Innok

Innok es un ransomware diseñado para cifrar archivos en sistemas comprometidos y exigir un rescate a las víctimas a cambio de su recuperación. Al infectar una máquina, innok añade la extensión ".innok" a los archivos cifrados y reemplaza el fondo de escritorio con un mensaje que informa sobre el ataque. También muestra una pantalla previa al inicio de sesión con la misma advertencia y deja una nota de rescate titulada "innok_Help.txt", donde los atacantes detallan las instrucciones para contactar con ellos y realizar el pago.

Este ransomware emplea tácticas de doble extorsión, ya que no solo cifra los archivos, sino que también advierte a las víctimas sobre el posible robo de datos. Además, ofrece la opción de descifrar dos archivos pequeños de forma gratuita como prueba de que el pago garantizaría la recuperación de los datos. Sin embargo, no hay certeza de que los atacantes cumplan su promesa tras recibir el dinero, por lo que se recomienda no pagar el rescate.

Innok suele propagarse a través de correos electrónicos maliciosos, descargas fraudulentas y publicidad engañosa. La mejor estrategia para mitigar su impacto es contar con copias de seguridad almacenadas en ubicaciones seguras y utilizar soluciones de seguridad actualizadas. La eliminación del ransomware impide nuevas encriptaciones, pero no recupera los archivos cifrados, por lo que la prevención es clave para evitar este tipo de ataques.

Funcionamiento

Innok es un ransomware identificado por investigadores de seguridad como un clon de BlackPanther, lo que sugiere que comparte muchas de sus características y métodos de ataque. Su principal función es cifrar los archivos del sistema infectado y exigir un rescate para su recuperación. A continuación, se detalla su funcionamiento desde la infección hasta la fase de extorsión.

1. Fase de Infección y Persistencia

Vector de Infección

Innok se propaga principalmente a través de técnicas de ingeniería social y métodos de distribución automatizados, incluyendo:

Correos electrónicos de phishing con archivos adjuntos maliciosos (documentos de Office con macros, archivos ZIP o ejecutables).
Descargas engañosas y publicidad maliciosa en sitios web comprometidos o falsos.
Troyanos de carga (loaders) que despliegan Innok como una segunda fase de ataque.
Explotación de vulnerabilidades en software desactualizado, permitiendo la ejecución remota de código.
Distribución a través de dispositivos USB o comparticiones de red, si el ransomware incorpora capacidades de autopropagación.

Persistencia en el Sistema

Una vez ejecutado, Innok establece persistencia en el sistema mediante:

Modificación del Registro de Windows: Agrega entradas en HKCU\Software\Microsoft\Windows\CurrentVersion\Run o HKLM\Software\Microsoft\Windows\CurrentVersion\Run para ejecutarse en cada inicio del sistema.
Creación de una tarea programada: Se configura una tarea en Task Scheduler que garantiza su ejecución periódica.
Copias en ubicaciones clave: Puede copiarse en directorios como %AppData%, %Temp%, o %SystemRoot%.
Manipulación de procesos críticos: Puede deshabilitar procesos de seguridad o terminarlos antes de la fase de cifrado.

2. Fase de Cifrado de Archivos

Selección de Archivos Objetivo

Innok escanea el sistema en busca de archivos susceptibles a cifrado. Generalmente, evita cifrar archivos críticos del sistema operativo para no dejar el sistema inoperable y permitir que la víctima pueda leer el mensaje de rescate. Las extensiones comúnmente afectadas incluyen:

Documentos de Office (.doc, .docx, .xls, .xlsx, .ppt, .pptx)
Archivos de texto (.txt, .rtf, .csv)
Imágenes y videos (.jpg, .png, .mp4, .avi, .mov)
Archivos comprimidos (.zip, .rar, .7z)
Bases de datos (.sql, .mdb, .db)

Algoritmo de Cifrado

Innok utiliza un esquema criptográfico que puede ser:

AES-256 (Advanced Encryption Standard) en modo CBC o CTR para cifrar los archivos de manera rápida y eficiente.
RSA-2048/4096 en combinación con AES, donde una clave de sesión AES cifra los archivos, y la clave pública RSA cifra la clave AES.

Una vez cifrado un archivo, se le añade la extensión ".innok", transformando nombres como documento.docx en documento.docx.innok.

Modificación de la Tabla de Archivos

Innok puede manipular la Master File Table (MFT) en sistemas NTFS para evitar la recuperación de datos sin pagar el rescate. También puede sobrescribir los archivos originales con datos aleatorios antes de eliminarlos, dificultando su restauración mediante software de recuperación.

3. Fase de Extorsión

Creación de la Nota de Rescate

Tras el cifrado, Innok deja una nota de rescate llamada "innok_Help.txt", ubicada en múltiples directorios (Escritorio, Documentos, etc.). Además, cambia el fondo de pantalla del usuario y muestra un mensaje en la pantalla previa al inicio de sesión, asegurando que la víctima vea la advertencia.

El mensaje informa que los archivos han sido cifrados y robados, y proporciona instrucciones para contactar con los atacantes a través de direcciones de correo electrónico como innokentiy@mailum.com o innokentiy@onionmail.org. También ofrece una prueba de descifrado de dos archivos menores a 1 MB para generar confianza en la víctima.

Bloqueo de Acceso

Innok implementa una técnica similar a los screenlockers, evitando el acceso normal al sistema al modificar el proceso de inicio de sesión con un mensaje que aparece antes de la autenticación del usuario. Esto obliga a la víctima a seguir las instrucciones para contactar con los atacantes.

Mecanismo de Pago

El ransomware exige el pago en criptomonedas (Bitcoin o Monero) para garantizar el anonimato de los atacantes. El monto del rescate puede variar dependiendo del perfil de la víctima (usuario doméstico o empresa).

4. Técnicas Anti-Forenses y Anti-Análisis

Innok implementa múltiples técnicas para evitar su detección y análisis:

Evasión de Análisis

Detección de entornos virtuales: Puede verificar la presencia de VMware, VirtualBox o entornos de depuración y detener su ejecución si detecta estos entornos.
Obfuscación de código: Innok puede estar empaquetado o cifrado con herramientas como UPX para dificultar su análisis.
Uso de APIs de Windows: Utiliza GetTickCount() y QueryPerformanceCounter() para detectar debugging.

Evasión de Detección por Antivirus

Inyección de código: Puede inyectarse en procesos legítimos (explorer.exe, svchost.exe) para ocultar su actividad.
Apagado de servicios de seguridad: Intenta desactivar el Windows Defender, firewall y otros mecanismos de protección mediante comandos como:
Evasión de sandbox: Puede verificar la latencia del sistema para detectar si se está ejecutando en una sandbox y evitar ser analizado.

5. Métodos de Eliminación y Recuperación

Eliminación de Innok

Eliminar el ransomware no recupera los archivos cifrados, pero evita que el cifrado se propague a otros archivos. Se recomienda:

Desconectar el equipo de la red para evitar la propagación del ransomware.
Arrancar en Modo Seguro y utilizar herramientas como Malwarebytes o Microsoft Defender para eliminar la amenaza.
Revisar el Registro de Windows y eliminar entradas maliciosas creadas por el ransomware.

Recuperación de Archivos

Copias de Seguridad: La mejor solución es restaurar archivos desde un backup almacenado en un dispositivo externo o en la nube.
Herramientas de Recuperación: Si el ransomware no ha sobrescrito los archivos originales, herramientas como Recuva o TestDisk podrían ayudar a recuperarlos.
Decrypters Públicos: En algunos casos, expertos en seguridad publican herramientas de descifrado si logran encontrar fallas en el cifrado del ransomware. Sin embargo, actualmente no hay un descifrador disponible para Innok.

Impacto y consecuencias

Innok es un ransomware altamente disruptivo que compromete la integridad, disponibilidad y confidencialidad de la información en sistemas afectados. Su impacto se extiende desde la pérdida de datos críticos hasta el colapso de operaciones empresariales. A continuación, se detallan las consecuencias técnicas, económicas y operativas de una infección por Innok.

1. Impacto en la Integridad de la Información

El cifrado de archivos realizado por Innok afecta la integridad de los datos, ya que los transforma en un estado ilegible sin la clave de descifrado. Esto tiene varias implicaciones:

1.1. Alteración Irreversible de Datos

El ransomware cifra documentos, imágenes, bases de datos y archivos esenciales, cambiando su formato original y bloqueando su uso.
La única forma de restaurar la información es mediante una clave privada, que solo poseen los atacantes.

1.2. Pérdida de Datos Sensibles

Si no existen copias de seguridad, la información podría perderse de manera permanente.
Las bases de datos cifradas pueden interrumpir operaciones comerciales y financieras, afectando transacciones, registros de clientes y servicios en línea.

1.3. Eliminación y Sobrescritura de Archivos Originales

Innok puede eliminar las versiones originales de los archivos cifrados y sobrescribirlos con datos aleatorios, dificultando su recuperación con software especializado.
Si la MFT (Master File Table) de sistemas NTFS es alterada, la estructura del sistema de archivos podría quedar comprometida.

2. Impacto en la Disponibilidad del Sistema

Innok no solo cifra archivos, sino que puede obstaculizar el acceso a los sistemas infectados, provocando indisponibilidad total o parcial de los servicios.

2.1. Bloqueo del Acceso a Sistemas Operativos

Modificación de claves de inicio de sesión para evitar que los usuarios accedan a sus sistemas.
Uso de screenlockers para mostrar el mensaje de rescate antes de la autenticación.
Eliminación o corrupción de archivos del sistema, provocando fallos en el arranque.

2.2. Caída de Infraestructura Empresarial

Si Innok afecta servidores de bases de datos, los servicios críticos pueden interrumpirse (ej. CRM, ERP, aplicaciones de facturación).
Organizaciones sin planes de recuperación de desastres pueden tardar días o semanas en restaurar la funcionalidad de sus sistemas.

2.3. Propagación en Redes Corporativas

Si Innok tiene capacidades de lateral movement, podría infectar múltiples dispositivos en una red.
Sistemas compartidos, como servidores de archivos, pueden convertirse en puntos de propagación.

3. Impacto en la Confidencialidad de la Información

Aunque Innok está diseñado principalmente para cifrar archivos y exigir un rescate, algunos ransomware modernos han adoptado tácticas de doble extorsión, donde los atacantes exfiltran datos sensibles antes de cifrarlos.

3.1. Robo y Filtración de Datos

Si Innok incorpora mecanismos de extracción de datos, podría robar información corporativa, credenciales o documentos confidenciales.
Los atacantes pueden amenazar con filtrar datos en la dark web si no se paga el rescate.

3.2. Compromiso de la Privacidad de los Usuarios

Datos personales almacenados en dispositivos infectados podrían ser vendidos en foros clandestinos.
Organizaciones afectadas pueden enfrentar demandas o sanciones por incumplimiento de regulaciones de protección de datos como el GDPR o la Ley de Protección de Datos de Colombia (Ley 1581 de 2012).

4. Impacto Económico

Las consecuencias financieras de Innok pueden ser devastadoras, tanto para individuos como para grandes empresas.

4.1. Costos Directos

Pago de rescate en criptomonedas, que puede oscilar entre miles y millones de dólares, dependiendo de la víctima.
Costos de recuperación de datos mediante servicios especializados en forense digital.

4.2. Costos Indirectos

Pérdida de ingresos por inactividad de sistemas y afectación de operaciones comerciales.
Gastos en ciberseguridad, incluyendo la implementación de nuevas medidas de protección.
Multas por incumplimiento de regulaciones si la organización no protegió adecuadamente los datos.

4.3. Impacto en Pequeñas Empresas

Negocios sin respaldo financiero pueden enfrentar la quiebra si no pueden pagar el rescate o restaurar sus operaciones.

5. Impacto en la Seguridad y Estabilidad del Entorno de TI

El ataque de Innok deja a las organizaciones vulnerables a futuras amenazas.

5.1. Creación de Puertas Traseras

Innok podría instalar backdoors para acceso remoto persistente, permitiendo ataques posteriores.
Modificación de configuraciones de seguridad para facilitar futuras infecciones.

5.2. Debilitamiento de la Seguridad del Sistema

Eliminación o desactivación de software de seguridad, exponiendo el sistema a otras amenazas como troyanos y botnets.

5.3. Daño a la Reputación

Empresas atacadas pueden perder la confianza de clientes y socios.
Ataques a instituciones gubernamentales pueden afectar la percepción de estabilidad y seguridad del país.

6. Consecuencias Legales y Regulatorias

Dependiendo de la región y el sector afectado, un ataque de ransomware puede tener repercusiones legales.

6.1. Responsabilidad Legal

Empresas que manejan datos de clientes pueden ser demandadas por negligencia en la protección de la información.
Bancos y entidades financieras deben cumplir normativas como la ISO 27001 y la Ley de Protección de Datos Financieros.

6.2. Sanciones por Incumplimiento Normativo

Regulaciones como el GDPR en Europa y la Ley de Habeas Data en Colombia imponen multas si no se protege la información personal.
Las entidades gubernamentales pueden enfrentar auditorías y restricciones por parte de organismos de control.

Origen y motivación

Innok es un ransomware cuya origen exacto sigue siendo incierto, pero su desarrollo y distribución sugieren la participación de grupos cibercriminales con experiencia en ataques dirigidos. Su motivación principal es económica, utilizando tácticas de doble extorsión para forzar el pago de rescates en criptomonedas a cambio de recuperar los archivos cifrados y evitar la filtración de información sensible. Además, su diseño avanzado y técnicas de evasión indican un enfoque estratégico para maximizar el impacto en empresas y organizaciones con infraestructura crítica, buscando explotar vulnerabilidades en sistemas desprotegidos o mal configurados.

Relación de acciones para mitigar el riesgo de esta actividad maliciosa.