Desencriptar el Ransomware MedusaLocker protect6

 

¿Qué es el Ransomware MedusaLocker?

MedusaLocker es un Ransomware que se observó por primera vez a finales de 2019, concretamente en Octubre.

MedusaLocker está diseñado para cifrar archivos (encriptar) en un sistema informático y exigir el pago de la clave de descifrado, es el rescate por secuestro de MedusaLocker.

Puede afectar tanto a ordenadores de sobremesa, como portátiles, como servidores y NAS, nada se escapa al Ransomware MedusaLocker.

 

 

 

 

MedusaLocker, como desencriptar los datos encriptados por Ransomware sin pagar a los delincuentes cuando son archivos PROTEC6

Vamos a exponer por encima un caso real, pero entender que por la ley de protección de datos no podemos dar información de nuestros clientes, dentro de lo que nos permiten vamos a explicar el caso que nos ha ocurrido hace pocos días con un cliente.

Se trata de un cliente de perfil empresarial y con sede en Europa, dispone de un producto que vende a nival internacional y es conocido en su ámbito o sector de trabajo, por lo que públicamente es conocido.

Este cliente, vamos a llamarlo VICTIMA, dispone de sistemas de seguridad por Software, actualizados y de alto nivel técnico, dispone de mas de 50 ordenadores entre sobremesas y portátiles, además de 6 servidores montados con máquinas virtuales por dentro, sistemas redundantes de copias de seguridad, todos los servidores en raid, mas un NAS, conectado todo a UPS, y varias capas de seguridad electrónica como Routers, Firewalls, Switches VPN, etc..

 

RDP ha sido la forma en la que han podido entrar los DELINCUENTES, por lo que el ataque está totalmente dirigido a la VICTIMA, con nombre y dirección exacta.

 

Una vez dentro, han desactivado las medidas de seguridad tomando el control, (se dice que han entrado hasta la cocina), han descargado el encriptador, generado una clave compleja y ejecutado sobre las maquinas virtuales y los ordenadores conectados en ese momento, éste es elegido de tal forma que evitan ser detectados y provocar el mayor daño posible

 

 

La situación es critica, mas de 60 empleados parados, sin poder trabajar, la fabrica parada, ni las máquinas pueden producir al estar todos los sistemas encriptados, bloqueados sin poder trabajar, administración sin datos, sin ordenadores. bloqueo técnico absoluto!!

La empresa VICTIMA no tiene un departamento propio de informática, pero cuenta con los servicios subcontratados de otra empresa especialista en el sector de instalaciones y mantenimientos de sistemas, la cual hace búsqueda de diferentes empresas especializadas en el sector del desencriptado…. lamentablemente no ha dado con buenos profesionales y algunas de esas empresas contactan con el intermediario que aparece en la nota de rescate, este les pide mas de 40.000€, sin garantías, obviamente….

 

Pero aquí se comete un grave error por segunda vez, le piden que desencripte un archivo y le dicen que sea la hoja de Excel de ventas, con lo que el intermediario puede ver el volumen de facturación total anual, no el beneficio sino la facturación, al ser millones de euros…. el intermediario se convierte en un avaricioso y les pide una cantidad indecente de dinero.

El primer error es contactar con los delincuentes, el segundo darles datos de facturación. Con lo que la VICTIMA decide abandonar los datos, asumir la perdida y trabajar durante meses para generar los datos y documentaciones perdidas, despidiendo trabajadores y sin tener producción.

 

Por casualidad contactan con LABS 4 Recovery y estudiamos el caso de su ataque de Ransomware justo cuando van a darse por vencidos ya que nadie les está dando una solución, analizamos archivos, vemos la estructura de los datos y tras hablar con su servicio técnico informático….vemos los opciones:

 

1.- Desencriptar todos los archivos encriptados por el Ransomware MedusaLocker v3 generando un desencriptador a medida y calculando las claves por métodos de ingeniería inversa, social y aplicando técnicas de calculo por fuerza bruta. Es factible y lo hemos realizado antes, pero va a ser lento y con un coste más elevado incluso que el propio rescate, aunque sería totalmente seguro y cubriríamos todos los datos afectados

 

2.- Atacar a nivel forense los archivos VHDX de las maquinas virtuales, usar ingeniería inversa y aprovecharnos de los propios agujeros de seguridad en los contenedores de datos virtuales para poder extraer los archivos internos, esta opción le gusta al cliente y a  nosotros, la desarrollamos y ejecutamos directamente, consiguiendo todos los datos de las máquinas virtuales, con lo que el cliente sólo tiene que volcar los datos a sus nuevos sistemas informáticos limpios y como si no hubiera pasado nada.

 

Contras del sistema elegido por el cliente, que sólo vamos a recuperar los datos contenidos en las maquinas virtuales, el resto de datos en ordenadores y unidades de red no se van a poder solucionar por esta vía, pero para el cliente es más que suficiente, se dá por satisfecho con este volumen de datos recuperados

 

 

Todos los archivos contenidos en las máquinas virtuales han quedado extraídos, sin fallos, ni errores y con la misma estructura que tenían antes del ataque.

 

 

 

 

 

 

Es LEGAL, obviamente somos una empresa y vamos con contrato.

Es SEGURO 100%, en caso que no podamos cumplir, devolvemos 100%.

Es un importe asumible, nada que ver con las cantidades de locos del delincuente.

Es Desgravable la Factura, al ser de la actividad empresarial, cuenta como gasto.

Es un proceso de recuperación relativamente rápido, según el volumen de datos.

El Delincuente no sabe que nos hemos saltado su seguridad, no van a sufrir represalias.

 

Podemos afirmar que el cliente a pesar de su mala suerte por ser afectado por un ataque de Ransomware con MedusaLocker, y luego topar con empresas que no han sabido resolver su caso, que incluso se lo han complicado más, al final, todo se ha resuelto felizmente.