Royal ransomware es una amenaza cibernética que principalmentese dirige a empresas de infraestructura crítica, comoSanidad, transporte y sector financiero.. Cifra y roba los datos y luego exige el pago en un acto conocido como doble extorsión. Si la organización no paga, filtran los datos robados en un sitio web oscuro. Se vio por primera vez en 2022 y ha estado atacando a organizaciones, incluida la atención médica, desde septiembre de 2022. En noviembre de 2022, Royal superó a LockBit como la operación de ransomware más prolífica. El ransomware Royal es muy peligroso y puede dañar la reputación de su empresa e incluso hacerle perder clientes. Aprender cómo funciona y cómo prevenirlo garantizará la ciberseguridad de su empresa y evitará el tiempo de inactividad debido al ciberataque.
¿Qué tipo de malware es Royal?
Royal es un ransomware, que es un tipo de malware que cifra y bloquea los archivos de las víctimas y luego solicita un rescate a cambio de la clave de descifrado. Royal ataca a empresas de todos los tamaños, sin embargo, las pequeñas empresas son su objetivo principal. Ingresará al sistema a través de vulnerabilidades del sistema, buscará copias de seguridad de instantáneas y luego las eliminará. Este proceso es silencioso, lo que retrasa la detección. Después de eso, Royal ransomware se propagará rápidamente a través de la red, haciendo que sea casi imposible detenerlo.
Descripción general del ransomware real
Nombre confirmado
- virus real
Tipo de amenaza
- ransomware
- Virus criptográfico
- casillero de archivos
Extensión de archivos cifrados
- .real
- .royal_w
Mensaje exigente de rescate
- LÉAME.TXT
¿Existe un descifrador gratuito disponible?
- No, no existe una clave de descifrado pública para el ransomware Royal
Nombres de detección
- avastWin32: generación de troyanos
- EmsisoftGen: Variante.Ransom.Royal.6 (B)
- KasperskyHEUR:Trojan.Win32.DelShad.gen
- microsoftRescate:Win32/Royal.A!dha
Síntomas
- No puedo abrir archivos almacenados en la computadora
- Carta de demanda de rescate en el escritorio
- Los archivos tienen una nueva extensión (por ejemplo, nombre de archivo1.royal)
Familia, tipo y variante de ransomware
- Royal es una variante que primero usó Zeon como cargador y luego comenzó a usar su propio programa de cifrado de archivos personalizado.
Métodos de distribución
- llamadas de phishing
- Archivos adjuntos de correo electrónico infectados (correos electrónicos de phishing)
- Protocolo de escritorio remoto (RDP) no seguro
- Software pirateado (craqueado)
Consecuencias
- Los archivos se cifran y bloquean hasta el pago del rescate.
- Fuga de datos
- Deshabilitar el software antivirus
Prevención
- Antivirus y antimalware
- Software actualizado
- Sistema operativo (SO) actualizado
- Cortafuegos
- No abra un archivo adjunto de correo electrónico de una fuente desconocida
- No descargue archivos de sitios web sospechosos
- No haga clic en anuncios a menos que esté seguro de que es seguro
- Acceda únicamente a sitios web de fuentes confiables
Dominios maliciosos de Royal ransomware
- ciborkumari.xyz
- sombrat.com
- gororama.com
- softeruplive.com
- altocloudzone.live
- myappearinc.com
- parkerpublic.com
- pastebin.mozilla.org/Z54Vudf9/raw
- tumbleproperty.com
- myappearinc.com/acquire/draft/c7lh0s5jv
¿Cómo infectó Royal tu computadora?
El método principal que utiliza Royal para infectar redes y computadoras es medianteengañar a los usuarios para que llamen a númerosen cartas que se hacen pasar por comunicaciones legítimas de otras empresas. Luego, los delincuentes convencen a los usuarios para que instalen software de acceso remoto en sus computadoras. Después de eso, los actores de amenazas (hackers) no sólo pueden cifrar los datos sino también robarlos. El software pirateado también es otra forma que utilizan los actores de Royal para instalar sus herramientas de cifrado.
Cifrado real y nota de rescate
La nota de rescate de Royal en el escritorio les alerta sobre la filtración de datos si las víctimas no pagan su demanda y establece cómo deben contactar a los ciberdelincuentes.
¡Hola!
Si está leyendo esto, significa que su sistema fue afectado por Royal ransomware.
Por favor contáctenos a través de:
Mientras tanto, expliquemos este caso. ¡Puede parecer complicado, pero no lo es!
Lo más probable es que lo que pasó fue que decidiste ahorrar algo de dinero en tu infraestructura de seguridad.
Lamentablemente, como resultado, sus datos críticos no solo se cifraron sino que también se copiaron de sus sistemas en un servidor seguro.
Desde allí se puede publicar en línea. Luego, cualquier persona en Internet, desde delincuentes de la red oscura, periodistas de la ACLU, el gobierno chino (diferentes nombres para lo mismo) e incluso sus empleados, podrán ver su documentación interna: datos personales, revisiones de recursos humanos, demandas y quejas internas, informes financieros, contabilidad, propiedad intelectual y más.
¡Afortunadamente lo tenemos cubierto!
Royal le ofrece una oferta única. Por una modesta regalía(¿entendido; entendido?) por nuestros servicios de pentesting, no solo le brindaremos un increíble servicio de mitigación de riesgos,
cubriéndolo de riesgos reputacionales, legales, financieros, regulatorios y de seguros, pero también le brindará una revisión de seguridad para sus sistemas.
En pocas palabras, sus archivos serán descifrados, sus datos restaurados y mantenidos confidenciales, y sus sistemas permanecerán seguros.
¡Prueba Royal hoy y entra en la nueva era de la seguridad de los datos!
¡Esperamos tener noticias suyas pronto!
¿Cómo funciona Royal?
Después de convencer a la víctima de que haga clic en el enlace infectado o descargue el archivo adjunto malicioso, Royal seguirá algunos pasos para cifrar y filtrar los datos.
1. Acceso inicial
Royal ransomware engaña a las víctimas para que hagan clic o descarguen archivos maliciosos enviados comunicaciones que parecen legítimas para ingresar a las redes comerciales. Esto se debe a que el phishing es el método principal de los ataques de Royal. Las llamadas de phishing, en las que convencen a la víctima para que descargue el acceso remoto, son el método de ataque que más utilizan los actores de Royal.
Pero también se utilizan otras vulnerabilidades, como el RDP abierto, para acceder a la red.
2. Mando y control
Tan pronto como Royal ingresa a la red, se comunica con la infraestructura de comando y control (C2) y descarga múltiples herramientas para cifrar y robar los datos de la víctima.
3. Movimiento lateral
Los operadores reales utilizan RDP para moverse lateralmente a través de la red. También desactivó protocolos antivirus.
4. Exfiltración
Los actores reales extraen datos de las redes de víctimas utilizando herramientas como Cobalt Strike y Ursnif/Gozi y una dirección IP de EE. UU.
5. Cifrado
Antes de cifrar los datos, los operadores de Royal eliminarán las instantáneas del servicio de instantáneas de volumen de Windows para evitar la recuperación del sistema. Después de eso, Royal ransomware cifrará los archivos de cada carpeta.
Prevenir ataques de ransomware Royal
Para prevenir ataques de ransomware Royal, es importante comprender la ciberseguridad y capacitar a sus empleados sobre protocolos de seguridad y mejores prácticas.
1. Segmentar redes
La segmentación de la red puede ayudar a evitar que el ransomware se propague mediante movimientos laterales.
2. Utilice contraseñas seguras y aplique autenticación multifactor
Asegúrese de que cada cuenta tenga una contraseña única generada aleatoriamente con números, letras y caracteres especiales. Agregar autenticación multifactor también evitará el acceso no autorizado a su red.
3. Borrar cuentas de usuario obsoletas y no utilizadas
Las cuentas de ex empleados pueden convertirse en vulnerabilidades que permitan el acceso externo.
4. Mantenga el software actualizado
Las actualizaciones de software, especialmente los sistemas operativos (SO), agregan nuevos parches de seguridad que ayudarán a bloquear el acceso externo y no autorizado.
5. Programe copias de seguridad periódicas
Las copias de seguridad son la forma más segura y eficiente de recuperar datos en caso de incidentes como ransomware. Asegúrese de tener al menos una copia de seguridad fuera del sitio y fuera de línea para evitar amenazas cibernéticas.
6. Utilice una solución de ciberseguridad
Implemente soluciones de ciberseguridad para proteger puertas, cerrar vulnerabilidades y capacitar a los empleados en las mejores prácticas de ciberseguridad.
7. Tenga un plan de recuperación a mano
Los planes de recuperación de datos son documentos que funcionan como guías sobre qué hacer en caso de un desastre. Esto puede ayudarle a restaurar su negocio de forma más rápida y segura. Vea cómo crear un plan de recuperación de datos con nuestra guía detallada.
Más lectura:Mallox Ransomware: cómo eliminarlo y prevenirlo
Cómo manejar el ataque del ransomware Royal
El primer paso para recuperarse del ataque Royal es aislar la computadora infectada desconectándola de Internet y eliminando cualquier dispositivo conectado. Luego, debes contactar a las autoridades locales. En el caso de los residentes y empresas estadounidenses, es eloficina local del FBIy elCentro de denuncias de delitos en Internet (IC3).Para informar un ataque de ransomware, debe recopilar toda la información que pueda al respecto, incluida:
- Capturas de pantalla de la nota de rescate
- Comunicaciones con actores reales (si los tienes)
- Muestra de un archivo cifrado
No debe eliminar el ransomware y conservar todas las pruebas del ataque. Esto es importante para la ciencia forense digital, de modo que los expertos puedan rastrear hasta el grupo de piratas informáticos e identificarlos. Está utilizando los datos de su sistema infectado para que las autoridades puedan investigar el ataque y encontrar al responsable. Una investigación de un ciberataque no es diferente de cualquier otra investigación criminal: necesita pruebas para encontrar a los atacantes. Después de aislar el dispositivo y contactar a las autoridades, debes seguir los siguientes pasos para recuperar tus datos:
1. Comuníquese con su representante de respuesta a incidentes
Una respuesta a un incidente cibernético es el proceso de responder y gestionar un incidente de ciberseguridad. Un anticipo de respuesta a incidentes es un acuerdo de servicio con un proveedor de ciberseguridad que permite a las organizaciones obtener ayuda externa con incidentes de ciberseguridad. Proporciona a las organizaciones una forma estructurada de experiencia y soporte a través de un socio de seguridad, lo que les permite responder de manera rápida y efectiva en caso de un incidente cibernético. Un anticipo de respuesta a incidentes ofrece tranquilidad a las organizaciones, ofreciendo soporte experto antes y después de un incidente de seguridad cibernética. La naturaleza y estructura específicas de un contrato de respuesta a incidentes variarán según el proveedor y los requisitos de la organización. Un buen contrato de respuesta a incidentes debe ser sólido pero flexible y brindar servicios probados para mejorar la postura de seguridad a largo plazo de una organización.
2. Identificar la infección ransomware
Puede verificar qué ransomware infectó su máquina por la extensión del archivo (algunos ransomware usan la extensión del archivo como nombre), o estará en la nota de rescate. Con esta información, puede buscar una clave de descifrado pública. Sin embargo, Royal aún no lo tiene.
3. Eliminar el ransomware y eliminar los kits de exploits
Antes de recuperar sus datos, debe garantizar que su dispositivo esté libre de ransomware y que los atacantes no puedan realizar un nuevo ataque a través de kits de exploits u otras vulnerabilidades. Un servicio de eliminación de ransomware puede eliminar el ransomware, crear un documento forense para su investigación, eliminar vulnerabilidades y recuperar sus datos.
4. Utilice una copia de seguridad para restaurar los datos.
Las copias de seguridad son la forma más eficiente de recuperar datos. Asegúrese de realizar copias de seguridad diarias o semanales, según su uso de datos.
5. Póngase en contacto con un servicio de recuperación de ransomware
Si no tiene una copia de seguridad o necesita ayuda para eliminar el ransomware y eliminar las vulnerabilidades, debe comunicarse con un servicio de recuperación de datos.NO PAGUES EL RESCATE.No hay garantía de que los piratas informáticos entreguen el descifrador cuando usted pague el rescate y puede terminar financiando grupos terroristas. Comuníquese con las autoridades responsables (en los EE. UU. será el FBI) y luego trabaje en la recuperación de datos del ransomware. Los expertos de SalvageData pueden restaurar sus archivos de manera segura y garantizar que Royal ransomware no vuelva a atacar su red. Comuníquese con nuestros expertos las 24 horas del día, los 7 días de la semana para obtener un servicio de recuperación de emergencia o encuentre un centro de recuperación cerca de usted.
