NOVEDADES SOBRE UN SUPUESTO RANSOMWARE CRYPTOWALL 3.0

Es conocido de antaño que despues de conocer que el cryptolocker codificaba con RSA 2048, añadía encripted a la extension de los ficheros cifrados y mantenía las copias realizadas por el Shadow Copy en los terminales de equipos con sistemas > W7, apareció el CRYPTOWALL, que no añadía ni modificaba el nombre de los ficheros cifrados, pero borraba las copias realizadas por el Shadow Copy, con lo que fastidiaba a los usuarios que no tenían copia de seguridad al día, y posteriormente apareció la versión 3, que ofrecía este pantallazo en llas carpetas donde había coifrado ficheros, aparte de en el escritorio y en la carpèta de inicio:

HELP_DECRYPT.PNG:

Pues bien, esta supuesta version 3 resulta que presenta información falsa, ya que no cifra con RSA2048, sino con AES 256, y a diferencia del Cryptowall inicial, no borra las copias que hace el Shadow Copy, asi que pueden recuperarse los ficheros originales de antes del cifrado, al igual que ya se podía hacer con el Cryptolocker.

Recordamos que una vez terminado el cifrado, este ransomware se autoborra del ordenador infectado (en el que se ha ejecutado el fichero malicioso), asi que se podrá proceder a restablecer laa copias de dichos ficheros, si bien siempre aconsejamos arrancar en MODO SEGURO y lanzar el ELISTARA eliminando temporales, por si se tratara de otra variante de las que tanto abundan.

Por último recordar que de esta familia de Cryptowall existe la version 4, que no solo codifica el contenido de los ficheros sino ademas el nombre de los mismos, para fastidiar aun mas al usuario infectado, como ya indicamos en la informacion que dimos al respecto.

Como ya pasó con el cryptolocker, ha sido nuestro buen amigo JuanLuis de VB42 quien nos ha hecho saber lo indicado, al haberse encontrado con ordenadores de sus clientes con dicho ransomware y en su empeño en lograr solucionar el problema del cifrado, ha conseguido el éxito indicado, y nos lo ha participado. Gracias JuanLuis !

saludos

ms, 19-11-2015