Defi Ransomware: una amenaza que exige el pago de sus datos

El ransomware se ha convertido en una herramienta importante para los cibercriminales y Defi Ransomware no es una excepción. Defi, que forma parte de la famosa familia Makop , sigue un patrón familiar: cifra los archivos en los sistemas infectados, haciéndolos inaccesibles para sus propietarios, y exige un pago a cambio de su recuperación. Este tipo de ransomware se distribuye principalmente a través de correos electrónicos de phishing, tácticas de ingeniería social y otros medios engañosos.

Cómo funciona el ransomware DeFi

Al infiltrarse en un dispositivo, Defi Ransomware comienza a cifrar archivos, dejándolos inutilizables. El ransomware añade a los nombres de los archivos un identificador único, el correo electrónico de contacto de un cibercriminal y la extensión ".defi1328". Por ejemplo, un archivo llamado "photo.jpg" podría transformarse en "photo.jpg.[UniqueID].[contactemail].defi1328" después del cifrado.

Una vez que Defi ha completado su proceso de cifrado, modifica el fondo de pantalla del escritorio para captar la atención de la víctima. Además, incluye una nota de rescate titulada "+README-WARNING+.txt" que explica la situación. La nota informa a los usuarios de que sus datos han sido cifrados y les ofrece la oportunidad de probar el descifrado en archivos seleccionados, lo que da a las víctimas una falsa sensación de seguridad.

Esto es lo que dice la nota de rescate:

::: Greetings :::

Little FAQ:

.1.
Q: Whats Happen?
A: Your files have been encrypted. The file structure was not damaged, we did everything possible so that this could not happen.

.2.
Q: How to recover files?
A: If you wish to decrypt your files you will need to pay us.

.3.
Q: What about guarantees?
A: Its just a business. We absolutely do not care about you and your deals, except getting benefits. If we do not do our work and liabilities - nobody will cooperate with us. Its not in our interests.
To check the ability of returning files, you can send to us any 2 files with SIMPLE extensions(jpg,xls,doc, etc… not databases!) and low sizes(max 1 mb), we will decrypt them and send back to you. That is our guarantee.

.4.
Q: How to contact with you?
A: You can write us to our mailboxes: wewillrestoreyou@cyberfear.com or wewillrestoreyou@onionmail.org

.5.
Q: How will the decryption process proceed after payment?
A: After payment we will send to you our scanner-decoder program and detailed instructions for use. With this program you will be able to decrypt all your encrypted files.

.6.
Q: If I don t want to pay bad people like you?
A: If you will not cooperate with our service - for us, its does not matter. But you will lose your time and data, cause only we have the private key. In practice - time is much more valuable than money.

:::BEWARE:::
DON'T try to change encrypted files by yourself!
If you will try to use any third party software for restoring your data or antivirus solutions - please make a backup for all encrypted files!
Any changes in encrypted files may entail damage of the private key and, as result, the loss all data.

La nota de rescate y sus tácticas

La nota de rescate que acompaña a Defi Ransomware desempeña un papel fundamental en el proceso de extorsión. Asegura a las víctimas que sus archivos están intactos y que no han sufrido daños estructurales. La nota describe cómo las víctimas pueden pagar el rescate para obtener una clave de descifrado y les advierte que no deben manipular los archivos ni utilizar herramientas de recuperación de terceros. En muchos casos, los creadores del ransomware amenazan con que cualquier intento de este tipo podría provocar una pérdida permanente de datos.

Los creadores de DeFi también ofrecen a las víctimas la posibilidad de descifrar algunos archivos de forma gratuita, a menudo una táctica diseñada para generar confianza. De esta manera, dan la impresión de que el pago desbloqueará los datos cifrados, aunque esto nunca está garantizado. Pagar el rescate es una medida arriesgada, ya que los cibercriminales pueden optar por no proporcionar la clave de descifrado incluso después de recibir el pago.

Los peligros de cumplir con las exigencias de rescate

Cumplir con las exigencias de los programas de rescate no siempre da como resultado la recuperación de los datos. Las víctimas que pagan pueden descubrir que la clave de descifrado nunca se entrega. Lamentablemente, este resultado es común en operaciones de ransomware como DeFi. De hecho, pagar solo alimenta futuros ataques al brindarles a los cibercriminales el incentivo financiero para continuar con sus actividades ilícitas.

Además, eliminar Defi Ransomware de un sistema no descifrará los archivos bloqueados previamente. El cifrado permanece intacto a menos que exista una copia de seguridad anterior a la infección. Esto resalta la importancia de mantener copias de seguridad periódicas, almacenadas en servidores remotos o dispositivos de almacenamiento desconectados para evitar que se vean comprometidos en caso de un ataque de ransomware.

Cómo se propaga el ransomware como DeFi

El ransomware, incluido DeFi, se propaga principalmente a través de tácticas engañosas. Los correos electrónicos de phishing son un método favorito, en el que los atacantes disfrazan archivos adjuntos maliciosos como archivos legítimos. Estos archivos adjuntos a menudo contienen documentos, ejecutables o archivos infectados que ejecutan el ransomware cuando se abren.

Otro método común consiste en utilizar sitios web comprometidos o fuentes de descarga no fiables, como redes de intercambio entre pares o sitios web de terceros que ofrecen descargas de software. El ransomware también puede propagarse a través de anuncios maliciosos (conocidos como malvertising), en los que se dirige a un usuario desprevenido a un sitio web fraudulento que descarga automáticamente el ransomware en su sistema. Además, algunas variantes del ransomware pueden autopropagarse a través de redes locales, infectando los dispositivos conectados con facilidad.

Mitigación del riesgo de infecciones por ransomware

Para prevenir los ataques de ransomware es necesario estar alerta. Los usuarios deben tener cuidado al manipular archivos adjuntos de correo electrónico o hacer clic en enlaces incluidos en mensajes, especialmente aquellos que provienen de fuentes desconocidas o no confiables. También es esencial descargar software y actualizaciones de fuentes oficiales verificadas, evitando sitios de terceros o no autorizados.

Otra estrategia fundamental para mitigar los daños causados por el ransomware es realizar copias de seguridad periódicas de los datos y almacenarlos en varias ubicaciones seguras. Si se produce un ataque, tener acceso a copias de seguridad recientes puede reducir drásticamente el impacto, ya que los archivos cifrados se pueden restaurar sin pagar un rescate.

El panorama general: por qué están en aumento el DeFi y el ransomware

El ransomware como DeFi prospera porque explota tanto los errores humanos como las brechas en las defensas de ciberseguridad. Las tácticas de ingeniería social (como hacerse pasar por entidades de confianza en los correos electrónicos) han demostrado ser eficaces para convencer a los usuarios de que abran archivos maliciosos. Además, muchas organizaciones e individuos carecen de sistemas de respaldo suficientes o no aplican actualizaciones de software periódicas, lo que los deja vulnerables a los ataques.

La naturaleza lucrativa de estos esquemas refuerza aún más la persistencia del ransomware. Mientras los atacantes reciban pagos de las víctimas, seguirán lanzando nuevas campañas. Por este motivo, los expertos en ciberseguridad desaconsejan encarecidamente pagar el rescate. En su lugar, el enfoque debe centrarse en defensas proactivas, como copias de seguridad periódicas de los datos, hábitos de navegación cuidadosos y garantizar que el software de seguridad esté siempre actualizado.

Reflexiones finales

Defi Ransomware es un recordatorio de la creciente amenaza que suponen los programas ransomware. Una vez infectadas, las víctimas se enfrentan a la dolorosa realidad de perder el acceso a archivos críticos, con la promesa de recuperarlos a cambio de un pago que no ofrece garantías. La mejor medida es evitar que se produzca la infección en primer lugar practicando una navegación segura, teniendo cuidado con los correos electrónicos sospechosos y asegurándose de que los archivos importantes estén respaldados en ubicaciones separadas y seguras.

Al tomar estas precauciones, los usuarios pueden minimizar el daño causado por ransomware como Defi y proteger sus valiosos datos para que no caigan en manos de los ciberdelincuentes.