Ransomware Filecoder.D
Cuadro de Mando de Amenazas
Cuadro de mando de amenazas EnigmaSoft
EnigmaSoft Threat Scorecards son informes de evaluación de diferentes amenazas de malware que nuestro equipo de investigación ha recopilado y analizado. Los cuadros de mando de amenazas de EnigmaSoft evalúan y clasifican las amenazas utilizando varias métricas que incluyen factores de riesgo reales y potenciales, tendencias, frecuencia, prevalencia y persistencia. Los cuadros de mando de amenazas de EnigmaSoft se actualizan regularmente en función de nuestros datos y métricas de investigación y son útiles para una amplia gama de usuarios de computadoras, desde usuarios finales que buscan soluciones para eliminar malware de sus sistemas hasta expertos en seguridad que analizan amenazas.
EnigmaSoft Threat Scorecards muestra una variedad de información útil, que incluye:
Clasificación de popularidad: La posición que ocupa una amenaza específica en la base de datos de amenazas de EnigmaSoft.
Nivel de severidad: El nivel de severidad determinado de un objeto, representado numéricamente, basado en nuestro proceso de modelado de riesgo e investigación, como se explica en nuestros Criterios de evaluación de amenazas .
Computadoras infectadas: la cantidad de casos confirmados y sospechosos de una amenaza particular detectada en computadoras infectadas según lo informado por SpyHunter.
Consulte también Criterios de evaluación de amenazas .
| Nivel de amenaza: | 100 % (Elevado) |
| Computadoras infectadas: | 84 |
| Visto por primera vez: | January 24, 2013 |
| Ultima vez visto: | October 19, 2026 |
| SO(s) afectados: | Windows |
El ransomware Filecoder.D es una peligrosa amenaza de cifrado de archivos que ataca a los ordenadores Windows con el objetivo de bloquear el acceso de las víctimas a sus documentos, fotos y otros archivos personales hasta que se pague un rescate. Clasificado con el nivel de peligro más alto posible, este malware se ha detectado durante un período prolongado, desde principios de 2013 hasta la actualidad, lo que demuestra que sigue siendo una amenaza activa que los investigadores de seguridad continúan monitoreando.
Tabla de contenido
¿Qué hace el ransomware Filecoder.D?
Una vez activo en un sistema, Filecoder.D escanea las unidades locales en busca de archivos valiosos, como documentos, imágenes, PDF y archivos de Microsoft Office, y los cifra mediante algoritmos criptográficos avanzados, lo que hace que los datos sean ilegibles sin una clave de descifrado especial en poder de los atacantes. El malware aprovecha las bibliotecas de cifrado de Windows para realizar este proceso, lo que dificulta enormemente o incluso imposibilita la recuperación manual de archivos sin una copia de seguridad.
Un comportamiento particularmente destructivo asociado a esta amenaza es su intento de eliminar las instantáneas de volumen (Volume Shadow Copies), la función integrada de Windows que permite a los usuarios restaurar versiones anteriores de los archivos. Al ejecutar comandos para eliminar las instantáneas y deshabilitar los servicios del sistema relacionados, el ransomware impide que las víctimas utilicen fácilmente las herramientas nativas de Windows para recuperar los datos cifrados, lo que aumenta la presión para pagar el rescate exigido. También puede intentar interactuar con los servicios y procesos del sistema para deshabilitar las herramientas de seguridad o garantizar su ejecución con privilegios elevados, y se ha observado que utiliza componentes de scripting como PowerShell durante su ejecución, una táctica común entre las familias de ransomware modernas para mimetizarse con la actividad legítima del sistema.
Cómo se propaga
Al igual que la mayoría del ransomware, Filecoder.D suele utilizar métodos de distribución engañosos en lugar de un único canal de entrega fijo. Los vectores de infección comunes para esta categoría de amenaza incluyen archivos adjuntos de correo electrónico maliciosos disfrazados de facturas o documentos, enlaces infectados en mensajes de spam, kits de exploits que aprovechan vulnerabilidades de software sin parchear, descargas conjuntas de sitios web poco fiables y software pirateado o aplicaciones crackeadas. Los usuarios pueden activar la infección sin saberlo al abrir un archivo malicioso o habilitar macros en un documento comprometido.
Riesgos para los usuarios
Las consecuencias de una infección por Filecoder.D pueden ser graves. Las víctimas pueden perder permanentemente el acceso a archivos irremplazables, como fotos familiares, registros financieros y documentos de trabajo, especialmente si no existe una copia de seguridad. Además de la pérdida de datos, pagar el rescate no garantiza que los atacantes proporcionen una clave de descifrado que funcione, y hacerlo solo financia más actividades delictivas. Los sistemas infectados también pueden sufrir una disminución del rendimiento, la desactivación de las funciones de seguridad y una mayor exposición a malware adicional.
Signos de infección
Los usuarios deben estar atentos a archivos que de repente se vuelven inaccesibles o muestran extensiones inusuales, notas de rescate que aparecen en el escritorio o dentro de las carpetas, una disminución notable en el rendimiento del sistema, ventanas emergentes inesperadas que exigen un pago y la falta de copias de seguridad o puntos de restauración. La actividad inusual relacionada con los servicios del sistema o las herramientas de scripting que se ejecutan sin explicación también puede ser una señal de alerta.
Cómo mantenerse protegido
Para reducir el riesgo de infecciones por ransomware, los usuarios deben realizar copias de seguridad periódicas de sus archivos importantes en una ubicación externa o sin conexión, mantener el sistema operativo y todo el software actualizados con los últimos parches de seguridad, evitar abrir archivos adjuntos o enlaces de correos electrónicos desconocidos o sospechosos y abstenerse de descargar software pirata. Utilizar software de seguridad de confianza, activar la protección del firewall y tener precaución con las macros en los documentos de Office también son pasos esenciales. Mantener copias de seguridad actualizadas sigue siendo la forma más fiable de recuperarse de un ataque de ransomware sin pagar un rescate.
Reporte de análisis
Información general
| Apellido: | Filecoder.D Ransomware |
|---|---|
| Estado de la firma: | No Signature |
Muestras conocidas
Muestras conocidas
Esta sección enumera otras muestras de archivos que se cree que están asociadas con esta familia.|
MD5:
b10a7ece58207d3caecff1e7a3c33647
SHA1:
0568f740a0fcfc1506700f54136d341a351c51a5
SHA256:
9B1B6DC7878A1A9E2BDF659CA21DC62B16618B4C228B1E571757DF8772A2047F
Tamaño del archivo:
678.91 KB, 678912 bytes
|
Atributos de ejecutables portátiles de Windows
- File doesn't have "Rich" header
- File doesn't have exports table
- File doesn't have resources
- File doesn't have security information
- File has TLS information
- File is 32-bit executable
- File is either console or GUI application
- File is GUI application (IMAGE_SUBSYSTEM_WINDOWS_GUI)
- File is Native application (NOT .NET application)
- File is not packed
Mostrar más
- IMAGE_FILE_DLL is not set inside PE header (Executable)
- IMAGE_FILE_EXECUTABLE_IMAGE is set inside PE header (Executable Image)
Características de archivo
- HighEntropy
- No Version Info
- x86
Información del bloque
Información del bloque
Durante el análisis, EnigmaSoft divide las muestras de archivos en bloques lógicos para su clasificación y comparación con otras muestras. Estos bloques se pueden usar para generar reglas de detección de malware y agrupar las muestras de archivos en familias según su código fuente, funcionalidad y otros atributos y características distintivas. Esta sección presenta un resumen de los datos de estos bloques, así como su clasificación por EnigmaSoft. También se muestra una representación visual de los datos de los bloques, cuando está disponible.| Bloques totales: | 2,658 |
|---|---|
| Bloqueos potencialmente maliciosos: | 109 |
| Bloqueos permitidos: | 2,549 |
| Bloques desconocidos: | 0 |
Mapa visual
? - Bloque desconocido
x - Bloqueo potencialmente malicioso
Archivos modificados
Archivos modificados
Esta sección enumera los archivos que fueron creados, modificados, movidos o eliminados por muestras de esta familia. La actividad del sistema de archivos puede proporcionar información valiosa sobre cómo funciona el malware en el sistema operativo.| Archivo | Atributos |
|---|---|
| \device\namedpipe\dav rpc service | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| \device\namedpipe\pshost.134367906788192588.6460.defaultappdomain.powershell | Generic Read,Write Data,Write Attributes,Write extended,Append data,LEFT 524288 |
| \device\namedpipe\wkssvc | Generic Read,Write Data,Write Attributes,Write extended,Append data |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_qeb0kbvh.thf.ps1 | Generic Write,Read Attributes |
| c:\users\user\appdata\local\temp\__psscriptpolicytest_umqkfmxb.r1n.psm1 | Generic Write,Read Attributes |
Modificaciones del registro
Modificaciones del registro
Esta sección enumera las claves y valores del registro que fueron creados, modificados o eliminados por muestras de esta familia. La actividad del Registro de Windows puede proporcionar información valiosa sobre la funcionalidad del malware. Además, el malware suele crear valores en el registro para iniciarse automáticamente y persistir indefinidamente después de que la infección inicial haya comprometido el sistema.| Clave::Valor | Datos | Nombre de la API |
|---|---|---|
| HKLM\software\microsoft\windows\currentversion\policies\system::enablelinkedconnections | RegNtPreCreateKey | |
| HKCU\software\microsoft\windows\currentversion\run::msfeeditor | "c:\users\user\downloads\0568f740a0fcfc1506700f54136d341a351c51a5_0000678912" e | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 몯㢼廦ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | 榃㤋廦ǝ | RegNtPreCreateKey |
| HKLM\system\controlset001\services\bam\state\usersettings\s-1-5-21-3119368278-1123331430-659265220-1001::\device\harddiskvolume2\windows\system32\conhost.exe | ᗑ㥚廦ǝ | RegNtPreCreateKey |
Uso de la API de Windows
Uso de la API de Windows
Esta sección enumera las llamadas a la API de Windows que utilizan las muestras de esta familia. El análisis del uso de la API de Windows es una herramienta valiosa que puede ayudar a identificar actividades maliciosas, como el registro de pulsaciones de teclas, la escalada de privilegios de seguridad, el cifrado de datos, la exfiltración de datos, la interferencia con el software antivirus y la manipulación de solicitudes de red.| Categoría | API |
|---|---|
| Service Control |
|
| Process Shell Execute |
|
| Process Manipulation Evasion |
|
| Syscall Use |
Mostrar más
|
| Anti Debug |
|
| User Data Access |
|
| Process Terminate |
|
| Encryption Used |
|
| Other Suspicious |
|
Ejecución de comandos de shell
Ejecución de comandos de shell
Esta sección enumera los comandos de la consola de Windows que ejecutan las muestras de esta familia. El malware suele utilizar los comandos de la consola de Windows con fines maliciosos, pudiendo emplearlos para elevar privilegios de seguridad, descargar y ejecutar otro malware, explotar vulnerabilidades, recopilar y extraer datos, y ocultar actividades maliciosas.
vssadmin delete shadows /all /quiet
|
net stop VSS & sc config VSS start= disabled
|
sc config VSS start= Demand & net start VSS
|
WriteConsole: DESCRIPTION:
|
wmic.exe SHADOWCOPY delete /nointeractive
|
Mostrar más
vssadmin.exe Delete Shadows /All /Quiet
|
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=c: /on=c: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=d: /on=d: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=e: /on=e: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=f: /on=f: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=g: /on=g: /maxsize=unbounded
|
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=401MB
|
vssadmin.exe Resize ShadowStorage /for=h: /on=h: /maxsize=unbounded
|
bcdedit.exe /set {default} recoveryenabled No
|
bcdedit.exe /set {default} bootstatuspolicy ignoreallfailures
|
wbadmin.exe DELETE CATALOG -quiet
|
icacls.exe "{A-Z}:" /grant {Username}:F /T /C /Q
|
WriteConsole: {Username}
|
WriteConsole: :
|
WriteConsole: No mapping betwe
|
WriteConsole: Successfully pro
|
del /s /f /q c:\*.VHD c:\*.bac c:\*.bak c:\*.wbcat c:\*.bkf c:\Backup*.* c:\backup*.* c:\*.set c:\*.win c:\*.dsk
|
del /s /f /q d:\*.VHD d:\*.bac d:\*.bak d:\*.wbcat d:\*.bkf d:\Backup*.* d:\backup*.* d:\*.set d:\*.win d:\*.dsk
|
del /s /f /q e:\*.VHD e:\*.bac e:\*.bak e:\*.wbcat e:\*.bkf e:\Backup*.* e:\backup*.* e:\*.set e:\*.win e:\*.dsk
|
del /s /f /q f:\*.VHD f:\*.bac f:\*.bak f:\*.wbcat f:\*.bkf f:\Backup*.* f:\backup*.* f:\*.set f:\*.win f:\*.dsk
|
del /s /f /q g:\*.VHD g:\*.bac g:\*.bak g:\*.wbcat g:\*.bkf g:\Backup*.* g:\backup*.* g:\*.set g:\*.win g:\*.dsk
|
del /s /f /q h:\*.VHD h:\*.bac h:\*.bak h:\*.wbcat h:\*.bkf h:\Backup*.* h:\backup*.* h:\*.set h:\*.win h:\*.dsk
|
del %0
|
wbadmin.exe DELETE SYSTEMSTATEBACKUP
|
wbadmin.exe DELETE SYSTEMSTATEBACKUP -deleteoldest
|
powershell -command "Get-WmiObject Win32_Shadowcopy | ForEach-Object {$_.Delete()
|
