Ransomware Diablo6 - ¿Como eliminarlo?

¿Recuerda el notorio ransomware Locky? Bien, parece que esta infección ha revivido con una forma ligeramente diferente y un nombre completamente diferente – por favor, demos la bienvenida al virus ransomware Diablo6. Este virus usa la misma criptografía que el ransomware Locky – RSA-2048 y/o AES-128. Son criptografías bastante potentes que pueden bloquear por completo sus archivos – puede ser un verdadero problema poder desencriptarlas luego.

El ransomware es uno de los tipos de virus más peligrosos – atacan a usuarios de todo el mundo, encriptan la mayoría de los archivos almacenados en el ordenador y luego piden que se pague un rescate para recibir el desencriptador y poder recuperar esos archivos encriptados. Siempre se recomienda escuchar la experiencia de la víctima. El Usuario 1dunn00 describió su experiencia con este ransomware en una publicación en Reddit:

Hola, creo que tengo un virus informático en mi ordenador. Ha cambiado el fondo de escritorio y dejado bastantes archivos. Todos mis archivos han cambiado su nombre, por ejemplo:

DB2B3823-2F3823932-3292.diablo6

Y cuando hago clic derecho y selecciono propiedades, dice Archivo DIABLO6. Para que conste, no juego al Diablo… parece un virus. Cuando abro el archivo readme, me lleva a una página que dice “Locky Decryptor” y en color marrón. La página me pide que pague 0.5 BTC para recuperar mis archivos . Ayuda, por favor.

Es una descripción actual del ataque del ransomware Diablo6 (1).

Procesos del virus Diablo6

En el pasado el ransomware Locky era considerado uno de los virus ransomwares más letales y esparcidos. Ahora ha vuelto con una nueva forma y lo ha confirmado el investigador de ciber seguridad Racco42 (2), ahora viene con el nombre de ransomware Diablo6 y se distribuye principalmente a través de emails de spam. En caso de que esté interesado, también puede echar a los archivos de esta infección en el Portapapeles(3).

Así que, está claro que esta infección viene como un adjunto en emails de la categoría de spam. Todo lo que necesita que haga es que abra el adjunto y todos los archivos se colocarán automáticamente en su ordenador, procesos maliciosos iniciados. En primer lugar, el virus Diablo6 ejecutará un escaneado de su sistema y detecta los archivos que se pueden encriptar. Básicamente, todos los tipos de archivos más comunes caen en esta categoría. Lista completa:

.sql, .mp4, .7z, .rar, .m4a, .wma, .avi, .wmv, .csv, .d3dbsp, .zip, .sie, .sum, .ibank, .t13, .t12, .qdf, .gdb, .tax, .pkpass, .bc6, .bc7, .bkp, .qic, .bkf, .sidn, .sidd, .mddata, .itl, .itdb, .icxs, .hvpl, .hplg, .hkdb, .mdbackup, .syncdb, .gho, .cas, .svg, .map, .wmo, .itm, .sb, .fos, .mov, .vdf, .ztmp, .sis, .sid, .ncf, .menu, .layout, .dmp, .blob, .esm, .vcf, .vtf, .dazip, .fpk, .mlx, .kf, .iwd, .vpk, .tor, .psk, .rim, .w3x, .fsh, .ntl, .arch00, .lvl, .snx, .cfr, .ff, .vpp_pc, .lrf, .m2, .mcmeta, .vfs0, .mpqge, .kdb, .db0, .dba, .rofl, .hkx, .bar, .upk, .das, .iwi, .litemod, .asset, .forge, .ltx, .bsa, .apk, .re4, .sav, .lbf, .slm, .bik, .epk, .rgss3a, .pak, .big, wallet, .wotreplay, .xxx, .desc, .py, .m3u, .flv, .js, .css, .rb, .png, .jpeg, .txt, .p7c, .p7b, .p12, .pfx, .pem, .crt, .cer, .der, .x3f, .srw, .pef, .ptx, .r3d, .rw2, .rwl, .raw, .raf, .orf, .nrw, .mrwref, .mef, .erf, .kdc, .dcr, .cr2, .crw, .bay, .sr2, .srf, .arw, .3fr, .dng, .jpe, .jpg, .cdr, .indd, .ai, .eps, .pdf, .pdd, .psd, .dbf, .mdf, .wb2, .rtf, .wpd, .dxg, .xf, .dwg, .pst, .accdb, .mdb, .pptm, .pptx, .ppt, .xlk, .xlsb, .xlsm, .xlsx, .xls, .wps, .docm, .docx, .doc, .odb, .odc, .odm, .odp, .ods, .odt

Tras la encriptación, la extensión .diablo6 se añadirá a cualquiera de sus archivos y encriptará con criptografía RSA-2048 o AES-128. De ahora en adelante, no será capaz de abrir esos archivos. Inmediatamente tras ello, notará 3 nuevos archivos ubicados en su escritorio – Diablo6.html, Diablo6_[4_digit_number].html, Diablo6.bmp . Su fondo de escritorio también cambiará automáticamente.

Este es el mensaje original mostrado por el ransomware Diablo6, también conocida como nota de rescate:

¡¡¡¡ INFORMACIÓN IMPORTANTE !!!!

Todos sus archivos están encriptados con cifrados RSA-2048 y AES-128.

Aquí se podrá encontrar más información sobre RSA y AES:

hxxps://en.wikipedia.org/wiki/RSA_(cryptosystem)

hxxps://en.wikipedia.org/wiki/Advanced_Encryption_Standard

La desencriptación de sus archivos sólo es posible con la clave privada y el programa de desencriptación, que está en nuestro servidor secreto.

Para recibir su clave privada siga uno de los enlaces:

Si no hay ninguna de estas direcciones disponibles, siga estos pasos:

1. Descargue e instale el Navegador Tor: hxxps://www.torproject.org/download/download-easy.html
2. Tras una instalación correcta, ejecute el navegador y espere a que se inicie.
3. Escriba en la barra de direcciones:
4. Siga las instrucciones en el sitio.

!!! Su identificación personal ID:

Como puede ver, la víctima es informada de que los archivos están encriptados y para poder arreglar este problema, se necesita comprar Locky Decryptored. Por ahora, cuesta medio bitcoin, que se traduce en unos mil seiscientos dólares. Se pueden comprar en la Deep web, usando un navegador TOR y visitando enlaces promocionados en la nota de rescate.

Desafortunadamente, no hay manera de desencriptar la encriptación Locky de manera gratuita, y lo mismo ocurre con Diablo6. La única esperanza en esta situación es usar las Shadow Volume Copies o la copia de seguridad del sistema para restaurar su ordenador a un estado anterior al virus. También es buena idea conseguir una protección en tiempo real que no deje al malware acceder a su ordenador. Recomendamos usar Spyhunter o cualquier otra herramienta fiable de su elección que tenga protección en tiempo real.

Referencias:

1. Reddit
2. Twitter
3. Pastebin

Herramientas de extracción Malware automática

La extracción manual Ransomware Diablo6