Se disparan las infecciones del ransomware Cryptowall 3.0

Desde que el exploit kit Angler comenzó a finales de mayo a difundir el ransomware Cryptowall 3.0, el tráfico que contiene el malware ha seguido creciendo, poniendo a más víctimas potenciales en peligro. Pues bien, según SANS Institute, actualmente, las infecciones del ransomware emanan no sólo del exploit kit, sino también de campañas de spam maliciosas. Los dos métodos de infección comparten algunas características comunes, dando crédito a la teoría de que el mismo grupo puede estar detrás de ambos.

"En este momento, no estoy cien por cien seguro de que el mismo actor esté detrás del ransomware Cryptowall 3.0 hemos estado viendo últimamente", asegura Brad Duncan, investigador de seguridad. "Sin embargo, mi instinto me dice que toda esta actividad está relacionado con el mismo actor o grupo. El momento es mucho más que una coincidencia".

La 3.0 es la última versión de Cryptowall, que también se conoce como Crowti. Al igual que otras familias ransomware, Cryptowall 3.0 cifra los archivos almacenados en un equipo comprometido y exige un rescate, por lo general 500 dólares en Bitcoins, a cambio de la clave de cifrado. El malware utiliza numerosos canales para comunicarse y enviar tráfico robado a los atacantes, incluyendo las redes anónimas I2P y Tor.

"Estamos viendo muchas más muestras de CryptoWall 3.0 en el tráfico de spam ahora que antes, así que quizás el aumento de la exposición podría ayudar a infectar más ordenadores", señala Duncan.

La campaña de spam utiliza direcciones de correo electrónico de Yahoo para enviar Cryptowall 3.0 a través de archivos adjuntos con el nombre my_resume.zip, que contienen un archivo HTML llamado my_resume.svg. Duncan afirma que los atacantes han comenzado a añadir números a los nombres de archivo, como resume4210.html o resume9647.html.