El virus CryptoCat - ¿Como eliminarlo?

Mientras el otoño da sus primeros pasos, los virus ransomware empiezan a caer como las hojas. Esta vez, nuestra atención ha sido captada por una variante, que lleva un título un poco peculiar: CryptoCat. No es una experiencia divertida tener este tipo de virus entre tus archivos personales sin autorización El virus CryptoCat es uno de esas variantes de ransomware que usan un cifrado RSA-2048 y recomienda encarecidamente a la gente pagar la suma de dinero exigida. Esta vez, los criminales han elegido ser un poco más codiciosos y piden aproximadamente 878,80 dólares (1.45 BTC) como tarifa para la clave de desencriptación. Este tipo de virus son extremadamente amenazadores por el hecho de que siempre existe la posibilidad de perder de manera permanente todos los archivos, almacenados en su disco duro.

Acerca del Virus CryptoCat

El virus CryptoCat ha conseguido su nombre por una de sus características. Se refiere a una extensión específica de todos los archivos encriptados: .cryptocat. Desde que el codificado se completa y los criminales han recibido una notificación sobre el nuevo usuario infectado, serán capaces de seguir con su siguiente objetivo. Por supuesto, cualquier programador malicioso intenta sacar beneficios de sus estrategias ilícitas. El virus CryptoCat también se centra en la posibilidad de ampliar sus recursos financieros con ayuda de las desafortunadas víctimas. Sin embargo, antes de darse el lujo de reclamar la tarifa para la desencriptación, el ransomware tiene que implantar con éxito su carga en los dispositivos de los usuarios. El método de “cómo lo hace” se va a explicar en la siguiente sección. Por ahora, intentemos describir el objetivo que este virus quiere conseguir. Para empezar, el virus CryptoCat deja su ejecutable de una de las carpetas del Sistema, Temp o Local. Esos archivos dañinos normalmente invisibles hasta que aparecen, no parecen ser normales. Luego, esta carga modifica las Claves de Registro de Windows para que se ejecuten junto con otros archivos que se ejecutan tras el inicio. Ahora el virus CryptoCat puede encriptar archivos con el algoritmo ya indicado: RSA-2048. Por supuesto, antes de eso, el ransomware tiene que ejecutar un escaneado y descubrir qué archivos destruir. Los datos elegidos pueden contener extensiones como estas (pero también otras): .doc, .docm, .docx, .dwg, .dxf, .dxg, .eps, .erf, .indd, .jpe, .jpg, .kdc, .mdb, .mdf, .mef, .mrw, .nef, .nrw, .odb, .odm. El ransomware CryptoCat también añade a los archivos como “CryptoCat.Ink” o “Sus archivos han sido bloqueados.txt” para informar a los usuarios sobre cómo desarrollar esta situación. La nota de rescate contiene el siguiente contenido:

E-mail de ayuda: [email protected] [email protected]

Sus archivos personales han sido encriptados en este ordenador: fotografías, vídeos, documentos, etc.

La encriptación se ha llevado a cabo usando una única clave RSA-2048 generada para este ordenador. Para desencriptar los archivos necesitan obtener la clave privada. La única copia de la clave privada, que permitirá desencriptar los archivos, está ubicada en un servidor secreto en Internet; el servidor la destruirá tras 168 horas. Después nada ni nadie será capaz de restaurar sus archivos. Para conseguir la clave privada para este ordenador, necesita pagar 1.45 Bitcoin (~611 USD)

Su dirección de Bitcoin: 1DoW7ifYKAsGvBzCQR5nvdgt3qcc7M15Do

Debe enviar 1.45 Bitcoin a la dirección especificada y notificar al email de ayuda. En el correo debe especificar su dirección de Bitcoin desde la que se ha hecho el pago.

¿Cómo Desencriptar Archivos Encriptados por el Virus CryptoCat?

Incluso aunque la nota de rescate sugiera que las víctimas deben pegar la tarifa demandada en 168 horas, no deben hacerlo. Comprar la clave de desencriptación puede acabar mal y perderá una gran cantidad de dinero. Una decisión más apropiada sería hacer copias de los archivos encriptados en caso de que el ransomware las elimine de manera permanente. Ahora, por favor intente seguir nuestros métodos sugeridos para la desencriptación. Además, estamos convencidos de que los investigadores de seguridad van a trabajar duro para crear una herramienta de recuperación de archivos para el virus CryptoCat. En el futuro, los usuarios deben guardar sus archivos en copias de seguridad o dispositivos USB.

¿Cómo se Distribuye el Virus CryptoCat?

El virus CryptoCat explota métodos similares para la distribución que cualquier otro ransomware. Es muy probable que los criminales envíen emails infecciosos y esperan que los destinatarios abran esos mensajes y descarguen los adjuntos. Sin embargo, recomendamos que sean extremadamente precavidos cuando revisen sus cuentas email. Asegúrese de que el correo recibido es de una fuente legítima. Siempre revise antes de descargar adjuntos o hacer clic en un enlace. Cualquiera de estos métodos puede usarse para distribuir ransomware, no sólo el CryptoCat.

Recomendamos que elimine todos los restos del virus CryptoCat con potentes herramientas como Spyhunter o Malwarebytes. Pagar el rescate no siempre es la mejor decisión.

¿Cómo eliminar El virus CryptoCat usando Restauración del Sistema?

1. Reinicie su ordenador en Modo Seguro con Solicitud de Comando

1. Modo seguro

Para Windows 7/ Vista/ XP

• l Inicio → Apagar → Reiniciar → OK.
• l Presione la tecla F8 repetidamente hasta que la pantalla de Opciones de Inicio Avanzado aparece.
• l Elegir Modo Seguro con Solicitud de Comando.

Para Windows 8 / 10

• l Presione Potencia en la pantalla de acceso de Windows. Luego presione y mantenga la tecla Shift y haga clic en Reiniciar.
• l Elija solucionar problemas → Opciones Avanzadas → Configuración de Inicio y haga clic en Reiniciar.
• l Cuando se cargue, seleccione Permitir Modo Seguro con Solicitud de Comando en la lista de Configuraciones de Inicio.

2. Restaurar archivos y configuraciones del Sistema.

• l Cuando el modo de Solicitud de Comando se cargue, introduzca cd restore y presione Intro.
• l Luego introduzca rstrui.exe y presione Intro otra vez.
• l Haga clic en “Siguiente” en la ventana que apareció.
• l Seleccione uno de los Puntos de Restauración que están disponibles antes de que se infiltrase el virus CryptoCat en su sistema y luego haga clic en “Siguiente”.
• l Para iniciar la restauración del Sistema haga clic en “Sí”.

2. Complete la eliminación del El virus CryptoCat

Tras restaurar su sistema, se recomienda escanear su ordenador con un programa anti-malware, como Malwarebytes, Spyhunter y elimine todos los archivos maliciosos relacionados con virus CryptoCat.

3. Restaure los archivos afectados por El virus CryptoCat usando Shadow Volume Copies

Si no usa la opción de Restaurar Sistema en su sistema operativo, existe la posibilidad de usar capturas de shadow copy. Almacenan copias de sus archivos en el punto temporal en el que la captura de restauración del sistema fue creada. Normalmente virus CryptoCat intenta eliminar todas las posibles Shadow Volume Copies, así que este método puede que no funcione en todos los ordenadores. Sin embargo, puede que falle al hacerlo.

Shadow Volume Copies sólo está disponible con Windows XP Service Pack 2, Windows Vista, Windows 7 y Windows 8. Hay dos maneras de recuperar sus archivos a través de Shadow Volume Copu. Puede hacerlo usando las versiones anteriores nativas de Windows o a través de Shadow Explorer.

a) Versiones Anteriores nativas de Windows

Haga clic derecho en un archivo encriptado y seleccione Propiedades>Pestaña de versiones anteriores. Ahora verá todas las copias disponibles de ese archivo particular y del momento cuando fue almacenado en un Shadow Volume Copy. Elija la versión del archivo que quiera recuperar y haga clic en Copiar si quiere guardarlo en algún directorio suyo, o Restaurar si quiere reemplazar el archivo encriptado existente. Si quiere ver el contenido del archivo previamente, simplemente haga clic en Abrir.

b) Shadow Explorer

Es un programa que puede encontrarse online de manera gratuita. Puede descargar tanto una versión completa o portable de Shadow Explorer. Abra el programa. En la esquina superior derecha el disco donde el archivo que está buscando está almacenado. Verá todas las carpetas en ese disco. Para recuperar la carpeta completa, haga clic derecho en ella y seleccione “Exportar”. Luego escoja dónde quiere que se almacene.

Nota: En muchos casos es imposible restaurar archivos de datos afectados por un ransomware moderno. Por eso recomiendo usar un software de copias de seguridad en la nube decente como precaución. Le recomendamos echar un vistazo a Carbonite, BackBlaze, CrashPlan o Mozy Home.

Herramientas de extracción Malware automática