Ransomware Amigos

Proteger los dispositivos contra el malware es más importante que nunca, ya que las amenazas cibernéticas modernas pueden cifrar datos valiosos, interrumpir las operaciones comerciales y exponer información confidencial. El ransomware, en particular, sigue siendo una de las formas más dañinas de malware, pues combina el cifrado de datos con tácticas de extorsión diseñadas para presionar a las víctimas a pagar grandes sumas de dinero. Un ejemplo notable es Friends Ransomware, una amenaza sofisticada que ataca una amplia gama de tipos de archivos y, además, aprovecha el robo de datos para aumentar la probabilidad de pago.

Ransomware Friends: una amenaza cibernética de doble extorsión

El ransomware Friends es un programa malicioso descubierto por investigadores de ciberseguridad que cifra archivos en sistemas comprometidos y exige un rescate a cambio de la clave de descifrado. Además del cifrado de archivos, los responsables de esta amenaza afirman robar información confidencial de las víctimas antes de bloquear sus datos. Esta táctica, conocida como doble extorsión, permite a los atacantes amenazar tanto con la pérdida de datos como con la divulgación pública de información sensible.

Una vez ejecutado en un sistema, el ransomware Friends busca numerosos tipos de archivos y los cifra. Durante este proceso, añade la extensión «.friends124» a los archivos afectados. Por ejemplo, un archivo llamado «1.png» se transforma en «1.png.friends124», mientras que «2.pdf» se convierte en «2.pdf.friends124». Esta extensión indica claramente que los archivos han sido procesados por el malware y ya no son accesibles por medios normales.

Proceso de cifrado y demandas de rescate

Tras completar el proceso de cifrado, el ransomware crea un archivo llamado «RANSOM_NOTE.html» con instrucciones para la víctima. La nota informa a los usuarios de que sus archivos han sido cifrados y proporciona información de contacto para iniciar las negociaciones del rescate. Se indica a las víctimas que se comuniquen con los atacantes a través de las direcciones de correo electrónico «recovery1@salamati.vip» y «recovery1@amniyat.xyz». También se menciona un método de contacto alternativo a través de la red Tor.

La nota de rescate afirma que se han recopilado y almacenado datos confidenciales y personales en un servidor privado controlado por los atacantes. Según el mensaje, esta información se publicará o venderá a terceros si la víctima se niega a pagar el rescate. Para convencer a las víctimas de que es posible recuperar los archivos, los delincuentes ofrecen descifrar gratuitamente dos o tres archivos no esenciales. La nota advierte además que el monto del rescate aumentará si no se establece contacto en 72 horas y aconseja a las víctimas crear una cuenta de ProtonMail antes de comunicarse.

Por qué pagar el rescate es una decisión arriesgada

Las víctimas suelen considerar pagar un rescate cuando sus archivos críticos se vuelven inaccesibles. Sin embargo, pagar a los ciberdelincuentes no garantiza la recuperación de los datos. Numerosos ataques de ransomware han cobrado sin proporcionar herramientas de descifrado funcionales o han entregado utilidades que no lograron restaurar todos los datos afectados.

Incluso cuando los atacantes proporcionan una herramienta de descifrado, el pago financia la actividad delictiva y fomenta futuros ataques contra otras personas y organizaciones. Por estas razones, los profesionales de la ciberseguridad desaconsejan encarecidamente el pago de rescates. En la mayoría de los casos, los archivos cifrados no se pueden recuperar sin la clave de descifrado de los atacantes, a menos que el ransomware contenga fallos de implementación importantes que los investigadores puedan aprovechar para desarrollar un descifrador gratuito.

Recuperación y respuesta ante incidentes

La prioridad inmediata tras una infección es eliminar el ransomware Friends del sistema afectado. Eliminar el malware ayuda a prevenir el cifrado de más archivos y reduce el riesgo de futuras actividades maliciosas. Sin embargo, la eliminación del malware por sí sola no recupera los datos ya cifrados.

El método de recuperación más fiable consiste en restaurar los archivos a partir de copias de seguridad creadas antes de la infección. Estas copias deben almacenarse por separado del sistema principal para que permanezcan intactas durante un ataque. Si las copias de seguridad están conectadas a la misma red o son accesibles de forma continua, el ransomware podría intentar cifrarlas también, dejando a las víctimas sin posibilidad de recuperación.

Cómo se propaga el ransomware Friends

Al igual que muchas familias de ransomware, Friends Ransomware utiliza múltiples canales de distribución para llegar a sus posibles víctimas. Los correos electrónicos de phishing siguen siendo uno de los métodos de entrega más efectivos. Estos mensajes suelen contener archivos adjuntos maliciosos o enlaces que, al abrirse, descargan malware. Los atacantes suelen utilizar archivos de documentos con macros maliciosas, archivos comprimidos, archivos ejecutables, PDF y código malicioso basado en JavaScript.

Entre los vectores de infección adicionales se incluyen troyanos que instalan ransomware silenciosamente, mecanismos de actualización de software falsos, anuncios maliciosos, sitios web comprometidos y descargas obtenidas de fuentes poco fiables. Los portales de software gratuito, las redes de intercambio de archivos entre pares y otras plataformas de distribución no oficiales suelen alojar archivos maliciosos disfrazados de software legítimo. Las unidades USB infectadas también pueden facilitar la propagación del ransomware entre sistemas.

Un escenario de infección particularmente común involucra software pirata y herramientas de activación pirateadas. Los ciberdelincuentes suelen disfrazar el malware como alternativas gratuitas a software de pago, aprovechándose de los usuarios que prefieren evitar los canales de distribución oficiales. Una vez ejecutados, estos programas aparentemente inofensivos pueden instalar ransomware sin previo aviso.

Reforzando las defensas contra el ransomware

La protección eficaz contra el ransomware requiere una estrategia de seguridad por capas que combine medidas técnicas con un comportamiento seguro del usuario. Las organizaciones y los particulares deben mantener un software de seguridad fiable, asegurarse de que los sistemas operativos y las aplicaciones reciban actualizaciones periódicas y desactivar las funciones innecesarias que podrían ser aprovechadas por los atacantes. Los archivos adjuntos y los enlaces de correo electrónico procedentes de fuentes desconocidas o inesperadas siempre deben tratarse con precaución, incluso si parecen legítimos.

Las copias de seguridad periódicas son una de las medidas de seguridad más importantes. Mantener varias copias de seguridad en ubicaciones distintas, como discos duros externos sin conexión y soluciones de almacenamiento remoto seguro, mejora significativamente las posibilidades de recuperación tras un ataque. Asimismo, se deben realizar pruebas de copia de seguridad periódicamente para confirmar que los datos se pueden restaurar correctamente cuando sea necesario.

Las principales prácticas de seguridad incluyen:

• Mantenga los sistemas operativos, navegadores y aplicaciones completamente actualizados con los últimos parches de seguridad.
• Utilice software de protección de endpoints de buena reputación con capacidades de detección de amenazas en tiempo real.
• Mantenga varias copias de seguridad, incluyendo al menos una copia sin conexión o aislada.
• Evite abrir archivos adjuntos de correo electrónico no solicitados o hacer clic en enlaces sospechosos.
• Descarga software únicamente de fuentes oficiales y de confianza.
• Absténgase de utilizar software pirateado, cracks o herramientas de activación no autorizadas.
• Restrinja los privilegios administrativos siempre que sea posible.
• Educar a los usuarios sobre las tácticas de phishing y los ataques de ingeniería social.

Evaluación final

El ransomware Friends representa una grave amenaza para la ciberseguridad, ya que combina el cifrado de archivos con el robo de datos y la extorsión. Al añadir la extensión «.friends124» a los archivos, publicar una nota de rescate titulada «RANSOM_NOTE.html» y amenazar con revelar la información robada, sus operadores intentan maximizar la presión sobre las víctimas. Si bien las opciones de recuperación suelen ser limitadas sin copias de seguridad fiables, unas buenas prácticas de ciberseguridad, copias de seguridad periódicas, actualizaciones de software oportunas y un comportamiento prudente en línea pueden reducir significativamente la probabilidad de un ataque de ransomware exitoso y minimizar el impacto en caso de infección.