Troyano LokiBot - ¿Como eliminarlo?

Recientemente, la nueva variante del troyano malicioso llamado LokiBot fue detectada por algunos ciber entusiastas @dvk01uk, @angel11VR ,@ViriBack distribuyéndose rápidamente no solo en Androids como hace un año (Artículo de TheHackerNews.com), sino también en SO Windows. Aunque actúa de manera ligeramente diferente en estas dos plataformas, Lokibot es igual de peligroso para ambas. (Aprende más sobre lo que es un Troyano en Kaspersky.com).

Al final de 2017 Threatfabric.com reconoció a LokiBot como el primer malware híbrido que ha tenido muchas herramientas bien pensadas trabajando como troyano y ransomware al mismo tiempo. Primero se le confundió con BankBot por algunas similitudes pero pronto LokiBot ganó su propio reconocimiento por sus capacidades potentes. Ahora el troyano ha vuelto incluso más potente atacando también a Windows.

Cómo afecta el malware LokiBot a Windows

A pesar de que LokiBot sea principalmente un virus Android, tiene todas las capacidades de infectar ordenadores. El comportamiento de este parásito demuestra que es común para cualquier troyano normal, como TeleGrab, JackServn, Stresspaint y etc. Aunque LokiBot no se centra en el cripto minado como algunos troyano populares, gana lo suficiente realizando otras tareas. En 2017, LokiBot ganó más de 1.5millones de dólares solo a través de los ataques a Android.

Tras el clic desafortunado en el enlace malicioso o descarga de malware pensando que era un software legítimo, LokiBot sin un consentimiento ejecuta procesos silenciosos en el segundo plano, asegurándose de que cada barrera de seguridad que interfiera sea neutralizada o sobrepasada. Esto incluye cambiar el firewall, ajustes de antivirus, archivos para modificar el sistema, registros. Desde que la instalación se finaliza y LokiBot esté seguro de que todos los scripts se ejecutan y la persistencia/seguridad haya sido conseguida, el troyano comienza las tareas malvadas. Hay más información técnica sobre la versión más actual de LokiBot en Virustotal.com.

LokiBot no es un parásito extrovertido y funciona en silencio, así que el usuario no intentará eliminarlo. Principalmente, este malware invade el navegador de internet, da igual que sea Mozilla, Edge, Chrome o Safari y monitoriza en profundidad la actividad de navegación e historial de búsquedas previas. Los troyanos registran la información más valiosa como contraseñas, accesos, bancos de datos con la ayuda de Keylogging. Entonces, la máquina comprometida es útil y LokiBot envía todos los datos registrados a servidores de hackers remotos.

Las señales principales que notará si su ordenador está infectado con el troyano LokiBot es que su sistema y navegador comenzarán a funcionar de manera más lenta/con caídas, su antivirus/firewall se desactivará o no funcionará adecuadamente, cuando navegue verá más anuncios, hipervínculos en lugares inusuales, nuevos programas que nunca ha instalado, infecciones de malware adicionales (que los hackers envían a través de su servidor), y lo peor – que falte dinero en las cuentas bancarias y robos de identidad.

Por el momento, la mayoría de países infectados son Nepal y Nigeria, pero la nueva versión está rápidamente consiguiendo llegar a los EE UU y el resto del mundo. Además, hay rumores de que se puede comprar LokiBot en la DarkNet por 2000$.

Cómo se distribuye el troyano LokiBot

LokiBot mayormente se distribuye a través de mensajes de email Socialmente fabricados que contienen una instalación de troyano malicioso archivo .exe. Estos emails pueden parecer realmente maliciosos, desde el contenido hasta la dirección del remitente, por ejemplo mensajes de gobiernos/bancos/trabajos/hospitales, facturas, solicitudes de acceso y descargas de archivos adjuntos y más cosas.

Además LokiBot no se limita a una sola técnica y como menciona Etutorials.org, también puede distribuirse a través de hipervínculos y anuncios que redirigen a sitios maliciosos, aplicaciones de mensajería y adjunto con otros programas.

Es imposible reconocer al troyano LokiBot solo por el nombre de archivo ya que puede camuflarse como un adobe flash player para Android o un archivo de texto/zip llamado de manera poco sospechosa, como la versión anterior de 2017 llamada el ‘Contrato’ (ver más detalles en Virustotal.com). Para evitar que el troyano LokiBot entre a su ordenador o evitar que infecte sus dispositivos otra vez, debe leer nuestra Guía Definitiva de Seguridad Contra el Ransomware e implementar la mayoría de consejos mencionados ahí o seguir el consejo de Securingtomorrow.com.

Qué hace el troyano LokiBot a los Androids

Mientras los métodos de distribución y el objetivo principal de recoger datos personales es casi el mismo que en la variante de Windows, LokiBot tiene otro truco especial en su manga para los Androids – timar al simular que las apps requieren información de acceso. LokiBot se hace pasar por Skype, WhatsApp, o una app de Correos, Paypal o incluso su app bancaria y luego muestra la notificación que dice que debe acceder en este enlace para ver un mensaje, email, información sobre la transferencia de dinero etc. E incluso aunque sea una página falsa LokiBot se las arregla para registrar los datos introducidos.

Además, cuando el troyano recoge los datos/hechos necesarios, puede usar fácilmente las aplicaciones reales para distribuirse su lista de contactos y más cosas. Además, los criminales pueden usar la identidad de la víctima para realizar otros horribles ciber crímenes como pedir transferencias de dinero a las cuentas de los hackers a amigos, vender datos a terceras partes, etc. Cuando la víctima comienza a notar que el dispositivo funciona más lentamente y ve mensajes sospechosos enviados desde su cuenta, se enfrentan a otro problema, intentar deshacerse del malware LokiBot – la petición de un rescate.

Desde que el usuario intenta eliminar el troyano, LokiBot bloquea la pantalla y pide unos 70-100$ de rescate en BTC para desencriptar los archivos y recuperar los archivos bloqueados. Por suerte, no todas las partes de LokiBot están bien desarrolladas y el proceso de ‘encriptación’ acaba creando copias del archivo comprometido con otros nombres, por lo que, puedes acceder a ellos sin pagar.

Sorprendentemente, las características de este malware no acaban aquí. Además de características muy normales como leer y enviar mensajes de texto de spam, monitorizar y recoger información, bloquear el Android, el troyano LokiBot puede iniciar aplicaciones bancarias automáticamente, realizar ataques de phishing bajo la cobertura de otros programas y más cosas. Este peligroso virus debería eliminarse lo antes posible para evitar la distribución, y cualquier filtración de datos, robos de dinero/identidad y otros problemas importantes.

Cómo deshacerse del troyano LokiBot

Todo usuario de internet o en realidad, cualquier dueño de ordenador/smartphone debería tener instalado un antivirus que ayudaría en casos como este para evitar que los troyanos y otros tipos de malware accedan a sus dispositivos y roben sus datos personales. Sin embargo, si no tiene ninguna seguridad que proteja su producto o la que tiene no ha funcionado, esta vez tendrá que obtener una herramienta incluso más potente – software de eliminación de malware (no es lo mismo que un antivirus).

Por último, si ha bloqueado su smartphone comprometido con la nota de rescate de LokiBot, la solución más sencilla es recuperar los archivos encriptados ejecutando Android en un Modo Seguro.

Herramientas de extracción Malware automática