Análisis Forense Digital archivos

“Bad Rabbit” es el nombre de un nuevo malware de tipo ransomware aparecido en los últimos días (las primeras noticias son del 24 de octubre). Según The Hacker News este malware fue detectado inicialmente en Rusia y en las horas siguientes parece que se extendió por Ucrania, Turquía y Alemania.

“Bad Rabbit” no usa exploits, si no que infecta a los equipos mediante el método de “drive-by“, es decir, es el propio usuario quién descarga y ejecuta el archivo instalador del malware. En esta ocasión, cuando el usuario visita una página web infectada, un falso aviso solicita instalar Adobe Flash Player, en cuanto el usuario pulsa “Aceptar” en realidad se descarga e instala el ejecutable del malware. Según Kaspersky, la mayoría de sitios web comprometidos corresponden a páginas de prensa o medios rusos.

Se trata de un ransomware, por lo tanto cifra los archivos del equipo y solicita el pago de un rescate (ransom) para obtener la clave de descifrando. La cantidad solicitada es de 0,05 bitcoin (unos 235 euros).

Del análisis técnico realizado por Kaspersky en Securelist se desprende lo siguiente:

el dropper se distribuye desde hxxp://1dnscontrol[.]com/flash_install.php
el ejecutable descargado es install_flash_player.exe
utiliza DiskCryptor para cifrar los archivos
los archivos C:\Windows\infpub.dat y C:\Windows\cscc.dat son los que cifran los datos de la víctima (el primero de ellos instala el ejecutable dispci.exe).

Según Microsoft, este ransomware busca y cifra los archivos con las siguientes extensiones:
.3ds, .7z, .accdb, .ai, .asm, .asp, .aspx, .avhd, .back, .bak, .bmp, .brw, .c, .cab, .cc, .cer, .cfg, .conf, .cpp, .crt, .cs, .ctl, .cxx, .dbf, .der, .dib, .disk, .djvu, .doc, .docx, .dwg, .eml, .fdb, .gz, .h, .hdd, .hpp, .hxx, .iso, .java, .jfif, .jpe, .jpeg, .jpg, .js, .kdbx, .key, .mail, .mdb, .msg, .nrg, .odc, .odf, .odg, .odi, .odm, .odp, .ods, .odt, .ora, .ost, .ova, .ovf, .p12, .p7b, .p7c, .pdf, .pem, .pfx, .php, .pmf, .png, .ppt, .pptx, .ps1, .pst, .pvi, .py, .pyc, .pyw, .qcow, .qcow2, .rar, .rb, .rtf, .scm, .sln, .sql, .tar, .tib, .tif, .tiff, .vb, .vbox, .vbs, .vcb, .vdi, .vfd, .vhd, .vhdx, .vmc, .vmdk, .vmsd, .vmtm, .vmx, .vsdx, .vsv, .work, .xls, .xlsx, .xml, .xvd, .zip

Captura de pantalla de la dirección .onion donde solicita el rescate

No hace mucho un usuario me llamó diciendo que se le había borrado todo lo que tenía en el disco duro del PC. Según él, desde hacía unos días, tenía problemas al poner en marcha el PC y tenía que intentarlo varias veces hasta que conseguía arrancar bien ya que el equipo “decía no-se-qué del disco duro” (sic). Transcurridos unos días, en el último de estos intentos el equipo arrancó “con el Windows vacío” (sic).

Al analizar el equipo observo que, efectivamente, no hay datos, ya que el equipo arranca con la configuración de fábrica: solicita confirmar la configuración de Windows, no hay ningún usuario creado, no hay ni rastro de los programas que había instalado el usuario, etc. Todo parece indicar que se ha hecho un System Recovery para devolver el equipo a su estado original de fábrica.

C.A.IN.E

Se trata de un Windows 7 y para intentar averiguar lo sucedido pongo en marcha el equipo con un CD de autoarranque de la herramienta forense C.A.IN.E. (http://www.caine-live.net). Monto el disco duro del equipo como “solo lectura” (para no modificar nada de su contenido) y al acceder al árbol de directorios compruebo que los archivos de sistema de Windows tienen fecha y hora de unos instantes antes de recibir la llamada del usuario; que la carpeta “Archivos de Programa” está “limpia” (solo contiene los programas que vienen preinstalados en el sistema); que en la carpeta “Users” solo aparece el usuario por defecto, lo que parece confirmar mi sospecha de que en uno de los intentos de arranque del equipo, el usuario -de forma involuntaria- activó el proceso de “Restaurar el sistema a su estado de fábrica”.

Puesto que podemos dar el disco duro por perdido (ya manifestaba problemas de hardware antes de la incidencia) y puesto que los del Servicio Técnico ya ha montado un nuevo PC para el usuario, vamos a ver si podemos recuperar archivos borrados del disco después de un System Recovery.

Veamos los pasos a seguir:

[Read more…]

Bad Rabbit

Recuperando archivos borrados

Joan Figueras Tugas