Ciberseguridad

Concretamente, se trata del ransomware Kasseika. Es una amenaza capaz de aprovecharse de los drivers del antivirus y llegar a eliminarlo. De esta forma, puede tener vía libre para actuar sin ser detectado. Este tipo de amenazas, además, es de las más peligrosas, ya que cifra los archivos y pide un rescate para liberarlos.

El ransomware Kasseika usa los drivers del antivirus

Es una amenaza más, un tipo de ransomware que, como otros muchos, busca que pierdas el control sobre tus archivos. Sin embargo, en esta ocasión utiliza una técnica distinta a la habitual: aprovecharse del controlador del antivirus. Exactamente, se aprovecha del driver Martini.sys/viragt64.sys, que forma parte del antivirus VirtIT Agent, de TG Soft.

Una vez explota este driver, consigue desactivar el programa de seguridad. Simplemente deja de funcionar, por lo que no va a detectar la amenaza. Según indican los investigadores de seguridad detrás de este descubrimiento, el ransomware Kasseika tiene muchas similitudes con el de BlackMatter, por lo que puede que sean los mismos los que lo han desarrollado.

Pero, ¿cómo infectan exactamente con esta amenaza? Lo primero que hacen es enviar un e-mail Phishing. Un clásico. Necesitan hacerse con las credenciales de acceso. A partir de ahí, van a explotar la herramienta PsExec, de Windows, para poder ejecutar archivos .bat maliciosos. Ahí es cuando comprueba si existe el proceso Martini.exe y lo va a cerrar. Si no lo encuentra, no continúa.

Lo que busca con esto es finalizar el proceso del antivirus. A partir de ahí, inicia el ransomware y utiliza los algoritmos ChaCha20 y RSA para cifrar los archivos. Como es habitual, piden un rescate para liberar esos archivos cifrados. En este caso, solicitan un pago en bitcoins bastante elevado.