctima debe escribir un correo electrónico a 33postal@mail.fr o 8472host@cock.li dentro de las 48 horas. De lo contrario, se pueden perder archivos. Además, se advierte a la víctima que no cambie el nombre ni edite ninguno de los archivos cifrados porque también puede provocar la pérdida de datos. En la mayoría de los casos, las víctimas de los ataques de ransomware tienen dos opciones: pueden recuperar el acceso a sus archivos pagando un rescate a los atacantes detrás del ransomware o restaurando archivos a partir de copias de seguridad. Desafortunadamente, no hay herramientas de terceros disponibles gratuitamente en Internet que puedan descifrar archivos cifrados por Yulnedxmo. Los ciberdelincuentes detrás de este ransomware son los únicos que tienen el software o la clave de descifrado adecuados.
Es importante saber que pagar un rescate no garantiza que las víctimas recuperen el acceso a sus archivos; es común que los atacantes no envíen una clave de descifrado incluso si las víctimas les pagan. Por lo tanto, es muy recomendable no realizar ningún pago, pues además de no tener la garantía, se está fomentando esta actividad pues es la finalidad de este tipo de ataques.
Como se mencionó anteriormente, no existe una herramienta de descifrado de terceros disponible gratuitamente en Internet. Por lo tanto, la única forma de recuperar archivos de forma gratuita es restaurarlos desde una copia de seguridad. Vale la pena mencionar que se puede evitar un mayor cifrado de datos desinstalando el ransomware del sistema operativo. Sin embargo, la eliminación del ransomware solo evita que cifre archivos nuevos (no cifrados). No hace que los archivos ya cifrados sean accesibles.
¿Cómo infectó mi computadora el ransomware?
El ransomware a menudo se distribuye a través de correos electrónicos que alientan a los destinatarios a abrir un archivo adjunto malicioso o un enlace a un sitio web que descarga un archivo malicioso. Por lo general, los atacantes intentan engañar a los destinatarios para que abran un archivo ZIP, RAR, documento PDF, documento de Word o Excel, archivo JavaScript, un archivo ejecutable (como .exe) o algún otro archivo malicioso. Una vez que se abre ese archivo, una computadora se infecta con un ransomware específico. Usualmente los ciberdelincuentes engañan con éxito a los usuarios para que instalen ransomware ocultando códigos maliciosos en versiones pirateadas de varios programas o herramientas de “craqueo” que supuestamente activan ilegalmente el software. En pocas palabras, los usuarios infectan las computadoras después de usar instaladores de software pirateado o intentar activar software con licencia con herramientas no oficiales.
Además, el ransomware puede propagarse a través de ciertos troyanos. Un troyano es un tipo de software malintencionado que a menudo se disfraza de software legítimo. Una vez instalado, puede causar infecciones en cadena / instalar otro malware. Otra forma popular de engañar a los usuarios para que instalen malware es distribuirlo utilizando varias páginas no oficiales, descargadores de terceros, redes Peer-to-Peer (como eMule, clientes torrent), páginas de descarga de software gratuito, etc. Los usuarios instalan malware cuando descargan archivos y luego los ejecutan. Normalmente, esos archivos maliciosos están diseñados para parecer legítimos y regulares. Una forma más de propagación del ransomware es a través de herramientas de actualización de software falsas que están diseñadas para infectar computadoras mediante ransomware en lugar de actualizaciones, correcciones o aprovechando errores, fallas u otras vulnerabilidades del software instalado que está desactualizado.
¿Cómo protegerse de las infecciones de ransomware?
No abra archivos adjuntos de correo electrónico (ni haga clic en enlaces en correos electrónicos) de remitentes desconocidos, especialmente si dichos correos electrónicos son irrelevantes. Es común que los correos electrónicos de este tipo se envíen con el propósito de engañar a los destinatarios para que instalen malware en sus computadoras. Utilice sitios web oficiales y legítimos y enlaces directos al descargar archivos, programas y evite el uso de otras fuentes de descarga, como varias páginas no oficiales, descargadores de terceros, redes Peer-to-Peer, etc. Además, actualice y active los programas instalados con herramientas o implementado funciones de sus desarrolladores oficiales. Nunca use ningún software pirateado ni active software con licencia con herramientas de “craqueo”. No es legal usar tales herramientas (o usar software pirateado) y, a menudo, contienen malware. Ejecute análisis de virus de forma regular, asegúrese de utilizar un programa antivirus o anti-spyware de buena reputación. Es recomendable utilizar un paquete de seguridad de buena reputación. Si su computadora ya está infectada con Yulnedxmo, le recomendamos ejecutar un análisis con Malwarebytes para Windows para eliminar automáticamente este ransomware, además de aislar inmediatamente al equipo afectado.
Acá te dejamos una guía publicada por MALWARETIPS para poder remover este ransomware:
