ZENEX Ransomware cifrará los sistemas de las víctimas

Durante nuestro examen de nuevas muestras de archivos maliciosos, identificamos a ZENEX como ransomware asociado con la familia Proton. ZENEX está diseñado para cifrar archivos, alterar los nombres de los archivos cifrados, mostrar una nota de rescate titulada "#Zenex-Help.txt" y modificar el fondo de pantalla del escritorio.

ZENEX modifica los nombres de archivos agregando la dirección de correo electrónico decrypthelp0@gmail.com y agregando la extensión ".ZENEX". Por ejemplo, transforma "1.jpg" en "1.jpg.[decrypthelp0@gmail.com].ZENEX" y "2.png" se convierte en "2.png.[decrypthelp0@gmail.com].ZENEX". Etcétera.

La nota de rescate notifica a la víctima que sus archivos han sido cifrados y confiscados, sin posibilidad de recuperación sin utilizar el servicio de descifrado ofrecido por los atacantes. La nota destaca el motivo financiero detrás del ataque, prometiendo software de descifrado y eliminación de datos tras el pago. Para inspirar confianza, los atacantes ofrecen una garantía descifrando un pequeño archivo como prueba de su capacidad.

Los datos de contacto se proporcionan a través de direcciones de correo electrónico (decrypthelp0@gmail.com y cryptblack@mailfence.com), acompañados de una advertencia contra la búsqueda de asistencia de empresas de recuperación, que, según los atacantes, son intermediarios poco fiables. Se hace hincapié en la urgencia, se fomenta el pago rápido para garantizar un precio más bajo y se advierte contra la manipulación de archivos cifrados para evitar complicar el proceso de descifrado.

La nota de rescate de ZENEX utiliza una plantilla de protones

El texto completo de la nota de rescate de ZENEX dice lo siguiente:

ZENEX
What happened?
We encrypted and stolen all of your files.
We use AES and ECC algorithms.
Nobody can recover your files without our decryption service.

How to recover?
We are not a politically motivated group and we want nothing more than money.
If you pay, we will provide you with decryption software and destroy the stolen data.

What guarantees?
You can send us an unimportant file less than 1 MG, We decrypt it as guarantee.
If we do not send you the decryption software or delete stolen data, no one will pay us in future so we will keep our promise.

How to contact us?
Our email address: decrypthelp0@gmail.com
In case of no answer within 24 hours, contact to this email: cryptblack@mailfence.com
Write your personal ID in the subject of the email.

Your personal ID: -

¡Advertencias!

No acuda a empresas de recuperación, son sólo intermediarios que ganarán dinero con usted y le engañarán.
Negocian en secreto con nosotros, compran software de descifrado y se lo venderán mucho más caro o simplemente lo estafarán.

No lo dudes por mucho tiempo. Cuanto más rápido pague, menor será el precio.

No elimine ni modifique archivos cifrados, ya que provocará problemas con el descifrado de archivos.

¿Cómo puede un ransomware como ZENEZ infectar su sistema?

El ransomware como ZENEZ puede infectar su sistema a través de varios métodos, y comprender estos puntos de entrada es crucial para implementar medidas efectivas de ciberseguridad. A continuación se detallan formas comunes en que el ransomware puede infiltrarse en un sistema:

Correos electrónicos de phishing:
Uno de los métodos más comunes es a través de correos electrónicos de phishing. Los atacantes pueden enviar correos electrónicos que contengan archivos adjuntos o enlaces maliciosos. Una vez que el usuario abre el archivo adjunto o hace clic en el enlace, se ejecuta el ransomware.

Páginas web maliciosas:
Visitar sitios web comprometidos o maliciosos puede exponer su sistema a descargas no autorizadas. Estas descargas pueden instalar ransomware silenciosamente en su computadora sin su conocimiento.

Publicidad maliciosa:
Los anuncios maliciosos o publicidad maliciosa en sitios web legítimos pueden provocar infecciones de ransomware. Hacer clic en estos anuncios puede desencadenar la descarga y ejecución de ransomware.

Kits de explotación:
Los kits de explotación apuntan a vulnerabilidades en software o navegadores. Si su sistema tiene software desactualizado o vulnerabilidades sin parches, el ransomware puede aprovechar estas debilidades para obtener acceso.

Ataques de protocolo de escritorio remoto (RDP):
Si su sistema tiene un puerto RDP abierto y no seguro, los atacantes pueden utilizar ataques de fuerza bruta o explotar credenciales débiles para obtener acceso no autorizado e implementar ransomware.

Ingeniería social:
Los ciberdelincuentes pueden utilizar tácticas de ingeniería social para engañar a los usuarios para que descarguen o ejecuten archivos maliciosos. Esto puede incluir atraer a los usuarios con actualizaciones de software falsas, descargas gratuitas o mensajes atractivos.

Descargas no autorizadas:
Las descargas no autorizadas ocurren cuando el malware se descarga y ejecuta automáticamente cuando un usuario visita un sitio web comprometido. Esto puede suceder sin ninguna interacción del usuario.

Archivos adjuntos de correo electrónico maliciosos:
El ransomware se puede enviar a través de archivos adjuntos de correo electrónico que parecen inofensivos, como archivos PDF o documentos de Office. Una vez que se abre el archivo adjunto, el malware se activa.