Big Head ransomware mediante alertas de actualización de windows falsas

Una nueva cepa de ransomware ha sido recientemente observada por equipos de investigadores de ciberseguridad, esta nueva cepa de ransomware ha sido denominada “Big Head” y según se ha determinado, podría estar expandiéndose mediante malvertising sobre actualizaciones de windows e instaladores de Word falsas.

Según lo comentan los investigadores de Fortinet, la variante del ransomware Big Head muestra alertas de actualizaciones falsas de Windows, inclusive se pudo observar una de las variantes con un icono de Microsoft Word que muy probablemente se habría distribuido como software falsificado.

Otra investigación conducida por investigadores de trendmicro, han indicado que el ransomware es un binario .NET que realiza la instalación de tres archivos cifrados mediante AES en los sistemas víctima, según lo observado, uno de los archivos contenidos, se utiliza para la propagación del malware, el segundo, es utilizado para la comunicación con un bot de telegram de los actores maliciosos mientras que el tercer archivo es utilizado para realizar el cifrado de los archivos en los sistemas comprometidos, a su vez, este también puede mostrar al usuario una falsa actualización de Windows. A continuación se muestra la cadena de infección de Big Head

Una vez ejecutado, el ransomware realiza,  varias acciones en el sistema comprometido, entre las cuales se puede mencionar la creación de una clave de ejecución automática en el registro (como se muestra en la imagen de abajo), sobrescribir los archivos existentes de ser necesario, establecer los atributos de los archivos del sistema y desactivar el administrador de tareas.

Según lo observado en las muestras, a cada una de las víctimas se les asigna un ID único que se recupera del directorio %appdata%ID o bien, se genera mediante la utilización de una cadena aleatoria de 40 caracteres. Antes de proceder a cifrar los archivos especificados, en el sistema comprometido, el ransomware elimina las instantáneas con la finalidad de impedir la restauración sencilla del sistema. En el proceso, el ransomware añade la extensión “.poop” a los archivos cifrados. entre los tipos de archivos objetivo se encuentran los siguientes.

Abonado a lo anterior, Big Head ransomware procede a terminar archivos en ejecución, con la finalidad de evitar la manipulación del proceso de cifrado y a su vez, liberar los datos que el malware debería bloquear. Entre los procesos que el ransomware termina se encuentran los siguientes.

Con la finalidad de evitar algún tipo de inutilización del sistema comprometido, el ransomware omite los directorios Windows, Papelera de reciclaje, Archivos de programa, Temp, Datos de programa, Microsoft y Datos de aplicación.Otra cualidad que sale a relucir del modo de acción del ransomware es qué este comprueba si se ejecuta en una caja virtual (virtual box), este buscará el idioma del sistema y si determina que ningún idioma de algún país miembro de la comunidad de Estados Independientes este procederá a cifrar los archivos del sistema. Los idiomas que permiten al ransomware continuar el proceso de cifrado, se presentan a continuación.

Como se mencionó al inicio de esta nota, el ransomware muestra lo que parece ser una pantalla que pretende ser una actualización legítima de Windows.

Una vez el proceso de cifrado se ha completado, el binario suelta un nota de rescate en varios directorios del sistema, este a su vez, también procede a cambiar el fondo de pantalla de la víctima con la finalidad de que el usuario sepa lo que acaba de suceder en los sistemas.

Según las observaciones realizadas por el grupo de investigación, la existencia de otras variantes fueron observadas. Estas variantes mantienen relación con las capacidades de la variante original del ransomware, sin embargo, incorporan algunas diferencias. Sería este el caso de la segunda variante la cual incorpora un comportamiento de ladrón con funciones para recopilar y filtrar datos confidenciales del sistema de la víctima.

Entre los datos que esta versión roba se pueden incluir historial de navegación, lista de directorios, controladores instalados, procesos en ejecución. clave de productos y redes activas, así como la toma de capturas de pantalla.

La siguiente variante observada varía en que está incluye un infector de archivos identificado como “Neshta” la cual tiene la finalidad de inyectar código malicioso en los ejecutables del sistema comprometido. Si bien el propósito no se encuentra claro, se especula que sería el evadir la detección que se basa en mecanismos basados en firmas. Otra diferencia con las variantes anteriores es la utilización de una nota y fondo de pantalla distinto.

Como bien lo explica el equipo de investigación, si bien, Big Head no es una cepa de ransomware realmente sofisticada, parece que este se enfoca en consumidores que pueden ser engañados con finalidad, como bien lo demuestra la falsa actualización de Windows, o bien que tienen dificultades para comprender los riesgos constantes en el mundo digital y ciberseguridad.

Indicadores de Compromiso