Philadelphia Ransomware: nueva infección en la industria de la salud

Los funcionarios de seguridad de Forcepoint, Texas, descubrieron una nueva cepa de ransomware que está dirigida a organizaciones de atención médica. El ransomware Philadelphia es de la familia Stampado. Este kit de ransomware se vende en línea por unos cientos de dólares y los atacantes exigen un rescate en forma de Bitcoins.

Los investigadores descubrieron que el ransomware Filadelfia se transporta a través de correos electrónicos de suplantación de identidad (spear-phishing). Dichos correos electrónicos se envían a los hospitales con un cuerpo de mensaje de una URL abreviada que dirige hacia un espacio de almacenamiento personal que sirve un archivo DOCX armado con el logotipo de la organización de atención médica seleccionada. Los empleados quedan atrapados y terminan haciendo clic en estos enlaces que hacen que el ransomware se infiltre en el sistema.

Fuente de la imagen: forcepoint.com

Una vez que el ransomware se establece en el sistema, se pone en contacto con el servidor de C&C y transfiere toda la información sobre la computadora víctima, como el sistema operativo, el país, el idioma del sistema y el nombre de usuario de la máquina. Luego, el servidor C&C genera una identificación de víctima, un precio de rescate y una identificación de billetera de Bitcoin y la envía a la máquina objetivo.

La técnica de cifrado utilizada por Philadelphia Ransomware es AES-256, que exige un rescate de 0.3 Bitcoins una vez que ha terminado de bloquear sus archivos. Su fascinación por la industria de la salud se puede observar mediante la ruta del directorio que muestra 'hospital / spam' como una cadena en su JavaScript cifrado junto con 'hospital / spa' contenido en su ruta de servidor C&C.

Fuente de la imagen: funender.com

¿Qué es Filadelfia?

Bien, todo el mundo sabe que es la ciudad más grande de Pensilvania y bla, bla, bla… pero en lo que respecta al ciberdelito, también es una versión actualizada del notorio virus tipo ransomware Stampado. En los correos electrónicos de suplantación de identidad, puede encontrarlos con avisos de pago vencidos falsos. Estos correos incluyen en su mayoría enlaces a los sitios web de Filadelfia, que se mantienen listos con aplicaciones Java para instalar ransomware en su sistema.

Ver también:  Las 5 mejores herramientas de protección contra ransomware

Philadelphia comienza a cifrar archivos con varias extensiones como .doc, .bmp, .avi, .7z, .pdf, etc., después de una intrusión exitosa en el sistema. Puede identificar un archivo cifrado bloqueado por Filadelfia con su extensión como ' .locked '. Por ejemplo, un archivo en su sistema con el nombre de 'abc.bmp' sería encriptado y renombrado como 'KD24KIH83483BJAKDF8JDR7.locked'. Una vez que intente abrir el archivo cifrado, el ransomware abre una nueva ventana con un mensaje de rescate exigido.

El mensaje de rescate le informa que los archivos se han cifrado y que debe pagarlos para restaurarlos. Philadelphia utiliza un algoritmo de cifrado asimétrico que crea claves públicas (cifrado) y privadas (descifrado) mientras cifra y bloquea los archivos. Descifrar los archivos bloqueados sin la clave privada es como hervir un océano, ya que están ubicados en servidores remotos custodiados por ciberdelincuentes.

La ventana contiene dos cronómetros interesantes: Fecha límite y Ruleta rusa. Mientras que el temporizador de fecha límite indica el tiempo restante para obtener su clave privada, la ruleta rusa muestra el tiempo para eliminar el siguiente archivo (lo que lo empuja a comprarlo sin perder tiempo en la búsqueda de ayuda). De hecho, es una amenaza, pero eso es lo único que no es falso.

Fuente de la imagen: forbes.com

¿Puedes evitar esta situación?

Si. Puede salvarse de ser aserrado por el ransomware Philadelphia ; sin embargo, debe mantener su computadora armada con el mejor anti ransomware y antimalware. Tenga en cuenta que algunos ransomware pueden eludir el mejor anti ransomware, por lo que la mejor práctica es convertirse en un usuario atento y no hacer clic en nada inusual o sospechoso.

Ver también:  Los 5 mejores consejos para luchar contra los estragos del ransomware

Teniendo en cuenta todo, se puede suponer que Philadelphia Ransomware es un tipo de infección penetrante. Aunque ahora solo se ha dirigido a las organizaciones de atención médica, usted también puede ser una víctima, ya que el código fuente de este virus está a la venta en $ 400 a través de la web oscura. Cualquier aspirante a ciberdelincuente puede obtener el código y comenzar a buscar una presa. Mantener su computadora inmunizada y protegida por antimalware y anti-ransomware debería ayudar.