Herramienta de Descifrado Gratuita Disponible para el Ransomware del 'Grupo Clave'

EclecticIQ ha lanzado una herramienta de descifrado gratuita para ayudar a las víctimas del ransomware del Grupo Clave a recuperar sus datos sin tener que pagar un rescate.

La firma de inteligencia cibernética EclecticIQ anunció el jueves el lanzamiento de una herramienta de descifrado gratuita para ayudar a las víctimas del ransomware del Grupo Clave a recuperar sus datos sin tener que pagar un rescate.

También conocido como keygroup777, el Grupo Clave es un actor de cibercrimen de habla rusa conocido por vender información de identificación personal (PII) y acceso a dispositivos comprometidos, así como por extorsionar a las víctimas por dinero.

El grupo ha sido observado utilizando canales privados de Telegram para comunicarse con los miembros y compartir detalles sobre herramientas ofensivas. Basándose en esta comunicación, EclecticIQ cree que el grupo comenzó a utilizar NjRAT para el acceso remoto a los dispositivos de las víctimas.

El Grupo Clave presentó su familia de ransomware el 6 de enero y desde entonces ha continuado utilizándola en ataques.

En la máquina de la víctima, el ransomware del Grupo Clave elimina las copias de sombra de volumen (utilizando herramientas de terceros) y las copias de seguridad realizadas con la herramienta de copia de seguridad del servidor de Windows, e intenta desactivar funciones de seguridad como la pantalla de recuperación de errores de Windows y el entorno de recuperación de Windows.

El ransomware también puede desactivar los mecanismos de actualización de herramientas antimalware de varios proveedores, incluidos Avast, ESET y Kaspersky.

Mientras analizaban la amenaza, los investigadores de seguridad de EclecticIQ descubrieron varios errores criptográficos que les permitieron desarrollar un descifrador para el ransomware, para ayudar a las víctimas.

Los investigadores observaron que el ransomware emplea cifrado AES y utiliza una clave estática codificada en base64 para cifrar los archivos de las víctimas, sin aplicar suficiente "sal" a los datos cifrados.

"El actor de la amenaza intentó aumentar la aleatoriedad de los datos cifrados utilizando una técnica criptográfica llamada 'salting'. La sal era estática y se utilizaba para cada proceso de cifrado, lo que representa un defecto significativo en la rutina de cifrado", explica EclecticIQ.

En la nota de rescate dejada en las computadoras de las víctimas, sin embargo, los atacantes afirmaron que los archivos estaban cifrados con un algoritmo de cifrado de grado militar y que los datos solo podrían recuperarse pagando un rescate.

EclecticIQ dice que su herramienta de descifrado gratuita se puede utilizar para descifrar archivos que tienen la extensión .keygroup777tg, pero advierte que la herramienta es experimental y podría no funcionar en todas las muestras de ransomware del Grupo Clave.

La herramienta, un script de Python disponible en la parte inferior del informe de EclecticIQ sobre el ransomware del Grupo Clave, solo funciona con muestras compiladas después del 3 de agosto.

Fuente y créditos: Free Decryptor Available for 'Key Group' Ransomware - SecurityWeek

Contenido traducido al español con fines informativos, cualquier cambio en la publicación original no será reflejada en esta entrada, favor referirse a la fuente para obtener el acceso a cualquier actualización del contenido. Para la traducción se utilizó ChatGPT, al ser una traducción automática puede contener errores gramaticales o de otro tipo, favor enviar comentarios al moderador para corregir.