Comerciantes y empresarios de la zona de Concepción del Uruguay han sido víctima de una extorsión por internet. Así lo cuenta El Entre Ríos en su edición de hoy.

Un día cualquiera. 8 am. Graciela ingresa a la oficina, enciende su computadora, se dispone a revisar el estado de tareas pendientes y completar algunas cuentas. Es un día importante porque hay que efectuar compras de insumos y necesita cobrar parte de las deudas de sus clientes.

Mientras prepara el primer mate de la mañana, con la rutina habitual de acceder a su viejo y querido archivo de Excel que acumula el historial de los últimos siete años, nota rápidamente que sus archivos se han convertido en un verdadero jeroglífico indescifrable, lleno de números y símbolos incomprensibles. El virus CryptoWall ya había afectado al equipo.

La extorsión

El virus CryptoWall (y otros similares como CryptoLocker) pertenece a un grupo de virus denominados “ransomware”. Este tipo de infecciones se caracteriza por un tipo de encriptado en el que los ciberdelincuentes ofrecen a sus víctimas una opción para eliminar la amenaza y recuperar todos sus archivos. Eso sí, previamente hay que pagar un rescate de 500 dólares, tal como lo expresa el mensaje extorsivo que aparece en la computadora infectada.

Muchos imaginarán que se puede contratar a un experto en sistemas informáticos para que encuentre la solución y no acceder a la extorsión. Sin embargo, los usuarios deben ser conscientes que, aunque no es complicado eliminar la infección, la desencriptación de los archivos afectados (encriptados con el sistema criptográfico RSA 2048), hasta el momento no es posible si no se abona “el rescate” requerido.

Así ocurrió con Graciela que, en medio de la desesperación al constatar que sus archivos estaban inutilizados, pudo corroborar con un especialista local que la desencriptación no era posible, luego de largas horas de intentos infructuosos.

La larga travesía

El virus CryptoWall crea varios archivos de forma automática que contienen las instrucciones que los usuarios deben seguir para desencriptar los archivos, lo que incluye, claro, el pago de los 500 dólares. Todos los comerciantes afectados por esta maniobra (se pudo constatar tres casos hasta el momento, aunque prefirieron mantenerse en reserva por ahora), leyeron el mismo mensaje en el que les señalan que “todos sus archivos han sido protegidos usando un potente cifrado RSA-2048 con CryptoWall”.

Y agregan: “La estructura y datos de sus ficheros han sido cambiados de forma irrevocable; no podrá trabajar con ellos, leer o verlos, es como si los hubiera perdido para siempre, pero con nuestra ayuda puede recuperarlos”. También alertan a las víctimas que “la única opción para descifrar sus archivos es con ayuda de la clave privada y el programa de descifrado, que se encuentran en nuestro servidor secreto”. Y le advierten que “si no sigue las instrucciones necesarias a tiempo, cambiarán las condiciones para conseguir la clave privada. Si le importan sus datos verdaderamente, le aconsejamos que no pierda su tiempo valioso en buscar otras soluciones porque no existen”.

Y así comienza una larga travesía que se inicia con la exigencia de instalar el navegador Tor que, a diferencia de Chrome o Mozilla, permite navegar de forma anónima, de manera de evitar el rastro de los ciberdelincuentes.

Esta es parte de la información que reciben las víctimas:

1. Descargue e instale el navegador Tor: hxxp://www.torproject.org/projects/torbrowser.html.en
2. Cuando finalice la instalación, abra el navegador y espere a que se cargue.
3. Escriba en la barra de direcciones: kpai7ycr7jxqkilp.onion/3koe
4. Siga las instrucciones de la página.

Si se siguen todos los pasos, después de un largo raid que incluye la creación de una cuenta para comprar Bitcoins (la moneda virtual que se utiliza para operaciones en Internet), las víctimas pueden completar el proceso y efectuar el pago requerido. “Para conseguir la clave de descifrado, tiene que pagar 500 USD/EUR. Si el pago no se realiza antes de la fecha X, el coste de descifrado de los archivos se duplicará hasta los 1000 USD/EUR”, se lee en pantalla.

Resistirse, por el momento, no tiene sentido. Uno de los comerciantes locales terminó pagando una cifra aún mayor ante los reiterados intentos frustrados por evitar el pago de la extorsión. En todos los casos relevados, hay que decir que una vez efectuado el pago, el usuario tiene permiso para descargar y ejecutar un archivo y / o aplicación de limpieza de la infección y descifrar los archivos cifrados para devolverlos a su estado inicial.

Comerciantes preocupados

A raíz de varios casos acontecidos en Concepción del Uruguay, son varios los comerciantes de la zona que están preocupados con este tipo de amenazas. La hiperconectividad y la “naturalización” del uso de archivos digitales para desarrollar gran parte de las tareas administrativas y comerciales de las empresas, hacen necesario incrementar los niveles de la seguridad informática.

Así como nutrimos de centenares de datos privados y personales a las Redes Sociales y otras grandes empresas de internet, también dejamos al descubierto enormes “puertas” en nuestras computadoras, por las que se cuelan estos virus tan dañinos. Tal vez, este tipo de casos que ya han afectado a empresas importantes de Concepción del Uruguay, aliente a más usuarios a tomar algunos resguardos extra que nos pongan a salvo de estas maniobras cada vez más nocivas que generan los ciberdelincuentes. Un dato: entre abril de 2014 y junio de 2015, el Internet Crime Complaint Center (IC3) del FBI, recibió 992 reportes relacionados a CryptoWall, cuyas víctimas tuvieron pérdidas económicas que llegaron a los 18.000.000 de dólares.

¿Cómo opera el virus informático?

Este poderoso virus llamado CryptoWall es de la familia de los Troyanos, los virus más dañinos en el mundo informático ya que se instalan en la memoria del equipo desde donde despliegan su efecto nocivo. En este caso, CryptoWall oculta su carga viral tras la apariencia de una aplicación o archivo aparentemente inofensivo, pero una vez que ingresa a la memoria de la computadora, produce el encriptado de los archivos y los vuelve inutilizables.

Criptowall realiza el cifrado gracias a la herramienta de Windows, CryptoAPI. Tras entrar en el sistema con éxito, este programa malicioso encripta los archivos almacenados en la PC del usuario (*.doc, *.docx, *.xls, *.ppt, *.psd, *.pdf, *.eps, *.ai, *.cdr, *.jpg, etc.) Los ciberdelincuentes se aseguraron que el virus se ejecute en todas las versiones de Windows (Windows XP, Windows Vista, Windows 7 y Windows 8 por el momento).

La infección sólo afecta a equipos Windows, pero, no obstante, el cifrado puede afectar a diferentes plataformas. Poco después se descubrió que el problema se puede extender hasta el almacenamiento en la Nube, por lo que el respaldo de archivos en DropBox, Google Drive o One Drive también son alcanzados por los efectos de CryptoWall.

Algunos consejos

CryptoWall es un virus tipo ransomware (bloqueador de sistemas) que se infiltra en el sistema operativo del usuario a través de un mensaje de email infectado o una descarga fraudulenta, por ejemplo supuestos reproductores de vídeo o actualizaciones de flash. Para evitar que nuestros sistemas se infecten con un virus ransomware, debemos tener especial cuidado a la hora de abrir mensajes de email. Los ciberdelincuentes usan varios títulos atrayentes para engañar a los usuarios y que así abran los adjuntos infectados.

Según investigaciones recientes, los ciberdelincuentes también utilizan redes P2P y descargas fraudulentas con este virus empaquetado para propagar CryptoWall, disfrazadas de novedosas aplicaciones o actualizaciones de programas habituales que esconden el virus.

Los especialistas también recomiendan que ante este tipo de amenaza, lo mejor es que aquellas actividades comerciales que requieren de bases y usos de datos complejos deben contar con un sistema de seguridad y backup totalmente confiables. Los métodos de prevención más recomendados incluyen realizar acciones tales como:

- Backup y Almacenamiento de todos sus archivos clave.
- Backup continuo de ordenadores y servidores con replicación externa.
- Antivirus & AntiMalware
- Sistema efectivo en la protección de correo electrónico y mensajería instantánea.

Expertos de todo el mundo avanzan en soluciones para frenar este tipo de ataques, que afectan desde 2014 a empresas de todos los tamaños. Por el momento, las conquistas sólo son parciales.