Ransomware Ragnar Locker: la guía completa

Ragnar Locker es una familia de ransomware que ha estado en acción desde al menos diciembre de 2019. Es conocido por apuntar a grandes organizaciones e intentar extorsionar a sus víctimas con grandes cantidades de criptomonedas. Algunas características clave del ransomware Ragnar Locker incluyen: Se sabe que el grupo Ragnar Locker emplea una táctica de doble extorsión, donde el pago del rescate no es solo para recuperar los archivos afectados sino también para evitar la divulgación de esa información robada al público. Si bien algunos operadores de ransomware imponen reglas voluntarias contra gobiernos, organizaciones militares, proveedores de atención médica (hospitales) e infraestructuras críticas como plantas de energía y operadores de tuberías, el actor de amenazas Ragnar Locker no tiene tal aversión. El ransomware Ragnar Locker se ha utilizado para atacar una variedad de organizaciones, incluidas compañías de energía, aerolíneas y marcas de moda de lujo.

Los expertos de SalvageData recomiendan medidas proactivas de seguridad de datos, como copias de seguridad periódicas, prácticas sólidas de ciberseguridad y mantener el software actualizado, para protegerse contra ataques de ransomware. y yoEn caso de un ataque de ransomware, comuníquese con nuestroexpertos en recuperación de ransomwareinmediatamente.

¿Qué tipo de malware es RagnarLocker?

Ragnar Locker es un tipo de ransomware que afecta a dispositivos que ejecutan sistemas operativos Microsoft Windows. Está diseñado para cifrar datos y exigir un pago de rescate a la víctima para recuperar sus archivos. Se sabe que el grupo Ragnar Locker emplea una táctica de doble extorsión, donde el pago del rescate no es sólo para recuperar los archivos afectados sino también para evitar la divulgación de esa información robada al público. Ragnar Locker normalmente explota servicios expuestos como el Protocolo de escritorio remoto (RDP) para obtener acceso al sistema. Los atacantes también pueden utilizar contraseñas débiles o credenciales robadas para acceder al sistema. El malware también utiliza técnicas avanzadas de evasión de defensa para evitar el software antivirus.

Todo lo que sabemos sobre el ransomware Ragnar Locker

Nombre confirmado

• Virus Ragnar Locker

Tipo de amenaza

• ransomware
• Virus criptográfico
• casillero de archivos
• Doble extorsión

Extensión de archivos cifrados

• La extensión del archivo varía en las máquinas infectadas

Mensaje exigente de rescate

Lectura sugerida:Akira ransomware: guía completa

• El nombre del archivo de la nota de rescate depende de la extensión.

Nombres de detección

• avastWin32: RansomX-gen [Rescate]
• EmsisoftRescate.genérico.Ragnar.91E669A1 (B)
• KasperskyTrojan-Ransom.Win32.RagnarLocker.a
• SofosTroj/Lothlock-A
• microsoftRescate:Win32/RagnarLocker.BM!MSR

Métodos de distribución

• Publicidad maliciosa
• Estafas en línea
• Descargas no autorizadas

Consecuencias

• Táctica de doble extorsión: aquí es donde el atacante primero extrae datos confidenciales y luego desencadena el ataque de cifrado, amenazando con filtrar los datos robados si el objetivo se niega a pagar el rescate.
• Algoritmo de cifrado: Ragnar Locker utiliza el algoritmo de cifrado Salsa20 con una matriz personalizada, que se completa con claves generadas colocadas en un orden reorganizado.
• Extensiones de archivo aleatorias: Ragnar Locker aleatoriza las extensiones de archivo por usuario recuperando el valor del nombre de la computadora y pasándolo al siguiente código

¿Existe un descifrador gratuito disponible?

No.No existe ningún descifrador público conocido para el ransomware Ragnar Locker disponible en este momento.

¿Cuáles son los IOC del ransomware Ragnar Locker?

Los indicadores de compromiso (IOC) son artefactos observados en una red o en un sistema operativo que indican una intrusión informática con alta confianza. Los IOC se pueden utilizar para la detección temprana de futuros intentos de ataque utilizando sistemas de detección de intrusiones y software antivirus. Para determinar si su sistema informático o red ha sido infectado por el ransomware Ragnar Locker, puede buscar los siguientes signos:

• Archivos cifrados. Compruebe si sus archivos han sido cifrados y son inaccesibles. Ragnar Locker ransomware cifra archivos y les agrega extensiones de archivo específicas, haciéndolos inutilizables sin la clave de descifrado.
• Nota de rescate. Busque una nota de rescate dejada por los atacantes. Ragnar Locker normalmente deja una nota explicando la situación y brindando instrucciones sobre cómo pagar el rescate.
• Comportamiento inusual del sistema. Preste atención a cualquier comportamiento inusual de su computadora, como rendimiento lento, fallas frecuentes o mensajes emergentes inesperados.
• Actividad sospechosa en la red. Ragnar Locker a menudo explota servicios expuestos como el Protocolo de escritorio remoto (RDP) para obtener acceso al sistema. Supervise su red para detectar cualquier actividad sospechosa relacionada con RDP u otras conexiones de red inusuales.

Nota de rescate de Ragnar Locker

La nota de rescate asociada con el ransomware Ragnar Locker suele aparecer en la pantalla de la víctima después del proceso de cifrado. La nota puede incluir el nombre de la organización objetivo e indica que todos los archivos han sido cifrados y solo pueden descifrarse utilizando herramientas o claves específicas. Este es un ejemplo de la nota de rescate de Ragnar Locker:

Si se da cuenta de que es víctima de ransomware, ponerse en contacto con los expertos en eliminación de ransomware de SalvageData le proporcionará un servicio seguro de recuperación de datos y eliminación de ransomware después de un ataque.

¿Cómo se propaga el ransomware Ragnar Locker?

Ragnar Locker ransomware explota varias vulnerabilidades para infectar sistemas, que incluyen:

• Servicios expuestos: Ragnar Locker normalmente explota servicios expuestos como el Protocolo de escritorio remoto (RDP) para obtener acceso al sistema.
• Contraseñas débiles: Los atacantes pueden usar la fuerza bruta para adivinar contraseñas débiles o utilizar credenciales robadas para obtener acceso al sistema.
• Técnicas de evasión de defensa: Ragnar Locker utiliza técnicas avanzadas de evasión de defensa para evitar el software antivirus.

¿Cómo funciona el ransomware Ragnar Locker?

Ragnar Locker ransomware utiliza técnicas avanzadas de evasión de defensa para evitar el software antivirus. Ragnar Locker ransomware funciona siguiendo un proceso específico que le permite cifrar archivos y exigir un pago de rescate a la víctima para recuperar sus archivos. Aquí hay una descripción general de cómo funciona Ragnar Locker ransomware:

Explotación de servicios expuestos

Ragnar Locker normalmente explota servicios expuestos como el Protocolo de escritorio remoto (RDP) para obtener acceso al sistema.

Obtener acceso al sistema

Una vez que los atacantes obtienen acceso al sistema, intentan obtener mayores privilegios y moverse lateralmente por la red.

Robar archivos confidenciales

Los atacantes extraen datos confidenciales del sistema objetivo.

Desencadenando el ataque de cifrado

Después de robar los archivos confidenciales, los atacantes inician el proceso de cifrado, cifrando los archivos de la víctima y volviéndolos inaccesibles.

Mostrando la nota de rescate

Los atacantes muestran una nota de rescate en la pantalla de la víctima, explicando la situación y brindando instrucciones sobre cómo pagar el rescate.

Amenazan con filtrar los datos robados

En la táctica de doble extorsión, los atacantes amenazan con hacer públicos los datos robados si la víctima se niega a pagar el rescate.

¡No pagues el rescate!Se recomienda a las víctimas de los ataques de ransomware Ragnar Locker que informen del incidente a las autoridades y busquen la ayuda de un profesional de ciberseguridad acreditado.

Cómo manejar un ataque de ransomware Ragnar Locker

Importante:El primer paso después de identificar los IOC de Ragnar Locker es recurrir a su Plan de respuesta a incidentes (IRP). Idealmente, tiene un Retenedor de respuesta a incidentes (IRR) con un equipo confiable de profesionales con los que se puede contactar las 24 horas del día, los 7 días de la semana, los 365 días del año, y que pueden tomar medidas inmediatas que evitarán la pérdida de datos, reducirán o eliminarán el pago del rescate y lo ayudarán a superar cualquier responsabilidad legal. Según nuestro conocimiento, con la información que tenemos en el momento de publicar este artículo, el primer paso que tomaría un equipo de expertos en recuperación de ransomware es aislar la computadora infectada desconectándola de Internet y eliminando cualquier dispositivo conectado. dispositivo.

Al mismo tiempo, este equipo le ayudará a ponerse en contacto con las autoridades locales de su país. Para los residentes y empresas de EE. UU., es eloficina local del FBIy elCentro de denuncias de delitos en Internet (IC3). Para informar un ataque de ransomware, debe recopilar toda la información que pueda al respecto, incluida:

• Capturas de pantalla de la nota de rescate
• Comunicaciones con los actores del ransomware (si los tiene)
• Una muestra de un archivo cifrado

Sin embargo, si no tiene un IRP o TIR, aún puedepóngase en contacto con profesionales de eliminación y recuperación de ransomware. Este es el mejor curso de acción y aumenta en gran medida las posibilidades de eliminar con éxito el ransomware, restaurar los datos y prevenir futuros ataques. Te recomendamos quedejar cada máquina infectada como estáy llamar a unservicio de recuperación de ransomware de emergencia.Reiniciar o apagar el sistema puede comprometer el proceso de recuperación. Capturar la RAM de un sistema activo puede ayudar a obtener la clave de cifrado, y capturar un archivo dropper puede sufrir ingeniería inversa y conducir al descifrado de los datos o a la comprensión de cómo funciona.

Qué NO hacer para recuperarse de un ataque de ransomware Ragnar Locker

Usted debeno eliminar el ransomwarey conservar todas las pruebas del ataque. Eso es importante paraforense digitalpara que los expertos puedan rastrear hasta el grupo de piratas informáticos e identificarlos. Es utilizando los datos de su sistema infectado que las autoridades puedenInvestigar el ataque y encontrar al responsable.Una investigación de un ciberataque no se diferencia de cualquier otra investigación criminal: necesita pruebas para encontrar a los atacantes.

1. Contactar a su proveedor de respuesta a incidentes

Una respuesta a un incidente cibernético es el proceso de responder y gestionar un incidente de ciberseguridad. Un anticipo de respuesta a incidentes es un acuerdo de servicio con un proveedor de ciberseguridad que permite a las organizaciones obtener ayuda externa con incidentes de ciberseguridad. Proporciona a las organizaciones una forma estructurada de experiencia y soporte a través de un socio de seguridad, lo que les permite responder de manera rápida y efectiva durante un incidente cibernético. Un anticipo de respuesta a incidentes ofrece tranquilidad a las organizaciones, ofreciendo soporte experto antes y después de un incidente de ciberseguridad. La naturaleza y estructura específicas de un contrato de respuesta a incidentes variarán según el proveedor y los requisitos de la organización. Un buen contrato de respuesta a incidentes debe ser sólido pero flexible y brindar servicios probados para mejorar la postura de seguridad a largo plazo de una organización.Si se comunica con su proveedor de servicios de IR, él se encargará de todo lo demás.Sin embargo, si decide eliminar el ransomware y recuperar los archivos con su equipo de TI, puede seguir los siguientes pasos.

2. Identificar la infección ransomware

Puedeidentificar qué ransomwareinfectó su máquina por la extensión del archivo (algunos ransomware usan la extensión del archivo como nombre), o estará en la nota de rescate. Con esta información, puede buscar una clave de descifrado pública. También puede verificar el tipo de ransomware por sus IOC. Los indicadores de compromiso (IOC) son pistas digitales que los profesionales de la ciberseguridad utilizan para identificar compromisos del sistema y actividades maliciosas dentro de una red o entorno de TI. Son esencialmente versiones digitales de evidencia dejada en la escena del crimen, y los IOC potenciales incluyen tráfico de red inusual, inicios de sesión de usuarios privilegiados de países extranjeros, solicitudes DNS extrañas, cambios en los archivos del sistema y más. Cuando se detecta un COI, los equipos de seguridad evalúan posibles amenazas o validan su autenticidad. Los IOC también proporcionan evidencia de a qué tenía acceso un atacante si se infiltraba en la red.

3. Eliminar el ransomware y eliminar los kits de exploits

Antes de recuperar sus datos, debe garantizar que su dispositivo esté libre de ransomware y que los atacantes no puedan realizar un nuevo ataque a través de kits de exploits u otras vulnerabilidades. Un servicio de eliminación de ransomware puede eliminar el ransomware, crear un documento forense para investigación, eliminar vulnerabilidades y recuperar sus datos. Utilice software antimalware/antiransomware para poner en cuarentena y eliminar el software malicioso.

Importante:Al ponerse en contacto con los servicios de eliminación de ransomware, puede asegurarse de que su máquina y su red no tengan rastros del ransomware Ragnar Locker. Además, estos servicios pueden parchear su sistema, evitando nuevos ataques de ransomware.

4. Utilice una copia de seguridad para restaurar los datos.

Las copias de seguridad son la forma más eficiente de recuperar datos. Asegúrese de realizar copias de seguridad diarias o semanales, según su uso de datos.

5. Póngase en contacto con un servicio de recuperación de ransomware

Si no tiene una copia de seguridad o necesita ayuda para eliminar el ransomware y eliminar las vulnerabilidades, comuníquese con un servicio de recuperación de datos. Pagar el rescate no garantiza que se le devolverán sus datos. La única forma garantizada de restaurar cada archivo es si tiene una copia de seguridad del mismo. Si no lo hace, los servicios de recuperación de datos de ransomware pueden ayudarlo a descifrar y recuperar los archivos. Los expertos de SalvageData pueden restaurar sus archivos de manera segura y evitar que Ragnar Locker ransomware ataque su red nuevamente. Comuníquese con nuestros expertos las 24 horas, los 7 días de la semana para obtener un servicio de recuperación de emergencia.

Prevenir un ataque de ransomware

Prevenir el ransomware es la mejor solución para la seguridad de los datos. es más fácil y económico que recuperarse de ellos. El ransomware Ragnar Locker puede costarle el futuro a su empresa e incluso cerrarle las puertas. Estos son algunos consejos para asegurarse de que puedaevitar ataques de ransomware:

• Instale software antivirus y antimalware.
• Emplear soluciones confiables de ciberseguridad.
• Utilice contraseñas fuertes y seguras.
• Mantener el software y los sistemas operativos actualizados.
• Implemente firewalls para mayor protección.
• Crea un plan de recuperación de datos.
• Programe copias de seguridad periódicamente para salvaguardar sus datos.
• Tenga cuidado con los archivos adjuntos de correo electrónico y las descargas de fuentes desconocidas o sospechosas.
• Verifique la seguridad de los anuncios antes de hacer clic en ellos.
• Acceda a sitios web únicamente de fuentes confiables.