AMPLIACION DE INFORMACION SOBRE EL TROLDESH.E DEL QUE INFORMABAMOS AYER : AÑADE .WALLET AL FINAL DE LOS FICHEROS CIFRADOS “.[amagnus@india.com].wallet”

Este ransomware que ya controlamos a partir del ELISTARA 35.83 de ayer, ofrece contactar con el hacker para el pago del rescate, a una dirección de la india, lo cual ya se había visto en otras variantes de ransomwares, que no añadían a la extensión mas que la dirección en cuestión, mientras que este, codifica ficheros añadiendoles la extensión “.[amagnus@india.com].wallet”

Y muy importante, queda residente, y a diferencia de los Locky y de los CERBER, este no se autoelimina, reiniciandose en el siguiente arranque, SI NO SE ELIMINA CON ANTIVIRUS O UTILIDADES QUE LO CONTROLEN, COMO EL ACTUAL ELISTARA

En este caso, presenta como fondo de escritorio este mansaje:
GOOD morning??
All your files are enncrypted!
To deccrypt your files, please contact email:amagnus@india.com
presentandolo en las siguientes ubicaciones:

%WinIni%\ Good morning DECRYPT FILES.jpg

%PathUser%\ Good morning DECRYPT FILES.jpg

“Wallpaper”=”%PathUser%\ Good morning DECRYPT FILES.jpg”

Lo cual es detectado y eliminado por el actual ELISTARA 35.83

Tengase presente que con otros que añadían una dirección de la India eran considerados estafa, pues había habido muchos casos que, tras pagar el rescate, no se recibia el esperado descifrador de los ficheros cifrados.

Y parece que este tambien es el caso de estafa, segun vemos al respecto en:

http://es.pcviruscare.com/blog/tag/como-deshacerse-de-amagnusindia-com-ransomware

Esperamos que lo que vamos indicando sirva para no caer en las redes de estos ciberdelincuentes.

saludos

ms, 20-12-2016