WantToCry Ransomware abusa de los servicios de SMB para cifrar archivos de forma remota

Una variante de ransomware llamada WantToCry se ha dirigido a empresas al abusar del protocolo SMB de compartición de archivos ampliamente utilizado para cifrar archivos sin desplegar malware en el sistema de la víctima. Los ataques marcan un cambio notable en la forma en que los operadores de ransomware abordan las campañas y sirven como advertencia para cualquier organización que todavía tenga servicios de compartición de archivos expuestos a la Internet abierta.

WantToCry toma su nombre de WannaCry, el devastador gusano ransomware que arrasó las redes globales en 2017 al explotar una falla en el protocolo Server Message Block (SMB). La superficie de ataque se reduce significativamente porque WantToCry opera sin ejecución local de malware, sin actividad posterior al compromiso más allá de extraer archivos y reescribirlos en el disco. No se ejecuta ningún malware en la máquina de la víctima ni se instala software sospechoso.

WantToCry Ransomware abusa de servicios SMB. Los operadores de WantToCry comienzan escaneando la Internet expuesta en busca de sistemas con puertos SMB abiertos.

Want_To_Cry.txt Nota de rescate colocada en los directorios afectados en los sistemas de la víctima
Archivo Extension.want_to_cry Extensión agregada a todos los archivos cifrados por el ransomware WantToCry
URL hxxps://t[.]me/want_to_cry_team Canal de contacto de Telegram listado en una variante de la nota de rescate WantToCry
Nombre del host WIN-J9D866ESJ2 Máquina virtual Windows Server 2016 utilizada en la infraestructura de ataque WantToCry
Nombre del host WIN-LVFRVQFMKO Máquina virtual Windows Server 2019 observada en la infraestructura de ataque WantToCry

Nota: Las direcciones IP y los dominios se han desactivado intencionalmente.

Consultar publicación original ↗