Ciberseguridad

Una familia de ransomware, que ha aterrorizado a muchas organizaciones de todo el mundo, ha sido actualizada con un nuevo truco para atraer a las víctimas a la instalación de malware: el uso de un software antivirus.

El Dharma surgió por primera vez en 2016 y el ransomware ha sido responsable de varios incidentes cibernéticos de alto perfil, incluyendo la caída de una red hospitalaria en Texas el año pasado.

El grupo detrás de Dharma busca actualizar regularmente sus campañas para garantizar que los ataques permanezcan eficaces y tengan la mejor oportunidad de extorsionar pagos de rescate a cambio del descifrado de redes y archivos bloqueados de sistemas Windows.

Ahora, los ataques cibernéticos evolucionaron y los investigadores de seguridad cibernética de Trend Micro detallaron el nuevo medio que Dharma está utilizando para ser implantado: una falsa instalación de software antivirus.

Como muchas campañas de ransomware, los ataques de Dharma comienzan con mensajes de correo electrónico, phishing. Los mensajes afirman ser de Microsoft y que el PC de la víctima Windows está 'en riesgo' y 'corrompido' siguiendo 'comportamiento inusual', incitando al usuario a 'actualizar y comprobar' su antivirus accediendo a un enlace de descarga.

Si el usuario prosigue, el ransomware realiza dos descargas: la carga del ransomware Dharma y una versión antigua del software antivirus de la empresa de seguridad cibernética ESET.

Cuando se ejecuta el archivo de extracción automática, el Dharma comienza a cifrar archivos en la segunda vuelta mientras se solicita al usuario que siga las instrucciones de instalación del removedor ESET AV - la interfaz se muestra en el escritorio y requiere la interacción del usuario durante el proceso de instalación, actuando como una distracción de la actividad maliciosa.

Cuando la instalación esté completa, la víctima se encontrará confrontada con una nota de rescate, exigiendo un pago por criptografía a cambio de desbloquear los archivos.

"El artículo describe la práctica de malware para ser empaquetado con aplicaciones legítimas. En el caso específico que Trend Micro está documentando, un ESET AV Official quitar y no modificado se utilizó. Sin embargo, cualquier otra aplicación se puede utilizar de esta manera.", Dijo un comunicado de ESET, tras ser informado sobre la investigación de Trend Micro.

Aunque no es tan importante como durante el auge de ataques como WannaCry y el NotPetya en 2017, el ransomware sigue siendo una amenaza para las organizaciones, pues los invasores continúan desarrollando e implantando nuevas tácticas y variantes del malware de bloqueo de archivos.

"Como comprobado por las nuevas muestras del Dharma, muchos agentes maliciosos todavía están tratando de actualizar antiguas amenazas y usar nuevas técnicas. Ransomware sigue siendo una amenaza cara y versátil", dijo Raphael Centeno, investigador de seguridad de Trend Micro.

Para evitar ser víctimas del Dharma y amenazas similares, los investigadores recomiendan que se adopte una buena higiene de seguridad cibernética, como la protección de gateways de correo electrónico, la copia de seguridad regular de archivos y el mantenimiento y actualización de sistemas y aplicaciones.