Edición de «CryptoLocker»

{{Ficha de software
|tipo           = [[Criptovirus]]
|subtipo        =   Secuestro de información
}}
'''CryptoLocker''' es un ''[[ransomware]]'' tipo [[Gusano informático|Gusano]] dirigido a computadoras con el sistema operativo [[Microsoft Windows|Windows]] que se extendió a finales de 2013. CryptoLocker se distribuye de varias formas, una de ellas como archivo adjunto de un [[correo electrónico]] y otra, accediendo a través del puerto remoto 3389. Una vez activado, el ''malware'' cifra ciertos tipos de archivos almacenados en discos locales y en unidades de red usando [[Criptografía asimétrica|criptografía de clave pública]] [[RSA]], guardándose la clave privada en los servidores del ''malware''. Realizado el cifrado, muestra un mensaje en pantalla, en el cual ofrece descifrar los archivos afectados, si se realiza un pago antes de una fecha límite (a través de ''[[bitcoin]]s'' o con vales prepago), y menciona que la clave privada será destruida del servidor y que será imposible recuperarla si la fecha límite expira. Si esto ocurre, el ''malware'' ofrece la posibilidad de descifrar los datos a través de un servicio en línea provisto por los operadores del ''malware'', con un precio, en bitcoins, mucho más alto. A pesar de que el ''malware'' es fácilmente eliminado, los archivos permanecen cifrados, cuya clave privada se considera casi imposible de descifrar.

El creador de CryptoLocker fue un ruso de 31 años, Evgeniy Bogachev, por el cual el [[FBI]] ofrecía una recompensa de tres millones de [[Dólar estadounidense|dólares]] por cualquier pista sobre su paradero.

== Modo de operación ==
El virus CryptoLocker se propaga principalmente como un archivo adjunto desde un correo electrónico aparentemente inofensivo, simulando ser un correo de una compañía legítima; o bien se descarga en una computadora infectada con un virus troyano anterior, conectada a un [[botnet]].<ref name=securityweek131119>[http://www.securityweek.com/cryptolocker-infections-rise-us-cert-issues-warning Security Week: Cryptolocker Infections on the Rise; US-CERT Issues Warning, 19 November 2013]</ref> Un [[Formato de compresión ZIP|archivo ZIP]] adjuntado al correo contiene un archivo [[ejecutable]], con un ícono y tipo de archivo que lo hacen [https://www.bitgpt.app trading economics] un [[PDF|archivo PDF]], aprovechando el uso por defecto de Windows de ocultar la [[Extensión de archivo|extensión]] de los archivos, que permite ocultar la extensión verdadera, .EXE. En algunos casos, este archivo puede contener al troyano [[Zeus (malware)|Zeus]], que a su vez instala el CryptoLocker.<ref name=details/><ref name=cw-cryptolocker>{{cita web|título=Cryptolocker: How to avoid getting infected and what to do if you are|url=http://www.computerworld.com/s/article/9243537/Cryptolocker_How_to_avoid_getting_infected_and_what_to_do_if_you_are_|obra=Computerworld|fechaacceso=25 de octubre de 2013}}</ref><ref>[https://www.youtube.com/watch?v=o2l-zFakKfk Eliminar y recuperar los fichero por el virus CryptoLocker'' en You Tube.]</ref>

Cuando se ejecuta por primera vez, una parte suya se instala en la carpeta Documentos, con un nombre aleatorio, y luego, agrega una clave en el [[Registro de Windows|registro]] que hace que se ejecute al encenderse la computadora. Luego, intenta conectarse con uno de los servidores de control designados; una vez conectada, genera un par de claves RSA de 2048-bits, y envía la clave pública a la computadora infectada.<ref name=details>{{cita web|apellido=Abrams|nombre=Lawrence|título=CryptoLocker Ransomware Information Guide and FAQ|url=http://www.bleepingcomputer.com/virus-removal/cryptolocker-ransomware-information|obra=[[Bleeping Computer]]|fechaacceso=25 de octubre de 2013}}</ref><ref name=ars-cryptolocker>{{cita web|título=You’re infected—if you want to see your data again, pay us $300 in Bitcoins|url=http://arstechnica.com/security/2013/10/youre-infected-if-you-want-to-see-your-data-again-pay-us-300-in-bitcoins/|obra=Ars Technica|fechaacceso=23 de octubre de 2013}}</ref> Debido a que el servidor designado puede ser un proxy local, que luego puede ser derivado a otros (a menudo en otros países), es difícil rastrearlo.<ref name=sophos-cryptolocker>{{cita web|título=Destructive malware "CryptoLocker" on the loose - here's what to do|url=http://nakedsecurity.sophos.com/2013/10/12/destructive-malware-cryptolocker-on-the-loose/|obra=Naked Security|editorial=Sophos|fechaacceso=23 de octubre de 2013}}</ref><ref name=guardian-cryptolocker>{{cita web|título=CryptoLocker attacks that hold your computer to ransom|url=http://www.theguardian.com/money/2013/oct/19/cryptolocker-attacks-computer-ransomeware|obra=The Guardian|fechaacceso=23 de octubre de 2013}}</ref>

Finalizada su instalación, el ''malware'' comienza el proceso de cifrado de los archivos en discos locales, y en unidades de redes usando la clave pública, y registra cada archivo cifrado en el registro de Windows. Solamente cifra archivos con ciertas extensiones, las cuales incluyen ficheros de [[Microsoft Office]], [[OpenDocument]], archivos de [[AutoCAD]], imágenes y otros documentos.<ref name=cw-cryptolocker/> Finalizada el cifrado de archivos, el ''malware'' muestra un mensaje en pantalla informando que se han cifrado archivos, y exige el pago de 300 [[Dólar americano|dólares americanos]] o [[euro]]s a través de un vale prepago anónimo (por ejemplo, los de [[MoneyPak]] o [[Ukash]]) o de 0,5 bitcoins, para descifrar los archivos. El pago debe ser realizado dentro de 72 o 100 horas, caso contrario, la clave privada en el servidor será destruida, y «nunca nadie será capaz de recuperar los archivos».<ref name=details/><ref name=ars-cryptolocker/> Si el pago es realizado, el usuario puede descargar el programa de descifrado, que viene precargada la clave privada del usuario.<ref name=details/> [[NortonLifeLock|Symantec]] estimó que el 3% de sus usuarios infectados con CryptoLocker decidieron pagar.<ref name=guardian-cryptolocker/> Algunos usuarios infectados que han pagado reclamaron que sus archivos no fueron descifrados.<ref name=securityweek131119/>

En noviembre de 2013, los operadores de CryptoLocker lanzaron un servicio en línea que dice que permite a los usuarios descifrar sus archivos sin usar el programa ofrecido por CryptoLocker, y que también permite comprar la clave privada de descifrado después de haber expirado la fecha límite. El proceso consiste en subir un archivo cifrado al sitio como muestra, y esperar a que el servicio encuentre una coincidencia en sus registros, el cual menciona que ocurre en 24 horas. Si encuentra una coincidencia, el sitio ofrece la posibilidad de realizar el pago desde el sitio web; si la fecha límite ya expiró, el costo se incrementa a 10 Bitcoin (un precio estimado de US$ 90000).<ref name=nw-cryptolockersecondchance>{{cita web|título=CryptoLocker crooks charge 10 Bitcoins for second-chance decryption service|url=http://www.networkworld.com/community/node/84174|obra=NetworkWorld|fechaacceso=5 de noviembre de 2013|fechaarchivo=5 de noviembre de 2013|urlarchivo=https://web.archive.org/web/20131105175934/http://www.networkworld.com/community/node/84174|deadurl=yes}}</ref><ref name=pcw-moremoney>{{cita web|título=CryptoLocker creators try to extort even more money from victims with new service|url=http://www.pcworld.com/article/2060640/cryptolocker-creators-try-to-extort-even-more-money-from-victims-with-new-service.html|obra=PC World|fechaacceso=5 de noviembre de 2013}}</ref>

== Mitigación ==
A pesar de que los programas [[antivirus]] están diseñados para detectar tales amenazas, estos quizá no podrían detectar al CryptoLocker, o tal vez lo hagan cuando está cifrando archivos, o incluso cuando ya lo finalizó. Esto normalmente sucede cuando se distribuye una versión nueva del malware (un [[ataque de día cero]]).<ref>[https://web.archive.org/web/20131202232123/http://www.yumasun.com/articles/windows-90682-yuma-cryptolocker.html The Yuma Sun, on a CryptoLocker attack]: "... was able to go undetected by the antivirus software used by the Yuma Sun because it was Zero-day malware"</ref> Como el proceso de cifrado tarda un tiempo, si el [[malware]] es eliminado tempranamente, limitaría su daño.<ref name=register/><ref name=malwarebytes>{{cita web|url=http://blog.malwarebytes.org/intelligence/2013/10/CryptoLocker-ransomware-what-you-need-to-know/|título=Cryptolocker Ransomware: What You Need To Know|fechaacceso=19 de octubre de 2013|apellido=Cannell|nombre=Joshua|obra=Malwarebytes Unpacked|fechaarchivo=14 de marzo de 2016|urlarchivo=https://web.archive.org/web/20160314184323/https://blog.malwarebytes.org/intelligence/2013/10/CryptoLocker-ransomware-what-you-need-to-know/|deadurl=yes}}</ref> Algunos expertos sugieren tomar ciertas medidas preventivas, como usar aplicaciones que no permitan la ejecución del código de CryptoLocker.<ref name=details/><ref name=cw-cryptolocker/><ref name=ars-cryptolocker/><ref name=guardian-cryptolocker/><ref name=register>{{cita web|url=http://www.theregister.co.uk/2013/10/18/cryptolocker_ransmware|título=Fiendish CryptoLocker ransomware: Whatever you do, don't PAY|fechaacceso=18 de octubre de 2013|apellido=Leyden|nombre=Josh|obra=The Register}}</ref>

CryptoLocker también intenta borrar las [[Copia de seguridad|copias de seguridad]] de Windows antes de cifrar los archivos. Debido a la longitud de la clave usada por el malware, se la considera casi imposible de obtenerla usando un [[ataque de fuerza bruta]] sin realizar el pago; un método similar utilizado por el [[Gusano informático|gusano]] Gpcode.AK, el cual usaba una clave de 1024-bits, creída en aquel entonces computacionalmente imposible de romper sin usar  [[computación distribuida]], o bien descubriendo una forma de romper el cifrado.<ref name=securityweek131119/><ref name=details/><ref name=pcw-moremoney/><ref name="zdnet-2">{{cita web|url=http://blogs.zdnet.com/security/?p=1251|título=Blackmail ransomware returns with 1024-bit encryption key|fechaacceso=25 de octubre de 2013|apellido=Naraine|nombre=Ryan|fecha=6 de junio de 2008|obra=[[ZDnet]]|urlarchivo=https://web.archive.org/web/20080803000014/http://blogs.zdnet.com/security/?p=1251|fechaarchivo=3 de agosto de 2008}}</ref><ref name="securityfocus">{{cita web|url=http://www.securityfocus.com/news/11523|título=Ransomware resisting crypto cracking efforts|fechaacceso=25 de octubre de 2013|apellido=Lemos|nombre=Robert|fecha=13 de junio de 2008|obra=[[SecurityFocus]]}}</ref>

Actualmente el certsi posee un servicio gratuito de recuperación: https://www.certsi.es/
A finales de octubre de 2013, la empresa en seguridad informática [[Kaspersky Lab]] anunció la creación de un DNS sinkhole, que permite bloquear los dominios usados por CryptoLocker.<ref name=securelist-cl>{{cita web|url=http://www.securelist.com/en/blog/208214109/Cryptolocker_Wants_Your_Money|título=Cryptolocker Wants Your Money!|fechaacceso=30 de octubre de 2013|obra=SecureList|editorial=Kapersky|urlarchivo=https://web.archive.org/web/20131029235223/http://www.securelist.com/en/blog/208214109/Cryptolocker_Wants_Your_Money|fechaarchivo=29 de octubre de 2013}}</ref>

== Referencias ==
{{listaref}}

== Enlaces externos ==
{{traducido ref|en|CryptoLocker}}
* {{cita web|título=Threat Outbreak Alert: Email Messages Distributing Malicious Software on October 11, 2013|url=http://tools.cisco.com/security/center/viewThreatOutbreakAlert.x?alertId=31226|obra=[[Cisco Systems]]|fechaacceso=30 de octubre de 2013|fecha=14 de octubre de 2013}}
* {{cita web|título=Un vitoriano denuncia, por primera vez en España, ser víctima del peligroso virus 'cryptolocke'|url=http://www.elcorreo.com/bizkaia/tecnologia/201410/29/vitoriano-denuncia-primera-espana-20141029095613.html|obra=[[El Correo]]|fechaacceso=29 de octubre de 2014|fecha=29 de octubre de 2014}}
Recuperación datos >https://www.youtube.com/watch?v=o2l-zFakKfk

{{Control de autoridades}}

[[Categoría:Ataques criptográficos]]
[[Categoría:Ransomware]]