Nueva campaña ransomware Zeppelin contra Europa y EEUU
ANÁLISIS
Durante el mes de agosto se ha iniciado una nueva campaña de infección mediante la cual se desplega la amenaza de tipo Ransomware Zeppelin. Este ransomware es una variante de la familia RaaS(Ransomware as a Service) desarrollada en el entorno de desarrollo Delphi.
La vía de entrada detectada es a través de ataques phishing, es decir, mediante el envío de correos electrónicos que recogen un conjunto de técnicas para engañar al destinatario, haciéndose pasar por una persona, empresa o entidad de confianza con documentos ofimáticos maliciosos adjuntos de manera que cuando son ejecutados el equipo es infectado.
En la reciente campaña se ha observado como el documento adjunto realiza comunicaciones de red, descarga y despliega la amenaza Zeppelin a través de la ejecución de macroinstrucciones VBA contenidas en el documento ofimático malicioso.
Algunas de las capacidades del ransomware Zeppelin son:
Capacidad para cifrar todos los ficheros del equipo excluyendo la siguiente lista de extensiones: .bat;.cmd;.com;.cpl;.dll;.msc;.msp;.pif;.scr;.sys;.log;.lnk y aquellos ficheros necesarios para el correcto funcionamiento del sistema operativo.
Detección de entorno de análisis dinámico y depuración mediante "sleeps" de ejecución previos al cifrado de datos.
Comprobación del idioma del equipo infectado, así como de la geolocalización de su dirección IP para evitar infectar equipos situados en paises como Rusia, Bielorrusia, Kazajistán y Ucrania.
Desde principios de junio, esta campaña de infección ha afectado a 64 empresas relacionadas con el sector tecnológico (IT) y con el sector salud situadas en Europa y EEUU. Sin embargo, podría estar distribuyéndose a otros sectores dentro de las zonas geográficas nombradas.
RECOMENDACIONES
Se recomienda extremar las precauciones en aquellas organizaciones situadas en Europa y/o EEUU desconfiando de cualquier correo electrónico que pueda resultar sospechoso.
Se recomienda no acceder a enlaces contenidos en correos electrónicos o abrir documentos adjuntos si no existe una certeza del remitente o si el correo recibido no se esperaba.
REFERENCIAS
[1]https://threatpost.com/zeppelin-ransomware-returns-trojan/159092/
[2]https://blogs.juniper.net/en-us/threat-research/zeppelin-ransomware-returns-with-a-fresh-wave-of-attacks
[3]https://healthitsecurity.com/news/zeppelin-ransomware-returns-using-new-trojan-to-evade-antivirus