FIND Ransomware

Proteger sus dispositivos del malware se ha convertido en una necesidad, no en una opción. Los ciberdelincuentes siguen perfeccionando sus tácticas, creando variantes de ransomware cada vez más complejas, diseñadas para explotar incluso las vulnerabilidades de seguridad más pequeñas. FIND Ransomware, una variante recientemente descubierta de la conocida familia Dharma, ejemplifica la sofisticación y la persistencia de las operaciones de ransomware modernas.

Dentro del ataque del ransomware FIND

El ransomware FIND opera con la misma eficiencia despiadada que ha convertido a Dharma en una de las familias de ransomware más activas. Tras su ejecución, el malware comienza a cifrar los archivos de la víctima, haciéndolos inaccesibles. En el proceso, renombra cada archivo añadiendo el ID único de la víctima, una dirección de correo electrónico controlada por el atacante y la extensión ".FIND"; por ejemplo, renombra "1.png" a "1.png.id-9ECFA84E.[findourtxt@tuta.io"
].FIND.' Otra variante observada de esta amenaza utiliza la extensión '. FIND5' en su lugar.

Tras el cifrado, el ransomware envía sus solicitudes a través de dos canales: un mensaje emergente y una nota de rescate titulada "info.txt". La nota informa a las víctimas de que sus archivos han sido cifrados y les indica que se pongan en contacto con los atacantes a través de una de dos direcciones de correo electrónico: "findourtxt@tuta.io" o "findourtxt@mailum.com", utilizando su ID asignado.

La nota de rescate también afirma que algunos datos de la víctima han sido exfiltrados y advierte que, de no cumplir con esta norma, la información robada se venderá o compartirá con terceros. También desaconseja a las víctimas cambiar el nombre de los archivos o intentar descifrar datos con herramientas de terceros, alegando que tales acciones podrían provocar la pérdida permanente de datos o mayores exigencias de rescate.

Cómo funciona el ransomware FIND

Al igual que otras variantes de Dharma, el ransomware FIND sigue un proceso de infección de varios pasos diseñado para maximizar el impacto y la persistencia. Una vez activo en un sistema, el malware cifra archivos en unidades locales y de red, atacando una amplia gama de tipos de datos e incluso eliminando instantáneas de volumen para evitar una recuperación fácil.

También altera la configuración del sistema desactivando el Firewall de Windows, estableciendo persistencia al colocar copias de sí mismo en el directorio %LOCALAPPDATA% y añadiendo entradas en las claves de registro de ejecución. Además, algunas variantes basadas en Dharma recopilan datos de ubicación y pueden excluir carpetas o unidades del sistema específicas del cifrado, probablemente por razones operativas o estratégicas.

Vectores de infección y canales de distribución

El ransomware FIND, al igual que sus predecesores, se propaga mediante una combinación de métodos engañosos y oportunistas. Los ciberdelincuentes emplean campañas de phishing, archivos adjuntos maliciosos y enlaces fraudulentos incrustados en correos electrónicos para engañar a los usuarios y que inicien la infección. Otros métodos de distribución comunes incluyen:

1. Descargas automáticas desde sitios web comprometidos o maliciosos.
2. Instalación mediante software pirateado, actualizaciones falsas o aplicaciones pirateadas.
3. Explotación de vulnerabilidades de software sin parches y configuraciones débiles del Protocolo de Escritorio Remoto (RDP).
4. Anuncios maliciosos, redes P2P y unidades extraíbles (USB) infectadas.

Una vez instalado, FIND encripta datos críticos y exige un pago, a menudo en criptomonedas, para proporcionar una clave de descifrado, aunque no hay garantía de que el pago conduzca a una recuperación exitosa.

Mejores prácticas de seguridad para mantenerse protegido

La defensa contra ransomware como FIND requiere un enfoque proactivo y multinivel. Los usuarios y las organizaciones pueden reducir significativamente el riesgo de infección implementando las siguientes prácticas esenciales:

1. Fortalecer la seguridad de los dispositivos y la red :

• Actualice periódicamente los sistemas operativos, navegadores y software para corregir las vulnerabilidades conocidas.
• Configure firewalls y herramientas antivirus para detectar y bloquear actividades sospechosas.
• Deshabilite el acceso RDP si no es necesario o restrinjalo mediante contraseñas seguras, autenticación multifactor y listas blancas de IP.

2. Practique hábitos seguros de navegación y correo electrónico :

• Evite abrir archivos adjuntos no solicitados o hacer clic en enlaces de remitentes desconocidos.
• Descargue software sólo de fuentes confiables y evite torrents o programas pirateados.
• Tenga cuidado al responder a mensajes inesperados de “alerta urgente” o de “alerta de seguridad”.

3. Mantenga copias de seguridad confiables :

• Mantenga copias de seguridad fuera de línea o en la nube de los datos esenciales.

• Asegúrese de que los dispositivos de respaldo se desconecten después de su uso para evitar el cifrado durante un ataque.

4. Educar y preparar :

• Capacite a todos los usuarios sobre cómo identificar intentos de phishing y comportamientos maliciosos.
• Desarrollar un plan de respuesta a incidentes que describa pasos claros para aislar los sistemas infectados y restaurar las operaciones.

Reflexiones finales

El ransomware FIND representa una nueva evolución en la persistente y destructiva familia Dharma. Al cifrar datos valiosos, manipular la configuración de seguridad y usar la presión psicológica mediante notas de rescate, este malware representa una grave amenaza tanto para individuos como para organizaciones.

Mantener una sólida higiene de ciberseguridad, permanecer alerta ante actividades sospechosas en línea y realizar copias de seguridad de datos periódicamente siguen siendo las defensas más eficaces contra estas amenazas de ransomware.