Ransomware NailaoLocker: una amenaza creciente para las organizaciones europeas

¿Qué es NailaoLocker Ransomware?

NailaoLocker es un programa de tipo ransomware escrito en C++, diseñado para cifrar los archivos de las víctimas y exigir un pago por su descifrado. Se ha observado que esta amenaza ataca a organizaciones de Europa, incluidas las del sector sanitario. Si bien no se ha vinculado definitivamente a ningún grupo cibercriminal conocido, sus tácticas se parecen a las de actores notorios afiliados a China.

Una vez que NailaoLocker se infiltra en un sistema, encripta los archivos y añade la extensión ".locked" a sus nombres. Por ejemplo, un archivo llamado "document.pdf" aparecería como "document.pdf.locked" después del cifrado. Después de este proceso, el ransomware genera una nota de rescate que advierte a las víctimas de las consecuencias de no pagar la suma exigida.

Qué exige el ransomware NailaoLocker

La nota de rescate informa a las víctimas de que sus archivos están encriptados y que solo pueden recuperarse pagando un rescate en Bitcoin . Si bien no se especifica el monto exacto, el mensaje advierte que, si no se cumple en el plazo de una semana, se eliminarán los archivos afectados. Los atacantes afirman que, una vez realizado el pago, el descifrado se realizará en un plazo de 24 horas.

También se recomienda a las víctimas que no manipulen los archivos cifrados. Los intentos de moverlos, eliminarlos o descifrarlos mediante aplicaciones de terceros pueden provocar la pérdida permanente de datos. Sin embargo, a pesar de estas advertencias, no hay garantía de que los atacantes proporcionen herramientas de descifrado incluso si se paga el rescate.

Aquí está la nota de rescate completa:

[1.Your important files are encrypted. If you want to decrypt your files, please follow the instructions.]

[2.Do you need file decryption service (restore your files to their original state)? If not, your files will be automatically deleted after one week.]

[3.If you need to purchase unlocking service, please contact us and we will tell you the amount (pay with BTC)]

[4.After you complete the payment using BTC, we will deliver the unlocking program within 24 hours. Once the program is run on the locked computer, all files will be unlocked.]

[5.BTC purchase website:hxxps://www.coinbase.com, hxxps://www.bitfinex.com, hxxps://www.binance.com]

[Contact us on johncollinsy@proton.me]

[Notice:Do not delete or move locked files without unlocking them first.]

[Notice:The encryption algorithm uses symmetric encryption, and the password is a string of characters with the same length as the Bitcoin private key. If you can crack Bitcoin, then congratulations, you can decrypt it yourself. Otherwise, please contact us to purchase our decryption tool. Don't have illusions!!!]

Una cepa de ransomware con ejecución débil

A diferencia de los ransomware más avanzados, NailaoLocker carece de funciones antidepuración y no desactiva los procesos o servicios críticos del sistema antes del cifrado. Este descuido significa que si se cifran archivos esenciales del sistema, el sistema operativo podría quedar inutilizable. Además, si bien algunas cepas de ransomware se dedican a la doble extorsión robando datos confidenciales, la nota de rescate de NailaoLocker no menciona explícitamente la exfiltración de datos.

Dada nuestra amplia experiencia con infecciones de ransomware, podemos concluir que el descifrado sin la cooperación de los atacantes suele ser imposible. Incluso en los casos en que se paga el rescate, los cibercriminales no suelen entregar la clave de descifrado prometida. Se desaconseja encarecidamente respaldar esta actividad ilícita mediante el pago del rescate.

Cómo prevenir más daños causados por NailaoLocker

Eliminar NailaoLocker de un sistema infectado podría evitar el cifrado adicional de archivos, pero no restaurará los datos comprometidos. La única forma eficaz de recuperar archivos cifrados es mediante copias de seguridad almacenadas por separado del sistema infectado. Esto resalta la importancia de mantener copias de seguridad en varias ubicaciones, como dispositivos de almacenamiento externos desconectados y servidores remotos.

Las similitudes entre NailaoLocker y otros ransomware

NailaoLocker sigue el mismo patrón que otras amenazas de ransomware, como Vgod , CipherLocker , FXLocker , SafePay y DeathHunters . Todos estos programas cifran archivos y exigen un pago para su restauración. Sin embargo, difieren en dos aspectos clave: los algoritmos criptográficos utilizados (simétricos o asimétricos) y el monto del rescate, que varía en función de si el objetivo es un usuario individual o una gran organización.

Si bien NailaoLocker es relativamente poco sofisticado, aún representa una amenaza importante para las empresas e instituciones que carecen de medidas de ciberseguridad sólidas. Los grupos de ransomware suelen adaptar sus ataques para explotar vulnerabilidades específicas dentro de las redes de sus objetivos.

Cómo NailaoLocker se infiltra en los sistemas

En los ataques observados contra organizaciones europeas, NailaoLocker se implementó aprovechando una vulnerabilidad en la aplicación Check Point VPN, posiblemente la identificada como "CVE-2024-24919". La amenaza se introdujo a través del malware ShadowPad o del troyano de acceso remoto (RAT) PlugX. Sin embargo, este ransomware también podría propagarse a través de otros métodos de distribución habituales.

Los cibercriminales suelen recurrir a tácticas de phishing e ingeniería social para propagar ransomware. El software malicioso suele estar camuflado en archivos aparentemente inofensivos o incluido en ellos. Una vez abiertos, estos archivos inician la descarga y ejecución del malware.

Métodos comunes de distribución de ransomware

Los programas ransomware como NailaoLocker se distribuyen comúnmente a través de varios medios, entre ellos:

• Descargas automáticas desde sitios web maliciosos o comprometidos
• Amenazas de tipo cargador/puerta trasera
• Fuentes de descarga dudosas, como plataformas de alojamiento de archivos de terceros y redes de intercambio entre pares
• Estafas en línea diseñadas para engañar a los usuarios para que ejecuten archivos maliciosos
• Campañas de publicidad maliciosa que inyectan anuncios dañinos en sitios legítimos
• Correos electrónicos no deseados y mensajes instantáneos que contienen archivos adjuntos o enlaces infectados
• Actualizaciones de software falsas y herramientas de activación ilegales ("cracks")
• Autopropagación a través de redes locales y dispositivos de almacenamiento extraíbles

Estas tácticas permiten que el ransomware se propague rápidamente e infecte múltiples sistemas dentro de una organización, amplificando su impacto.

Mejores prácticas para evitar infecciones de ransomware

Para reducir el riesgo de infecciones de ransomware, los usuarios y las organizaciones deben adoptar las siguientes medidas de seguridad:

• Descargue software únicamente de sitios web oficiales y confiables
• Actualice periódicamente los programas utilizando funciones de actualización legítimas
• Tenga cuidado al abrir correos electrónicos de remitentes desconocidos, especialmente aquellos que contienen archivos adjuntos o enlaces.
• Emplee fuertes medidas de seguridad de red, incluidos firewalls y sistemas de detección de intrusiones.
• Mantener copias de seguridad fuera de línea y en la nube de datos críticos
• Educar a los empleados para que reconozcan el phishing y otros ataques de ingeniería social.

Al implementar estas prácticas, las personas y las empresas podrían reducir significativamente la probabilidad de sufrir un ataque de NailaoLocker o de encontrarse con amenazas similares.

En resumen

El ransomware NailaoLocker, aunque no es la variante más sofisticada, plantea un riesgo real para las organizaciones, en particular en Europa. Su dependencia de tácticas de cifrado estándar y exigencias de rescate lo equipara con otros programas ransomware, pero su falta de técnicas de evasión avanzadas puede limitar su eficacia general.

Como ocurre con todos los programas de rescate, la prevención es la mejor defensa. Los usuarios deben mantenerse alerta, adoptar las mejores prácticas de seguridad y asegurarse de que los datos críticos estén respaldados en ubicaciones seguras. Dado que pagar el rescate no garantiza la recuperación de los datos, es fundamental evitar la infección en primer lugar.