StormCry

StormCry (Stormous) es un ransomware que cifra archivos en un sistema, añadiéndoles la extensión ".stormous", y exige un rescate de 300 dólares en Bitcoin para su descifrado, proporcionando notas de rescate en archivos "readme.html" y "pleas_readme@.txt". Se propaga a través de técnicas de phishing y descargas engañosas, y no garantiza la recuperación de archivos incluso tras el pago. La eliminación del ransomware detiene nuevos cifrados pero no restaura los archivos afectados, siendo la copia de seguridad la única solución segura. La mejor protección contra este tipo de amenaza es la prevención mediante prácticas de navegación seguras, uso de software de seguridad actualizado y mantenimiento de copias de seguridad en múltiples ubicaciones.

Funcionamiento

StormCry (Stormous) es un ransomware que opera mediante un proceso de cifrado de archivos en el sistema infectado, añadiéndoles la extensión ".stormous". A continuación, se detallan los pasos de su funcionamiento técnico:

1. Infección y ejecución inicial: StormCry se distribuye principalmente a través de correos electrónicos de phishing con archivos adjuntos maliciosos, descargas de sitios web no confiables, y otras técnicas de ingeniería social. Al ser ejecutado, el ransomware comienza su proceso malicioso.
2. Cifrado de archivos: Utiliza algoritmos de cifrado robustos (simétricos o asimétricos) para encriptar archivos en el sistema. Durante este proceso, modifica los nombres de los archivos afectados agregándoles la extensión ".stormous". Por ejemplo, "documento.txt" se convierte en "documento.txt.stormous".
3. Creación de notas de rescate: Una vez completado el cifrado, StormCry genera archivos de texto y HTML, denominados "pleas_readme@.txt" y "readme.html" respectivamente. Estas notas contienen instrucciones para el pago del rescate y la recuperación de los archivos.
4. Solicitud de rescate: La nota de rescate informa a la víctima que sus archivos han sido cifrados y que debe pagar 300 dólares en Bitcoin a la dirección de la criptocartera especificada para obtener la herramienta de descifrado. La nota también ofrece la posibilidad de probar el descifrado en un número limitado de archivos para comprobar su efectividad.
5. Mecanismo de presión: El mensaje de rescate establece un plazo de tres días para el pago inicial, después del cual el rescate se duplicará. Si no se paga dentro de siete días, el descifrado se declara imposible.
6. Persistencia y eliminación: Aunque la eliminación del ransomware del sistema puede detener nuevas actividades de cifrado, no recupera los archivos ya cifrados. Los sistemas afectados necesitan ser escaneados con software antivirus actualizado para eliminar el ransomware, pero la recuperación de archivos solo es posible mediante copias de seguridad preexistentes.
7. Técnicas de evasión: StormCry puede emplear diversas técnicas de evasión para evitar la detección por software de seguridad, como la ofuscación del código y la modificación de firmas para eludir las bases de datos de antivirus.

Impacto y consecuencias

Impacto en el Sistema:

1. Cifrado de Datos: StormCry encripta archivos cruciales en el sistema infectado, utilizando algoritmos de cifrado avanzados. Los archivos afectados incluyen documentos, imágenes, videos, bases de datos, y más, haciendo que sean inaccesibles para el usuario sin la clave de descifrado.
2. Renombramiento de Archivos: Durante el proceso de cifrado, StormCry agrega la extensión ".stormous" a los archivos, por ejemplo, "documento.txt" se convierte en "documento.txt.stormous", lo que indica que los archivos han sido cifrados por el ransomware.
3. Creación de Archivos de Rescate: El ransomware genera archivos "readme.html" y "pleas_readme@.txt" en los directorios afectados, los cuales contienen instrucciones sobre cómo pagar el rescate para obtener la herramienta de descifrado.

Consecuencias Operativas:

1. Interrupción del Negocio: Para organizaciones, el cifrado de datos puede provocar una interrupción significativa de las operaciones comerciales, ya que los empleados no pueden acceder a archivos esenciales para el funcionamiento diario.
2. Pérdida de Datos: Si no se cuenta con copias de seguridad recientes y completas, los datos cifrados pueden perderse permanentemente si la víctima decide no pagar el rescate o si los ciberdelincuentes no proporcionan la herramienta de descifrado después del pago.
3. Costos Financieros: Además del rescate demandado, que es de 300 dólares en Bitcoin, las organizaciones pueden enfrentar costos adicionales relacionados con la respuesta al incidente, la recuperación de datos, la mejora de la seguridad, y la posible pérdida de ingresos debido a la interrupción del negocio.

Consecuencias de Seguridad:

1. Vulnerabilidad Persistente: Incluso después de eliminar el ransomware, el sistema puede seguir siendo vulnerable si no se identifican y corrigen las brechas de seguridad explotadas inicialmente por StormCry.
2. Exposición de Datos Sensibles: En algunos casos, los atacantes pueden exfiltrar datos sensibles antes de cifrarlos, lo que puede resultar en violaciones de datos y posibles sanciones regulatorias.

Reputación y Confianza:

1. Daño a la Reputación: Las organizaciones que sufren ataques de ransomware pueden enfrentar un daño significativo a su reputación, especialmente si los datos de los clientes están involucrados o si la interrupción del servicio es pública.
2. Pérdida de Confianza del Cliente: Los clientes pueden perder confianza en la capacidad de la organización para proteger sus datos, lo que puede resultar en la pérdida de clientes y contratos.

Origen y motivación

StormCry (Stormous) ransomware parece tener su origen en grupos de ciberdelincuentes motivados principalmente por ganancias financieras. Estos atacantes utilizan tácticas de phishing y descargas engañosas para distribuir el ransomware y extorsionar a las víctimas, exigiendo pagos en criptomonedas como Bitcoin para obtener anonimato y dificultar el rastreo de las transacciones. La motivación detrás de StormCry, como con muchos otros ransomware, es obtener un beneficio económico rápido y considerable, aprovechándose de la desesperación de las víctimas por recuperar el acceso a sus datos cifrados.

• Relación de acciones para mitigar el riesgo de esta actividad maliciosa.