Como desencriptar el Ransomware BlackCat ALPHV .xxtk82y

Como desencriptar el  ataque de Ransomware BlackCat ALPHV .xxtk82y

 

 

Es complicado mantener la calma y no entrar en pánico, pero si contactas con LABS 4 Recovery nos vamos a implicar en resolver el caso, bien desencriptando los archivos, bien haciendo lo necesario para recuperar tus datos encriptados, lo importante es seguir los pasos correctos para llegar a tener tus datos restaurados.

 

 

 

 

 

Tenemos varios laboratorios de recuperación de datos, uno de ellos se ha especializado en recuperar tus datos encriptados por ataques de Ransomware, por lo que no podemos ayudarte a proteger tus datos antes de un ataque, pero si has sido el objetivo de un ataque de Ransomware, podemos ayudarte a desencriptarlos, o al menos a recuperar tus datos tal cual estaban antes del ciberataque.

Ciberataques en 2023

 

 

¿Qué es el Ransomware BlackCat de ALPHV?

ALPHV Ransomware

 

Los ataques de Ransomware con BlackCat son generados por un grupo llamado ALPHV,  son muy agresivos y llevan desde finales del 2021 con estos ataques super potentes.

Su encriptador de Ransomware está programado en RUST, es lo más potente que hay hora mismo en la escena del cibercrimen, han conseguido un modelo de encriptación que es altamente modificable y a medida del que lo compra, super fácil de manejar para alguien sin conocimientos y realmente sencillo para modificar y generar encriptadores que son variables del original, por lo que no se pueden detectar fácilmente y son imposibles de desencriptar como un caso anterior, hay que tratarlos uno a uno, todos los ataques de Ransomware BlackCat son diferentes!!

 

Pero si esto te ha parecido malo, lo peor viene ahora…

El Ransomware BlackCat no solo te encripta, también te roba información y la sube a su propia nube para luego sacarla a la luz publica, doble extorsión, y usando nuevos sistemas de copiado con compresión consiguen hacerlo a una velocidad extremadamente alta.

 

La nueva operación de Ransomware del grupo ALPHV, es conocida como BlackCat, sabemos que se lanzó el mes de noviembre de 2021 y podría ser el Ransomware más sofisticado hasta ahora, con un conjunto de funciones altamente personalizable que permite ataques en una amplia gama de entornos corporativos.

 

BlackCat está diseñado para cifrar archivos (encriptar) en un sistema informático, copiar datos a un nube y exigir el pago  para descifrar los archivos secuestrados, si no se hace el pago…. en teoría publicarán los archivos robados.

Puede afectar tanto a ordenadores de sobremesa, como portátiles, como servidores y NAS, nada se escapa al Ransomware BlackCat.

 

 

 

 

 

BlackCat, como desencriptar los datos encriptados por Ransomware sin pagar a los delincuentes

 

Vamos a exponer por encima un caso real, pero entender que por la ley de protección de datos no podemos dar información de nuestros clientes, dentro de lo que nos permiten vamos a explicar el caso que nos ha ocurrido hace pocos días con un cliente.

Se trata de un cliente de perfil empresarial y con sedes en Europa y América, dispone de una gama de productos que vende a nival internacional y es reconocido en su sector de trabajo, por lo que públicamente es muy conocido.

 

Este cliente, vamos a llamarlo VICTIMA, dispone de sistemas de seguridad por Software, actualizados y de alto nivel técnico, dispone de mas de 70 ordenadores entre sobremesas y portátiles, además de 16 servidores montados con máquinas virtuales por dentro, sistemas redundantes de copias de seguridad, todos los servidores en raid, mas un NAS, conectado todo a UPS, y varias capas de seguridad electrónica como Routers, Firewalls, Switches VPN, etc.. Las sedes se conectan entre ellas por VPN y existe una sala de CPD en cada localización. Todo montado según una lógica informática correcta y pensada para la seguridad.

 

La entrada por RDP abierto ha sido la forma en la que han podido acceder los DELINCUENTES, por lo que el ataque está totalmente dirigido a la VICTIMA, con nombre y dirección exacta.

 

Una vez dentro, han desactivado las medidas de seguridad tomando el control, (se dice que han entrado hasta la cocina), han copiado datos a su propia nube, luego han descargado el encriptador, generado una clave compleja y ejecutado sobre las maquinas virtuales y los ordenadores conectados en ese momento, éste es elegido de tal forma que evitan ser detectados y provocar el mayor daño posible.

 

 

La situación es critica, mas de 160 empleados parados, sin poder trabajar, las tres fabricas paradas, ni las máquinas pueden producir al estar todos los sistemas encriptados, bloqueados sin poder trabajar, administración sin datos, sin ordenadores. bloqueo técnico absoluto!!

La empresa VICTIMA tiene un departamento propio de informática, el cual hace búsqueda de diferentes empresas especializadas en el sector del desencriptado…. afortunadamente contactan con con LABS 4 Recovery y estudiamos el caso de su ataque de Ransomware, analizamos archivos, vemos la estructura de los datos y tras hablar con su servicio técnico informático….vemos los opciones:

1.- Desencriptar todos los archivos encriptados por el Ransomware BlackCat generando un desencriptador a medida y calculando las claves por métodos de ingeniería inversa, social y aplicando técnicas de calculo por fuerza bruta. Es factible y lo hemos realizado antes, pero va a ser muy lento y con un coste tan elevado como el propio rescate, aunque sería totalmente seguro y cubriríamos todos los datos afectados

2.- Atacar a nivel forense los archivos contenedores de las maquinas virtuales, usar ingeniería inversa y aprovecharnos de los propios agujeros de seguridad en los contenedores de datos virtuales para poder extraer los archivos internos, esta opción le gusta al cliente y a  nosotros, la desarrollamos y ejecutamos directamente, consiguiendo todos los datos de las máquinas virtuales, con lo que el cliente sólo tiene que volcar los datos a sus nuevos sistemas informáticos limpios y como si no hubiera pasado nada.

 

Los contras del sistema elegido por el cliente, que sólo vamos a recuperar los datos contenidos en las maquinas virtuales, el resto de datos en ordenadores y unidades de red no se van a poder solucionar por esta vía, pero para el cliente es más que suficiente, se dá por satisfecho con este volumen de datos recuperados

 

 

Todos los archivos contenidos en las máquinas virtuales han quedado extraídos, sin fallos, ni errores y con la misma estructura que tenían antes del ataque.

 

 

 

 

 

 

Es LEGAL, obviamente somos una empresa y vamos con contrato.

Es SEGURO 100%, en caso que no podamos cumplir, devolvemos 100%.

Es un importe asumible, nada que ver con las cantidades locass del delincuente.

Es Desgravable la Factura, al ser de la actividad empresarial, cuenta como gasto.

Es un proceso de recuperación relativamente rápido, según el volumen de datos.

El Delincuente no sabe que nos hemos saltado su seguridad, no van a sufrir represalias.

 

Podemos afirmar que el cliente a pesar de su mala suerte por ser afectado por un ataque de Ransomware con BlackCat, y luego topar con empresas que no han sabido resolver su caso, que incluso se lo han complicado más, al final, todo se ha resuelto felizmente.