Hoy en día, Emsisoft CTO y Malware investigador Fabian Wosar lanzó un descifrador gratuito para la cepa más reciente de la familia CryptON ransomware , Cry9. Las víctimas pueden ahora descifrar archivos .. de forma gratuita!

Las variantes del ransomware CryptON de origen ruso, como X3M y Nemesis, comenzaron a aparecer en los foros de Bleeping Computer a partir de diciembre de 2016. Todos ellos parecen estar juntos utilizando el mismo "constructor", un término que describe una aplicación de software que Automatiza el proceso de personalización de un malware ejecutable.

La cepa Cry9 comenzó a aparecer el 17 de marzo de 2017.

Cómo funciona el Cry9 ransomware

Hasta ahora, parece que todas las variantes del ransomware CryptON están infectando sistemas a través de ataques de fuerza bruta RDP (remote desktop services), lo que les permite iniciar sesión en el servidor de la víctima y ejecutar el ransomware.

Una vez que los delincuentes tengan acceso, el malware eliminará los puntos de recuperación del sistema para que no se puedan usar copias de sombra para recuperar los archivos una vez encriptados.

Puesto que Cry9 no contiene una lista de extensión, cifrará todos los tipos de archivo en la máquina. Sin embargo, excluye C: \ Windows, C: \ Archivos de programa y la carpeta de perfiles de usuario de la operación de cifrado, para que la operación de arranque y otros procesos críticos no se vean afectados.

Cry9 se basa en SHA-512 y una versión AES modificada que funciona en bloques de 64 bytes y con claves de 512 bits en modo ECB.

Una vez que los archivos están bloqueados, el malware añadirá una de las siguientes extensiones conocidas por el equipo de Emsisoft en el momento de escribir:

.<id>-juccy[a]protonmail.ch

.id-<id>

.id-<id>_[nemesis_decryptor@aol.com].xj5v2

.id-<id>_r9oj

.id-<id>_x3m

.id-<id>_[x3m-pro@protonmail.com]_[x3m@usa.com].x3m

.<id>

.<id>_[wqfhdgpdelcgww4g.onion.to].r2vy6

Con base en el análisis del equipo, todos los archivos parecen ser 16 bytes más grande que el archivo original una vez que el proceso de cifrado se ha completado.

Cómo se supone que las víctimas del ransomware Cry9 pagan

Contrariamente a algunas de las variedades de ransomware más sofisticadas que hemos visto recientemente, Cry9 no parece tener un portal de pago al que se dirigen las víctimas. En cambio, se espera que las víctimas se pongan en contacto con el desarrollador de ransomware a través del correo electrónico proporcionado en la nota de rescate.

Cómo descifrar Cry9 archivos cifrados con el descifrado Emsisoft

Como se explica en nuestra guía completa de eliminación de ransomware, es fundamental seguir los pasos correctos al tratar y eliminar ransomware. Sugerimos leerlo antes de intentar cualquier intento de remoción apresurada.

Para los usuarios infectados que han verificado el tipo de ransomware y sólo están buscando el decrypter, puede descargarlo de forma gratuita en el sitio decrypter de Emsisoft.

#Cry9 #Ransomware