BlackSuit Ransomware: la guía completa

BlackSuit ransomware es un tipo de malware que se sabe que se dirige tanto a usuarios de Windows como de Linux y evita que las víctimas accedan a sus archivos cifrándolos. Por lo general, puede identificar este ransomware porque BlackSuit agrega la extensión “.blacksuit” a los nombres de archivos y cambia el fondo de escritorio, crea una nota de rescate llamada “README.BlackSuit.txt” y cambia el nombre de los archivos. La nota de rescate de BlackSuit hará varias afirmaciones, en particular que los archivos esenciales se han cifrado y almacenado en un servidor seguro y, por lo tanto, se han visto comprometidos todos los informes financieros, propiedad intelectual, archivos personales y otros datos confidenciales. BlackSuit también tiene un sitio de filtración de datos como parte de su estrategia de doble extorsión para obligar a las víctimas a pagar el rescate.

¿Qué tipo de malware es BlackSuit?

BlackSuit es un ransomware, un tipo de malware que cifra archivos en el sistema de la víctima y exige un pago a cambio de la clave de descifrado. Una vez que el ransomware infecta un sistema, utiliza las funciones API FindFirstFileW() y FindNextFileW() para enumerar los archivos y directorios e iniciar el proceso de cifrado. BlackSuit ransomware utiliza el algoritmo Estándar de cifrado avanzado (AES) para cifrar archivos. El algoritmo AES es un algoritmo de cifrado simétrico que se utiliza ampliamente para cifrar datos. BlackSuit ransomware utiliza AES de OpenSSL para el cifrado y aprovecha técnicas de cifrado intermitente similares para un cifrado rápido y eficiente de los archivos de las víctimas. BlackSuit ransomware se dirige a usuarios de sistemas operativos Windows y Linux. El ransomware coloca la nota de rescate denominada "README.BlackSuit.txt" en cada directorio que atraviesa. Después de cifrar los archivos, les cambia el nombre agregando la extensión ".BlackSuit"

Todo lo que sabemos sobre BlackSuit Ransomware

Nombre confirmado

• Virus del traje negro

Tipo de amenaza

• ransomware
• Virus criptográfico
• casillero de archivos
• Doble extorsión

Extensión de archivos cifrados

• .traje negro

Mensaje exigente de rescate

Lea también:Grupo Daixin Ransomware: Guía completa

• README.BlackSuit.txt

Nombres de detección

• avastWin32: generación de malware
• KasperskyHEUR:Trojan-Ransom.Win32.Generic
• SofosMal/Genérico-S (PUA)
• microsoftRescate:Win32/BlackSuit.B

Métodos de distribución

• Archivos adjuntos de correo electrónico infectados (macros)
• Sitios web de torrents
• Anuncios maliciosos
• troyanos

Consecuencias

• Los archivos se cifran y bloquean hasta el pago del rescate.
• Fuga de datos
• Doble extorsión

Variante de Windows

• Las variantes de Windows de 32 bits de las familias de ransomware BlackSuit y Royal comparten una similitud del 93,2 % en funciones, una similitud del 99,3 % en bloques básicos y un 98,4 % en saltos según BinDiff.
• BlackSuit y Royal utilizan AES de OpenSSL para el cifrado y aprovechan técnicas de cifrado intermitente similares.

Variante de Linux

• La variante Linux del ransomware BlackSuit es un ejecutable ELF de 64 bits compilado con GCC con sha256 como 1c849adcccad4643303297fb66bfe81c5536be39a87601d67664af1d14e02b9e.
• Las variantes de Linux de Royal y BlackSuit comparten un 98% de similitud en funciones, un 99,5% de similitud en bloques y un 98,9% de similitud en saltos según la herramienta de comparación BinDiff.

¿Existe un descifrador gratuito disponible?

No.No existe ningún descifrador público conocido para el ransomware BlackSuit disponible en este momento.

¿Cuáles son los COI del ransomware BlackSuit?

Los indicadores de compromiso (IOC) son artefactos observados en una red o en un sistema operativo que indican una intrusión informática con alta confianza. Los IOC se pueden utilizar para la detección temprana de futuros intentos de ataque utilizando sistemas de detección de intrusiones y software antivirus. Es posible que la infección del ransomware BlackSuit no muestre ningún síntoma perceptible hasta que aparezca la notificación de rescate. Sin embargo, aquí hay algunos síntomas que pueden indicar una infección de ransomware BlackSuit:

• No se puede abrir ni acceder a los archivos, y sus nombres se han cambiado para incluir la extensión ".blacksuit".
• El fondo de pantalla del escritorio ha sido cambiado.
• Una nota de rescate llamada "README.BlackSuit.txt" está presente en cada directorio.
• La nota de rescate afirma que los archivos esenciales se cifraron y almacenaron en un servidor seguro, y que los informes financieros, la propiedad intelectual, los archivos personales y otros datos confidenciales se vieron comprometidos.
• La víctima puede recibir un mensaje exigiendo un pago a cambio de la clave de descifrado.

Si alguno de estos síntomas está presente, se recomienda tomar medidas inmediatas para evitar mayores daños y pérdida de datos. Ponerse en contacto con los expertos en eliminación de ransomware de SalvageData le proporciona un servicio seguro de recuperación de datos y eliminación de ransomware después de un ataque.

¿Qué hay en la nota de rescate de BlackSuit?

La nota de rescate generada por el ransomware BlackSuit se llama "README.BlackSuit.txt" y se coloca en cada directorio que atraviesa. La nota contiene un mensaje de los atacantes que afirman que los archivos esenciales han sido cifrados y almacenados en un servidor seguro. La nota también menciona que informes financieros, propiedad intelectual, archivos personales y otros datos confidenciales se han visto comprometidos. Los atacantes exigen un pago de rescate a cambio de la clave de descifrado. En general, el tono de la nota de rescate de BlackSuit está diseñado para crear una sensación de urgencia y miedo en la víctima, obligándola a cumplir con las demandas de los atacantes. Muestra de la nota de rescate de BlackSuit:

¿Cómo se propaga el ransomware BlackSuit?

Formas comunes en que el ransomware BlackSuit puede infectar un sistema:

Archivos adjuntos de correo electrónico infectados (macros)

• Los ciberdelincuentes pueden distribuir el ransomware BlackSuit a través de archivos adjuntos de correo electrónico que contienen enlaces o macros infectados.
• Los usuarios que abren estos archivos adjuntos o habilitan macros pueden desencadenar inadvertidamente la ejecución del ransomware en su sistema.

Sitios web de torrents

• El ransomware BlackSuit se puede incrustar en archivos torrent, que se utilizan comúnmente para descargar y compartir archivos a través de redes peer-to-peer.
• Cuando los usuarios descargan y abren estos archivos torrent infectados, sus sistemas pueden infectarse con el ransomware.

Anuncios maliciosos

• Los anuncios maliciosos, también conocidos como publicidad maliciosa, se pueden utilizar como método para distribuir el ransomware BlackSuit.
• Los usuarios que hagan clic en estos anuncios pueden ser redirigidos a sitios web que descargan e instalan automáticamente el ransomware en su sistema.

troyanos

• El ransomware BlackSuit se puede distribuir a través de troyanos, que son programas maliciosos que pueden descargar e instalar otros tipos de malware, incluido el ransomware.
• Los troyanos se pueden distribuir a través de diversos medios, como correos electrónicos de phishing, actualizaciones de software falsas o sitios web comprometidos.

¿Cómo funciona el ransomware BlackSuit?

BlackSuit ransomware es un tipo de malware que opera como una amenaza de ransomware, impidiendo que las víctimas accedan a sus archivos cifrándolos. Es importante tener en cuenta que el comportamiento y la funcionalidad específicos del ransomware BlackSuit pueden variar según las diferentes versiones o variantes. Aquí hay una descripción de cómo funciona normalmente el ransomware BlackSuit:

Distribución

BlackSuit ransomware se distribuye a través de varios métodos, incluidos archivos adjuntos de correo electrónico infectados, sitios web de torrents, anuncios maliciosos y troyanos.

Ejecución

Una vez que el ransomware infecta un sistema, inicia el proceso de cifrado. Utiliza las funciones API FindFirstFileW() y FindNextFileW() para enumerar los archivos y directorios del sistema.

Cifrado

BlackSuit ransomware utiliza un potente algoritmo criptográfico, como el Estándar de cifrado avanzado (AES), para cifrar los tipos de archivos de destino. Los archivos cifrados se modifican añadiendo la extensión ".blacksuit" a sus nombres originales.

Nota de rescate

Después de cifrar los archivos, el ransomware BlackSuit coloca una nota de rescate llamada "README.BlackSuit.txt" en cada directorio que atraviesa. La nota de rescate sirve como comunicación por parte de los atacantes, exigiendo el pago de un rescate a cambio de la clave de descifrado.

Cambio de fondo de escritorio

BlackSuit ransomware también altera el fondo de pantalla del escritorio del sistema infectado, mostrando un mensaje o imagen relacionada con el ataque de ransomware.

Pérdida de datos y extorsión.

Los archivos cifrados se vuelven inaccesibles e inutilizables sin la clave de descifrado. Los atacantes pueden amenazar con filtrar o vender los datos comprometidos si no se paga el rescate.

¡No pagues el rescate!Se recomienda a las víctimas de ataques de ransomware BlackSuit que informen del incidente a las autoridades y busquen la ayuda de un profesional de ciberseguridad acreditado.

Cómo manejar un ataque de ransomware BlackSuit

Importante:El primer paso después de identificar los IOC de BlackSuit es recurrir a su Plan de respuesta a incidentes (IRP). Idealmente, tiene un Retenedor de respuesta a incidentes (IRR) con un equipo confiable de profesionales con los que se puede contactar las 24 horas del día, los 7 días de la semana, los 365 días del año, y que pueden tomar medidas inmediatas que evitarán la pérdida de datos, reducirán o eliminarán el pago del rescate y lo ayudarán a superar cualquier responsabilidad legal. Según nuestro conocimiento, con la información que tenemos en el momento de publicar este artículo, el primer paso que tomaría un equipo de expertos en recuperación de ransomware es aislar la computadora infectada desconectándola de Internet y eliminando cualquier dispositivo conectado. dispositivo. Simultáneamente, este equipo lo ayudará a comunicarse con las autoridades locales de su país. Para los residentes y empresas de EE. UU., es eloficina local del FBIy elCentro de denuncias de delitos en Internet (IC3). Para informar un ataque de ransomware, debe recopilar toda la información que pueda al respecto, incluida:

• Capturas de pantalla de la nota de rescate
• Comunicaciones con los actores del ransomware (si los tiene)
• Una muestra de un archivo cifrado

Sin embargo, si no tiene un IRP o TIR, aún puedepóngase en contacto con profesionales de eliminación y recuperación de ransomware. Este es el mejor curso de acción y aumenta en gran medida las posibilidades de eliminar con éxito el ransomware, restaurar los datos y prevenir futuros ataques. Te recomendamos quedejar cada máquina infectada como estáy llamar a unservicio de recuperación de ransomware de emergencia.Reiniciar o apagar el sistema puede comprometer el proceso de recuperación. Capturar la RAM de un sistema activo puede ayudar a obtener la clave de cifrado, y capturar un archivo dropper puede sufrir ingeniería inversa y conducir al descifrado de los datos o a la comprensión de cómo funciona.

Qué NO hacer para recuperarse de un ataque de ransomware BlackSuit

Usted debeno eliminar el ransomwarey conservar todas las pruebas del ataque. Eso es importante paraforense digitalpara que los expertos puedan rastrear hasta el grupo de piratas informáticos e identificarlos. Es utilizando los datos de su sistema infectado que las autoridades puedenInvestigar el ataque y encontrar al responsable.Una investigación de un ciberataque no se diferencia de cualquier otra investigación criminal: necesita pruebas para encontrar a los atacantes.

1. Contactar a su proveedor de respuesta a incidentes

Una respuesta a un incidente cibernético es el proceso de responder y gestionar un incidente de ciberseguridad. Un anticipo de respuesta a incidentes es un acuerdo de servicio con un proveedor de ciberseguridad que permite a las organizaciones obtener ayuda externa con incidentes de ciberseguridad. Proporciona a las organizaciones una forma estructurada de experiencia y soporte a través de un socio de seguridad, lo que les permite responder de manera rápida y efectiva durante un incidente cibernético. Un anticipo de respuesta a incidentes ofrece tranquilidad a las organizaciones, ofreciendo soporte experto antes y después de un incidente de ciberseguridad. La naturaleza y estructura específicas de un contrato de respuesta a incidentes variarán según el proveedor y los requisitos de la organización. Un buen contrato de respuesta a incidentes debe ser sólido pero flexible y brindar servicios probados para mejorar la postura de seguridad a largo plazo de una organización.Si se comunica con su proveedor de servicios de IR, él se encargará de todo lo demás.Sin embargo, si decide eliminar el ransomware y recuperar los archivos con su equipo de TI, puede seguir los siguientes pasos.

2. Identificar la infección ransomware

Puedeidentificar qué ransomwareinfectó su máquina por la extensión del archivo (algunos ransomware usan la extensión del archivo como nombre), o estará en la nota de rescate. Con esta información, puede buscar una clave de descifrado pública. También puede verificar el tipo de ransomware por sus IOC. Los indicadores de compromiso (IOC) son pistas digitales que los profesionales de la ciberseguridad utilizan para identificar compromisos del sistema y actividades maliciosas dentro de una red o entorno de TI. Son esencialmente versiones digitales de evidencia dejada en la escena del crimen, y los IOC potenciales incluyen tráfico de red inusual, inicios de sesión de usuarios privilegiados de países extranjeros, solicitudes DNS extrañas, cambios en los archivos del sistema y más. Cuando se detecta un COI, los equipos de seguridad evalúan posibles amenazas o validan su autenticidad. Los IOC también proporcionan evidencia de a qué tenía acceso un atacante si se infiltraba en la red.

3. Eliminar el ransomware y eliminar los kits de exploits

Antes de recuperar sus datos, debe garantizar que su dispositivo esté libre de ransomware y que los atacantes no puedan realizar un nuevo ataque a través de kits de exploits u otras vulnerabilidades. Un servicio de eliminación de ransomware puede eliminar el ransomware, crear un documento forense para investigación, eliminar vulnerabilidades y recuperar sus datos. Utilice software antimalware/antiransomware para poner en cuarentena y eliminar el software malicioso.

Importante:Al ponerse en contacto con los servicios de eliminación de ransomware, puede asegurarse de que su máquina y su red no tengan rastros del ransomware BlackSuit. Además, estos servicios pueden parchear su sistema, evitando nuevos ataques de ransomware.

4. Utilice una copia de seguridad para restaurar los datos.

Las copias de seguridad son la forma más eficiente de recuperar datos. Asegúrese de realizar copias de seguridad diarias o semanales, según su uso de datos.

5. Póngase en contacto con un servicio de recuperación de ransomware

Si no tiene una copia de seguridad o necesita ayuda para eliminar el ransomware y eliminar las vulnerabilidades, comuníquese con un servicio de recuperación de datos. Pagar el rescate no garantiza que se le devolverán sus datos. La única forma garantizada de restaurar cada archivo es si tiene una copia de seguridad del mismo. Si no lo hace, los servicios de recuperación de datos de ransomware pueden ayudarlo a descifrar y recuperar los archivos. Los expertos de SalvageData pueden restaurar sus archivos de manera segura y evitar que BlackSuit ransomware ataque su red nuevamente. Comuníquese con nuestros expertos las 24 horas, los 7 días de la semana para obtener un servicio de recuperación de emergencia.

Prevenir un ataque de ransomware

Prevenir el ransomware es la mejor solución para la seguridad de los datos. es más fácil y económico que recuperarse de ellos. El ransomware BlackSuit puede costarle el futuro a su empresa e incluso cerrarle las puertas. Estos son algunos consejos para asegurarse de que puedaevitar ataques de ransomware:

• Utilice un software antivirus confiable.Instale y actualice periódicamente software antivirus confiable en su sistema. Esto puede ayudar a detectar y bloquear amenazas de ransomware conocidas, incluido BlackSuit.
• Tenga cuidado con los archivos adjuntos de correo electrónico.Tenga cuidado al abrir archivos adjuntos de correo electrónico, especialmente si provienen de fuentes desconocidas o sospechosas. Evite abrir archivos adjuntos que no esperaba o que parezcan sospechosos.
• Tenga cuidado con los enlaces sospechosos.Evite hacer clic en enlaces sospechosos, especialmente en correos electrónicos, anuncios emergentes o sitios web desconocidos. Estos enlaces pueden conducir a sitios web maliciosos que pueden distribuir ransomware como BlackSuit.
• Mantenga su sistema operativo y software actualizados.Actualice periódicamente su sistema operativo, navegadores web y otras aplicaciones de software. Las actualizaciones de software suelen incluir parches de seguridad que pueden ayudar a proteger contra vulnerabilidades conocidas que el ransomware puede explotar.
• Habilite las actualizaciones automáticas.Habilite las actualizaciones automáticas para su sistema operativo y aplicaciones de software. Esto garantiza que reciba los últimos parches y actualizaciones de seguridad sin intervención manual.
• Haga una copia de seguridad de sus archivos con regularidad.Haga copias de seguridad periódicas de sus archivos importantes en un disco duro externo, almacenamiento en la nube u otra ubicación segura. En caso de un ataque de ransomware, tener copias de seguridad puede ayudarle a restaurar sus archivos sin tener que pagar el rescate.
• Edúquese a usted mismo y a sus empleados.Infórmese a sí mismo y a sus empleados sobre prácticas seguras en línea, como evitar descargas sospechosas, tener cuidado con los archivos adjuntos de correo electrónico y reconocer intentos de phishing. La concienciación y la vigilancia pueden ser de gran ayuda para prevenir las infecciones por ransomware.

Si sigue estas medidas preventivas, puede reducir el riesgo de que el ransomware BlackSuit infecte su sistema y proteger sus archivos para que no se cifren.