ESPEJO ransomware

Tras analizar exhaustivamente las posibles amenazas de malware, los investigadores identificaron de manera concluyente a MIRROR como una variante de ransomware. El objetivo principal de la amenaza MIRROR es cifrar archivos presentes en dispositivos comprometidos. Además, cambia el nombre de los archivos y emite dos notas de rescate: una en forma de ventana emergente y la otra como un archivo de texto llamado "info-MIRROR.txt".

MIRROR Ransomware emplea una convención de nomenclatura específica para los archivos que cifra, añadiendo el ID de la víctima, la dirección de correo electrónico 'tpyrcedrorrim@tuta.io' y la extensión '.Mr'. Por ejemplo, transforma '1.pdf' en '1.pdf.id-9ECFA74E.[tpyrcedrorrim@tuta.io].Mr,' y '2.png' se convierte en '2.png.id-9ECFA74E.[tpyrcedrorrim@ tuta.io].Señor,' y así sucesivamente. Esta amenaza en particular ha sido categorizada como una variante dentro de la familia Dharma Ransomware .

MIRROR Ransomware va más allá del cifrado de archivos

Además de cifrar archivos, MIRROR emplea medidas estratégicas para comprometer aún más la seguridad del sistema objetivo. Una de esas tácticas implica desactivar el firewall, aumentando así la vulnerabilidad del sistema a las actividades maliciosas orquestadas por el ransomware. Además, MIRROR toma acciones deliberadas para borrar las instantáneas de volumen, eliminando de manera efectiva posibles puntos de restauración y obstaculizando los esfuerzos de recuperación.

MIRROR aprovecha las vulnerabilidades dentro de los servicios del Protocolo de escritorio remoto (RDP) como principal vector de infección. Por lo general, esto implica explotar credenciales de cuentas débiles mediante métodos como fuerza bruta y ataques de diccionario. Al aprovechar estas técnicas, el ransomware obtiene acceso no autorizado a los sistemas, en particular a aquellos cuya seguridad de cuenta no se gestiona adecuadamente.

Además, MIRROR exhibe la capacidad de extraer datos de ubicación, lo que le permite discernir el contexto geográfico de los sistemas infectados. En particular, posee la capacidad de excluir ubicaciones predeterminadas de su alcance de extracción de datos. Además, MIRROR incorpora mecanismos de persistencia, lo que garantiza que pueda mantener un punto de apoyo dentro del sistema comprometido durante un período prolongado.

Las víctimas del ransomware MIRROR son extorsionadas por dinero

La nota de rescate de MIRROR Ransomware sirve como una comunicación de los atacantes a la víctima, indicando explícitamente que todos los archivos de la víctima se han cifrado. Describe una posible vía para la restauración de archivos, indicando a la víctima que inicie el contacto a través de una dirección de correo electrónico específica (tpyrcedrorrim@tuta.io) y proporcionando un identificador único.

Como medio de comunicación alternativo, la nota también proporciona otra dirección de correo electrónico (mirrorrorrim@cock.li). En particular, la nota desaconseja enérgicamente el uso de intermediarios para la comunicación, citando riesgos potenciales como cobros excesivos, débitos injustificados y rechazo de transacciones. Los atacantes afirman su capacidad para proporcionar servicios de recuperación de datos cifrados y ofrecen garantías, incluida una demostración de recuperación que involucra hasta tres archivos para demostrar su competencia.

Además, la nota de rescate emite una advertencia a la víctima, advirtiendo explícitamente que no cambie el nombre de los archivos cifrados. También advierte contra los intentos de descifrado mediante software de terceros, enfatizando las posibles consecuencias de la pérdida permanente de datos o la susceptibilidad a estafas. La intención es guiar a la víctima sobre el curso de acción más seguro para maximizar las posibilidades de recuperación exitosa de archivos y minimizar los riesgos potenciales.

Tome medidas para fortalecer sus dispositivos contra infecciones de ransomware

El ransomware representa una amenaza importante para la seguridad de los dispositivos digitales, con posibles consecuencias que van desde la pérdida de datos hasta la extorsión financiera. La implementación de medidas proactivas es crucial para fortalecer los dispositivos contra este tipo de infecciones. Aquí hay cinco pasos efectivos que los usuarios pueden tomar:

• Actualice periódicamente los sistemas operativos y el software : mantener los sistemas operativos y el software actualizados es vital, ya que las actualizaciones a menudo incluyen parches de seguridad que abordan las vulnerabilidades. Busque y aplique actualizaciones periódicamente para reducir el riesgo de que el ransomware aproveche las debilidades conocidas.
• Instalar y mantener software de seguridad : el uso de software de seguridad confiable brinda una capa adicional de defensa contra el ransomware. Asegúrese de que el programa antimalware se actualice periódicamente y realice análisis programados para detectar y eliminar amenazas potenciales antes de que puedan comprometer su dispositivo.
• Tenga cuidado con los archivos adjuntos y enlaces de correo electrónico : el ransomware a menudo se infiltra en los sistemas a través de correos electrónicos de phishing que contienen archivos adjuntos o enlaces maliciosos. Tenga mucho cuidado al abrir correos electrónicos de remitentes desconocidos, trate de no hacer clic en enlaces sospechosos y absténgase de descargar archivos adjuntos a menos que se verifique su legitimidad.
• Realice copias de seguridad de los datos con regularidad : la creación de copias de seguridad periódicas de los datos esenciales es una medida preventiva fundamental. En un ataque de ransomware, las copias de seguridad recientes permiten a los usuarios restaurar sus archivos sin sucumbir a la extorsión. Almacene copias de seguridad en un dispositivo externo o en un servicio seguro en la nube.
• Implementar medidas de seguridad de la red : fortalecer la seguridad de la red puede frustrar los ataques de ransomware. Utilice firewalls y sistemas de detección/prevención de intrusiones, emplee contraseñas únicas y seguras para todos los dispositivos y cuentas, y considere segmentar las redes para limitar el impacto potencial de una infección en todo el sistema.

Al adoptar estas medidas, los usuarios pueden mejorar significativamente la resistencia de sus dispositivos contra el ransomware, salvaguardando sus datos valiosos y manteniendo la integridad de su entorno digital.

El texto completo de la nota de rescate principal dejada por MIRROR Ransomware es:

'MIRROR
All your files have been encrypted!
Don't worry, you can return all your files!
If you want to restore them, write to the mail: tpyrcedrorrim@tuta.io YOUR ID 9ECFA84E
If you have not answered by mail within 12 hours, write to us by another mail:mirrorrorrim@cock.li
We strongly recommend that you do not use the services of intermediaries and first check the prices and conditions directly with us.The use of intermediaries may involve risks such as:
-Overcharging: Intermediaries may charge inflated prices, resulting in improper additional costs to you.
-Unjustified debit: There is a risk that your money may be stolen by intermediaries for personal use and they may claim that we did it.
-Rejection of the transaction and termination of communication: Intermediaries may refuse to cooperate for personal reasons, which may result in termination of communication and make it difficult to resolve issues.
We understand that data loss can be a critical issue, and we are proud to provide you with encrypted data recovery services. We strive to provide you with the highest level of confidence in our abilities and offer the following guarantees:
---Recovery demo: We provide the ability to decrypt up to three files up to 5 MB in size on a demo basis.
Please note that these files should not contain important and critical data.
Demo recovery is intended to demonstrate our skills and capabilities.
---Guaranteed Quality: We promise that when we undertake your data recovery, we will work with the utmost professionalism and attention to detail to ensure the best possible results.
We use advanced technology and techniques to maximize the likelihood of a successful recovery.
---Transparent communication: Our team is always available to answer your questions and provide you with up-to-date information about the data recovery process.
We appreciate your participation and feedback.
Attention!
Do not rename encrypted files.
Do not try to decrypt your data using third party software, it may cause permanent data loss.
Decryption of your files with the help of third parties may cause increased price (they add their fee to our) or you can become a victim of a scam.'

El archivo de texto arrojado por MIRROR Ransomware contiene el siguiente mensaje:

'Todos tus datos nos han sido bloqueados.

¿Quieres volver?

escriba el correo electrónico tpyrcedrorrim@tuta.io o mirrorrorrim@cock.li'