Virus que encripta el disco duro y pide rescate en empresa

A mi me paso, tenemos un servidor Cloud y misteriosamente entró un rasonware, por suerte yo tenia copias de seguridad menos de unas bases de datos de sql que no pudieron encriptar supongo pq estaban en ejecucion el mysql.

Yo de vosotros repasaria todo lo que no pudo encriptar, hacer un volcado, desinfectar por si acaso y utilizar.

Otro metodo, dependiendo del rasonware es el de volver a un estado anterior en Windows.

Tambien hay una utilidad en Windows en cada archivo si vas a propiedades puedes volver a un estado anterior siempre que este acivada la opcion.

Pero vamos, no tener copias de seguridad es muy grave.

Yo las copias las hago remotas por FTP para que no encripte las unidadds mapeadas, bueno ya las hacia antes asi pq sino no tendria ni copias de seguridad.

Como no tenga nada, tendra que pagar, una empresa de Girona pago a unos 3000€ y le devolvieron todo.

Mira en este hilo: hilo_no-more-ransom-project_2181434
Según que ransomware sea el que les ha entrado cabe la posibilidad de subir un fichero y desencriptarlo.

Se ha dicho por activa y por pasiva que los datos críticos tienen que tener su respectiva copia de seguridad. Si es posible tiene que encontrarse esta información replicada en distintos lugares, entre ellos, a poder ser que alguna sea una máquina externa de la organización bajo la que se tenga control.

Pagar a los ciberdelincuentes sólo les hara más fuertes y sacar benificio del ataque realizado. Si nadie pagara, no seguirían haciendolo ni podrían invertir en recursos para conseguir mejores recursos.

Lo interesante sería saber cómo les han realizado el ataque para que no vuelva a ocurrir. (Si los informáticos se desentienden y no adoptan medidas para evitar este tipo de ataques; igual tienen que cambiar de informáticos. Errores los tenemos todos, pero desentenderse de ellos no queda demasiado profesional).

Agradezco la ayuda, pero el caso es que las copias de seguridad estaban en el servidor que han encriptado, no habia mas copias de seguridad. A mi amigo al parecer le lleva los temas informaticos de copias de seguridad y todo eso una empresa externa de informatica, pero vamos, parece que no tienen mucha idea y mi amigo tiene un gran problema porque o paga o le borran todo y tendria que cerrar la empresa...¿tan dificil es pillar a esta gente? parece que el ciberdelincuente se ha puesto en contacto con mi amigo, osea que no es un virus masivo, parece algo particular ¿o van victima a victima? Yo pensaba que estos ataques eran masivos y lo que pagabas iba a una cuenta y al pagar se liberaban los archivos de forma automatica.

Las copias críticas hay que tenerlas en un dispositivo fuera de la red, como un disco duro externo y bajo llave, con copias periódicas, una vez por semana como muy tarde. El que sea responsable / encargado del tema es un completo incompetente en ese aspecto.

men100 escribió:osea que no es un virus masivo, parece algo particular

Solo que el administrativo de turno abra con un adjunto por email que contenga cualquier ransomware es suficiente, no hay porque pensar que va a por la empresa llamemosla X.

coyote escribió:Las copias críticas hay que tenerlas en un dispositivo fuera de la red, como un disco duro externo y bajo llave, con copias periódicas, una vez por semana como muy tarde. El que sea responsable / encargado del tema es un completo incompetente en ese aspecto.

men100 escribió:osea que no es un virus masivo, parece algo particular

Solo que el administrativo de turno abra con un adjunto por email que contenga cualquier ransomware es suficiente, no hay porque pensar que va a por la empresa llamemosla X.

Si, me da a mi de que son unos incopetentes porque yo, sin ser informatico, si tuviera una empresa con tantos datos pues haria copias cada poco tiempo sin tenerlas conectadas a la red. Tener las copias conectadas a internet me parece una negligencia grave.

Pero imagino que habra miles de victimas, con mi amigo se comunicaron personalmente. Si no paga, se lo borra y seria una putada. En fin, me da que va a tocar pagar y cruzar los dedos...dudo que la policia pueda hacer nada en casos asi, el responsable/es de estos estaran a saber donde ganando millonadas.

men100 escribió:

coyote escribió:Las copias críticas hay que tenerlas en un dispositivo fuera de la red, como un disco duro externo y bajo llave, con copias periódicas, una vez por semana como muy tarde. El que sea responsable / encargado del tema es un completo incompetente en ese aspecto.

men100 escribió:osea que no es un virus masivo, parece algo particular

Solo que el administrativo de turno abra con un adjunto por email que contenga cualquier ransomware es suficiente, no hay porque pensar que va a por la empresa llamemosla X.

Si, me da a mi de que son unos incopetentes porque yo, sin ser informatico, si tuviera una empresa con tantos datos pues haria copias cada poco tiempo sin tenerlas conectadas a la red. Tener las copias conectadas a internet me parece una negligencia grave.

Pero imagino que habra miles de victimas, con mi amigo se comunicaron personalmente. Si no paga, se lo borra y seria una putada. En fin, me da que va a tocar pagar y cruzar los dedos...dudo que la policia pueda hacer nada en casos asi, el responsable/es de estos estaran a saber donde ganando millonadas.

Para que te hagas una idea, estas estructuras de ramsonware tienen su propio call-center por así decirlo. No es que se comuniquen personalmente únicamente con tu amigo. Saben que es un buen negocio, saben cómo montarlo y tienen verdaderas estructuras profesionales en todos los aspectos, digamos que son empresas que se dedican a ello.

Lo dicho, hay unas pautas básicas que hay que seguir en negocios/empresas que están disponibles para todo el mundo. Otra cosa es que cada uno funcione cómo le de la gana y así, luego se ven y se leen cosas disparatadas.

Seguro que será de las últimas veces que le ocurra algo similar a tu amigo y pensará en contratar unos 'buenos' profesionales para controlar todo el asunto informático. Al final el amiguismo o lo barato puede salir caro.

A ver, las copias se pueden hacer el red pero el acceso al nas/servidor tiene que ser bajo user y pass, si la maquina se infecta no puede acceder a el, por lo tanto la copia no se ve afectada, no creo que el programa este descifre el user y pass del programa de copia de seguridad para infectar el nas/servidor...

Caniho escribió:A ver, las copias se pueden hacer el red pero el acceso al nas/servidor tiene que ser bajo user y pass, si la maquina se infecta no puede acceder a el, por lo tanto la copia no se ve afectada, no creo que el programa este descifre el user y pass del programa de copia de seguridad para infectar el nas/servidor...

Con que el ransomware pudiera realizar una escalada de privilegios (por ejemplo ponerse en modo administrador) sería suficiente para poder acceder al NAS/Servidor, siempre que el servidor lo permita. Muchas configuraciones que me he encontrado lo permiten.

Si desde un equipo realizas copias automatizadas (escribir en destino) entiendo que existe un usuario / contraseña con el que puedes acceder al NAS/Servidor, con obtener esta información sería suficiente para el ramsonware.

Otra cosa es que no se encuentre montado el destino de las copias y únicamente se enchufe o se encuentre accesible durante el tiempo que se realiza la copia de seguridad. (Si en ese mismo momento entra el ransomware seguramente también podría afectar al NAS/Servidor, pero de inicio has minimizado bastante la exposición).

Te dejo un enlace de un sistema de copias 'casero': https://www.loganmarchione.com/2017/07/ ... kup-setup/ bajo GNU/Linux por el que tal vez puedas coger alguna idea.

@men100
Yo sigo alucinando con la gente con lo famoso que fue el ataque de ransomware que afecto a nivel mundial (a la propia telefónica, aeropuertos, hospitales ect... hace unos meses atrás que salio en todos los medios de comunicación) y la gente no haya tomado medidas.

Tú amigo es un insensato literalmente (lamento decirlo así) y los de la empresa de seguridad contratada son unos absolutos incompetentes
Ante todo 2 cosas:
1) Que compruebe que tipo de ransomware es (lo mismo es uno de los pocos que se pueden des-encriptar los archivos) )la pagina que te ha pasado el compañero @Newton es valida
2) En el caso de que no sea afortunado entonces si o si toca pagar (ya que entiendo que si tiene que cerrar la empresa por esto es porque sera una empresa pequeña que depende exclusivamente de esto).

3) Para la próxima dile a tú amigo que se mantenga mas al día en el mundo de la informatizar, que no deje a sus empleados abrir archivos adjuntos y por supuesto que el servidor de copias de seguridad no este conectado de forma continua a la red (y por supuesto que tenga copias mensuales offline por lo que pueda pasar)

https://es.wikipedia.org/wiki/Ataques_r ... e_WannaCry

Ese es el más famoso y afecto al mundo entero (de verdad que no es algo que vaya "victima a victima" es algo masivo (y común)) por eso mismo no entiendo como dirigiendo una empresa donde las cantidades de dinero manejadas son altas no se preocupe tú amigo de estas cosas (y tú tampoco pareces tener mucha idea).

Simplemente dile a tú amigo que este preparado para este tipo de cosas (a fin de cuentas hacer un programa de unos pocos Kb que te cifre el HDD es muy muy simple de hacer y rápido.
Asi pues este tipo de "virus" son fáciles y rápidos de hacer (y se pueden hacer desde hace siglos) solo que ahora parece que se han puesto de moda.

Y por su puesto dile a tú amigo que "cifrar sus datos" no sirve de nada contra este tipo de ataques (y que l virus los vuelve a cifrar haciendo que de esta manera este "doblemente cifrado" y sea aun más jodido recuperarlo)

Saludos

Newton escribió:

Caniho escribió:A ver, las copias se pueden hacer el red pero el acceso al nas/servidor tiene que ser bajo user y pass, si la maquina se infecta no puede acceder a el, por lo tanto la copia no se ve afectada, no creo que el programa este descifre el user y pass del programa de copia de seguridad para infectar el nas/servidor...

Con que el ransomware pudiera realizar una escalada de privilegios (por ejemplo ponerse en modo administrador) sería suficiente para poder acceder al NAS/Servidor, siempre que el servidor lo permita. Muchas configuraciones que me he encontrado lo permiten.

Si desde un equipo realizas copias automatizadas (escribir en destino) entiendo que existe un usuario / contraseña con el que puedes acceder al NAS/Servidor, con obtener esta información sería suficiente para el ramsonware.

Otra cosa es que no se encuentre montado el destino de las copias y únicamente se enchufe o se encuentre accesible durante el tiempo que se realiza la copia de seguridad. (Si en ese mismo momento entra el ransomware seguramente también podría afectar al NAS/Servidor, pero de inicio has minimizado bastante la exposición).

Te dejo un enlace de un sistema de copias 'casero': https://www.loganmarchione.com/2017/07/ ... kup-setup/ bajo GNU/Linux por el que tal vez puedas coger alguna idea.

Yo me refiero,por ejemplo tienes instalado el iperius backup y solo dentro de este programa esta el user y pass encriptado,con un nas que encienda solo de 18 a 20 o similar y haga el backup a esa hora,no creo que el rasonware desencripte la pass dentro de otro programa que la tiene encriptada....

Caniho escribió:Yo me refiero,por ejemplo tienes instalado el iperius backup y solo dentro de este programa esta el user y pass encriptado,con un nas que encienda solo de 18 a 20 o similar y haga el backup a esa hora,no creo que el rasonware desencripte la pass dentro de otro programa que la tiene encriptada....

No he utilizado iPerius no sé cómo funciona.

Limitando la accesibilidad al NAS durante una franja horaria, que podrías hacerlo por ejemplo accesible a partir de las 18:00 hasta el momento que finaliza la copia de seguridad reduces bastante la exposición -cosa que creo que en el primer comentario creo que no citabas- Dudo que el usuario desprevenido ejecute el ramsonware a esa hora. No sé si sería posible que el ransomware se quedara en el equipo de la victima dormido y se lanzara de manera automática cuando éste lanza alguna petición contra algún dispositivo cómo puede ser la NAS. Desconozco el tipo de inteligencia que pueden tener estos bichos.

¿Cuando te refieres a user y pass que exista únicamente en el programa; a qué te refieres exactamente? Entiendo que a nivel Windows debe existir un usuario que tenga acceso al NAS para poder escribir los datos en ella. Con que el ransomware consiga ese usuario sería suficiente. Tal vez el programa de backup que mencionas tenga un servicio de sistema y éste se este ejecutando con ese usuario que tiene los permisos suficientes

Perfect Ardamax escribió:@men100
Yo sigo alucinando con la gente con lo famoso que fue el ataque de ransomware que afecto a nivel mundial (a la propia telefónica, aeropuertos, hospitales ect... hace unos meses atrás que salio en todos los medios de comunicación) y la gente no haya tomado medidas.

Tú amigo es un insensato literalmente (lamento decirlo así) y los de la empresa de seguridad contratada son unos absolutos incompetentes
Ante todo 2 cosas:
1) Que compruebe que tipo de ransomware es (lo mismo es uno de los pocos que se pueden des-encriptar los archivos) )la pagina que te ha pasado el compañero @Newton es valida
2) En el caso de que no sea afortunado entonces si o si toca pagar (ya que entiendo que si tiene que cerrar la empresa por esto es porque sera una empresa pequeña que depende exclusivamente de esto).

3) Para la próxima dile a tú amigo que se mantenga mas al día en el mundo de la informatizar, que no deje a sus empleados abrir archivos adjuntos y por supuesto que el servidor de copias de seguridad no este conectado de forma continua a la red (y por supuesto que tenga copias mensuales offline por lo que pueda pasar)

https://es.wikipedia.org/wiki/Ataques_r ... e_WannaCry

Ese es el más famoso y afecto al mundo entero (de verdad que no es algo que vaya "victima a victima" es algo masivo (y común)) por eso mismo no entiendo como dirigiendo una empresa donde las cantidades de dinero manejadas son altas no se preocupe tú amigo de estas cosas (y tú tampoco pareces tener mucha idea).

Simplemente dile a tú amigo que este preparado para este tipo de cosas (a fin de cuentas hacer un programa de unos pocos Kb que te cifre el HDD es muy muy simple de hacer y rápido.
Asi pues este tipo de "virus" son fáciles y rápidos de hacer (y se pueden hacer desde hace siglos) solo que ahora parece que se han puesto de moda.

Y por su puesto dile a tú amigo que "cifrar sus datos" no sirve de nada contra este tipo de ataques (y que l virus los vuelve a cifrar haciendo que de esta manera este "doblemente cifrado" y sea aun más jodido recuperarlo)

Saludos

Hombre, yo solo comento lo que me dijo mi amigo, me dejo preocupado y por eso comente por aqui a ver si habia alguna solucion.

Yo creo que la culpa es de los informaticos, pues para eso estan contratados: explicitamente para llevar las copias de seguridad y su seguridad (valga la redundancia). Si tienes una empresa y tu especialidad no es la informatica, para eso contratas a unos. Aunque bien es cierto que yo si que haria una copia a un disco duro externo cada x tiempo y la guardaria offline hasta la nueva copia (incluso tendria 2 o 3 discos diferentes para alternar). Imaginad que el bicho esta dormido semanas y cuando decide despertar te ha jodido todas las copias.. En fin, es muy complejo y yo creo que a esta gente casi nunca la detienen ni rinde cuentas ante la justicia.

La verdad es que si se han puesto de moda estos ataques, conozco a algun caso mas que le paso algo similar. Que desgracia, si alguien no paga tendra que cerrar la empresa, en fin...

@men100

No creas que la culpa es de los informaticos. Es de los informaticos.

La copia de seguiridad debe ser diaria; una de las copias puede ir al nas; pero otra debe de ir a un dispositvo fuera de la red (ya sea un disco offline o la nube).

Si los informaticos diseñan un plan de copias de seguridad y no tienen en cuenta los virus nomoreransom, la culpa es por supuesto suyo.

Respecto a recuperar la informacion mira en la pagina te han puesto

https://www.nomoreransom.org/

Lo primero es detectar la version, se pueden recuperar algunos otros simplemente es imposible.

Newton escribió:No he utilizado iPerius no sé cómo funciona.

Limitando la accesibilidad al NAS durante una franja horaria, que podrías hacerlo por ejemplo accesible a partir de las 18:00 hasta el momento que finaliza la copia de seguridad reduces bastante la exposición -cosa que creo que en el primer comentario creo que no citabas- Dudo que el usuario desprevenido ejecute el ramsonware a esa hora. No sé si sería posible que el ransomware se quedara en el equipo de la victima dormido y se lanzara de manera automática cuando éste lanza alguna petición contra algún dispositivo cómo puede ser la NAS. Desconozco el tipo de inteligencia que pueden tener estos bichos.

¿Cuando te refieres a user y pass que exista únicamente en el programa; a qué te refieres exactamente? Entiendo que a nivel Windows debe existir un usuario que tenga acceso al NAS para poder escribir los datos en ella. Con que el ransomware consiga ese usuario sería suficiente. Tal vez el programa de backup que mencionas tenga un servicio de sistema y éste se este ejecutando con ese usuario que tiene los permisos suficientes

Me refiero a como se lo deje configurado a un amigo, el programa hace copia de seguridad porque tiene el user y pass para poder acceder al nas, pero el operario del ordenador no tiene ni idea del user y pass y no puede acceder al nas, por eso digo que el rasonware no creo que desencripte el pass que esta en el programa de backups, y como el operario no sabe cual es no creo que el rasonware pudiera acceder al nas.

Caniho escribió:

Newton escribió:No he utilizado iPerius no sé cómo funciona.

Limitando la accesibilidad al NAS durante una franja horaria, que podrías hacerlo por ejemplo accesible a partir de las 18:00 hasta el momento que finaliza la copia de seguridad reduces bastante la exposición -cosa que creo que en el primer comentario creo que no citabas- Dudo que el usuario desprevenido ejecute el ramsonware a esa hora. No sé si sería posible que el ransomware se quedara en el equipo de la victima dormido y se lanzara de manera automática cuando éste lanza alguna petición contra algún dispositivo cómo puede ser la NAS. Desconozco el tipo de inteligencia que pueden tener estos bichos.

¿Cuando te refieres a user y pass que exista únicamente en el programa; a qué te refieres exactamente? Entiendo que a nivel Windows debe existir un usuario que tenga acceso al NAS para poder escribir los datos en ella. Con que el ransomware consiga ese usuario sería suficiente. Tal vez el programa de backup que mencionas tenga un servicio de sistema y éste se este ejecutando con ese usuario que tiene los permisos suficientes

Me refiero a como se lo deje configurado a un amigo, el programa hace copia de seguridad porque tiene el user y pass para poder acceder al nas, pero el operario del ordenador no tiene ni idea del user y pass y no puede acceder al nas, por eso digo que el rasonware no creo que desencripte el pass que esta en el programa de backups, y como el operario no sabe cual es no creo que el rasonware pudiera acceder al nas.

Que el operario no sepa el usuario no tiene nada que ver. Puesto que en muchos equipos de empresas, un trabajador que no se ocupe del tema IT no suele saber cual es el usuario administrador y su contraseña. Simplemente con que el usuario exista en el dominio y el ransomware hiciera una escalada de privilegios sería suficiente para acceder al NAS siempre que se encontrara conectado. Digo yo que un usuario con privilegios para lo que quieres hacer tiene que existir SI o SI.

Aún así, estando disponible vía red el NAS el menor tiempo posible y realizando una réplicación en un medio externo que no estuviera conectado a la red bajaría bastante la probabilidad de incidencia.

Supongo que si realmente quieren entrar en la empresa de tu amigo lo lograran, igual que lo hicieron con Toshiba https://www.myce.com/news/toshiba-shut- ... ost-82879/ pero de lo que se trata es, que no sea un coladero de ransomware y entren a la primera de cambio.

Posiblemente con una buena política de copias de seguridad y control de los correos electrónicos los riesgos los reduciría bastante. Pero claro, gente que no esta metida en el mundillo IT hablale de soluciones anti-spam, cortafuegos, AV etc ... de ello se deberían de encargar los informáticos que tiene (aunque también estaría bien saber que presupuesto les deja para securizar el entorno).

Esto pasa por querer siempre ahorrarse dos duros y contratar a "informáticos" de precio de saldo. ¿Como me vas a cobrar X si hasta mi cuñado lo monta el solito? Pero claro, con las ideas del todo gratis y el intrusismo que hay, así vamos. Respecto a tu amigo, si tenía un contrato, que pida responsabilidades a la empresa que les llevaba el tema de las copias de seguridad.

Vaya, los informáticos, si, siempre ellos... Madre mía, la de veces que he avisado de algo así y CASI NADIE lo entiende hasta que le pasa... 99% de casos -en empresas pequeñas dónde no hay encargado de informática (sea o no informático)- la respuesta, cuando he avisado, ha sido: Buf... qué caro pagar por venir a cambiar un disco... otra típica... sí, verás, normalmente hacemos el cambio, pero justo esta semana... (ah! y cuando revisas, lo que para el usuario es una semana, igual es un mes o dos, o nunca... depende de la jeta del tipo que te responde).

De hecho, hay que ver en este propio hilo la de inventos que llegaríamos a hacer para no hacer una copia semanal en un disco portable (quién dice semana, puede ser cada x días, o cada mes, cada uno sabrá de lo críticos que son sus datos, no? o también debe valorarlo el técnico... claro que si es así, todavía será más fácil culparle... ). Está claro que a ninguno de vosotros os pasaría, pero en casa, cuando el que paga manda... vuestro criterio a veces es el menos importante, os lo aseguro .

Como ha dicho un compañero, lo barato (sea en tiempo o dinero) suele ser muuuuy caro.

Madoc escribió:Vaya, los informáticos, si, siempre ellos... Madre mía, la de veces que he avisado de algo así y CASI NADIE lo entiende hasta que le pasa... 99% de casos -en empresas pequeñas dónde no hay encargado de informática (sea o no informático)- la respuesta, cuando he avisado, ha sido: Buf... qué caro pagar por venir a cambiar un disco... otra típica... sí, verás, normalmente hacemos el cambio, pero justo esta semana... (ah! y cuando revisas, lo que para el usuario es una semana, igual es un mes o dos, o nunca... depende de la jeta del tipo que te responde).

De hecho, hay que ver en este propio hilo la de inventos que llegaríamos a hacer para no hacer una copia semanal en un disco portable (quién dice semana, puede ser cada x días, o cada mes, cada uno sabrá de lo críticos que son sus datos, no? o también debe valorarlo el técnico... claro que si es así, todavía será más fácil culparle... ). Está claro que a ninguno de vosotros os pasaría, pero en casa, cuando el que paga manda... vuestro criterio a veces es el menos importante, os lo aseguro .

Como ha dicho un compañero, lo barato (sea en tiempo o dinero) suele ser muuuuy caro.

Totalmente de acuerdo.

Lo que el ransomware esta consiguiendo creo que es concienciar a las pequeñas y medianas empresas que una inversión en soporte IT/ seguridad es necesaria. El que quiera hacerlo bienvenido sea, el que piense que es tirar dinero por algo que a mí no me va pasar, pues veremos cómo acaba. El que quiera tirar del primo/amigo informático adelante.

Lo que esta claro es, que cualquier empresa que tenga el valor en los datos tiene que tomar una prevenciones. No creo que exista debate posible.

Newton escribió:Que el operario no sepa el usuario no tiene nada que ver. Puesto que en muchos equipos de empresas, un trabajador que no se ocupe del tema IT no suele saber cual es el usuario administrador y su contraseña. Simplemente con que el usuario exista en el dominio y el ransomware hiciera una escalada de privilegios sería suficiente para acceder al NAS siempre que se encontrara conectado. Digo yo que un usuario con privilegios para lo que quieres hacer tiene que existir SI o SI.

Aún así, estando disponible vía red el NAS el menor tiempo posible y realizando una réplicación en un medio externo que no estuviera conectado a la red bajaría bastante la probabilidad de incidencia.

Supongo que si realmente quieren entrar en la empresa de tu amigo lo lograran, igual que lo hicieron con Toshiba https://www.myce.com/news/toshiba-shut- ... ost-82879/ pero de lo que se trata es, que no sea un coladero de ransomware y entren a la primera de cambio.

Posiblemente con una buena política de copias de seguridad y control de los correos electrónicos los riesgos los reduciría bastante. Pero claro, gente que no esta metida en el mundillo IT hablale de soluciones anti-spam, cortafuegos, AV etc ... de ello se deberían de encargar los informáticos que tiene (aunque también estaría bien saber que presupuesto les deja para securizar el entorno).

El operario no puede acceder al nas, no hay privilegios por encima, al nas solo se accede si hay que tirar de copia de seguridad y el programa que hace la copia de seguridad, este ultimo la pass de acceso la tiene encriptada en la tarea por eso digo que me extraña mucho que un rasonware pueda acceder si la pass solo esta en el programa de backups, no se puede acceder al nas así porque si.

@Shiniori creo que trabajo en la empresa que comentas y si, nos devolvieron todo, incluso el tio nos mandó un enlace para solucionar el problema con el cual él había conseguido entrar y encriptar todo.

@armaguedon28
De ser así te deseo lo mejor porque vas a pasarlas putas....

@armaguedon28
¿Cual fue la vulnerabilidad utilizada?

En el caso de que te entre un virus de estos ¿si formateas se soluciona? Yo por perder datos no es porque todo lo esencial e incluso lo más básico lo tengo en varios discos externos.

@Kedex
Este "programa" lo único que hace es encriptar archivos (de hecho el propio windows desde windows Vista tiene un programa integrado para encriptar el HDD) y a lo sumo expandirse por las unidades en red o USB.
Así pues simplemente formateando las unidades encriptadas fin del problema.

Lo que tienes que entender es que esto no es ningún virus "especial" es simplemente un programa que encripta datos (sin pedirle permiso al usuario) es famoso porque no hay forma humana de des-encriptar los datos y por lo tanto es tan temido porque salvo excepciones no hay antivirus, antispyware ect... capaz de detenerlo o remediar sus efectos.
Pero más haya de eso es como digo un simple programa que encripta los datos (con la diferencia de que no te pide permiso para hacerlo como si hace por ejemplo el que lleva windows integrado)

Aqui el programa que viene integrado en windows https://es.wikipedia.org/wiki/BitLocker ... Encryption
Estos programas se diseñaron para proporcionar seguridad a empresas ect.... pero cuando modficas levemente un programa de estos para que cifre "si tú permiso explicito" los archivos lo que tienes es un virus muy muy muy cabrón

Saludos

@Perfect Ardamax

Que bien explicado compañero, muchas gracias.

Es que llevo ya unos años que de vez en cuando siempre veo temas de estos, y al verlo hoy me ha picado la curiosidad.

A mí ya os digo, si me pasa lo único que me hará perder un tiempo mientras formateo y meto de nuevo todo, dinero mío no llegará a ver

@Kedex
Yo por ejemplo tengo 16TB de datos de los cuales 10TB son esenciales.....si me pasa me muero (lo bueno es que son archivos grandes y pesados por lo que tardaría varios días (puede que mas de una semana) en encriptarmelo todo. Sin mencionar que el uso de la CPU subiría (normalmente esta entre un 10% y un 20% de uso) por lo que yo creo que me daría cuenta mucho antes de que llegara a perderlo todo.

Ademas como "programa" que es solo funciona mientras sea el SO quien lo ejecute (así que si un HDD infectado lo conectas como esclavo a otro PC en teoría deberías de ser capaz de salvar los archivos no encriptados) digo "en teoría" porque dependes mucho del diseño del virus pero vamos que en principio conectando un HDD como esclavo a otro PC deberías poder acceder sin riesgo y salvar los archivos que aun no se hayan encriptado.

El problema esta cuando....son archivos pequeños (como documentos ect...) comunes en las empresas.....los archivos pequeños no requieren potencia de encriptado...se encriptan en "segundos"
Un documento de word que no pesa mas de 1MB se encriptara de forma instantánea y sin que la CPU sude por ello
Un archivo de varios GB eso ya te va a tardar en enciptarlo y la CPU va a sufrir (imposible que no te des cuenta) si por ejemplo tienes 8TB de proyectos de vídeo que individualmente pesan de 30GB a 60GB

En resumen para el usuario de oficina/ empresa puede darse por jodido para usuarios que trabajan con archivos pesados....siempre y cuando te estés algo atento te darás cuente mucho antes de que pueda encriptarte la mayor parte del HDD.

El tiempo medio suele ser 2 minutos por GB encriptado (pero dependiendo de las variante pueden tardar desde 30 segundos por GB a 5 minutos).
Normalmente los que están en el rango de 30 segundos a 1 minutos suelen ser lo que solo encriptan la cabecera del fichero (lo que hace que windows reconozca el archivo como un archivo de vídeo, audio, word, pdf ect...) por lo que en estos caso aun es posible recuperar el fichero restaurando la estructura de la cabecera (incluso aunque esto no fuera posible en los archivos de vídeo grandes se podría recuperar el vídeo en su casi total plenitud debido a que solo cifraría el primer "par" de MB).

En resumen con archivos pequeños lo más probable es que en 2-3h estés jodido, Con archivos grandes....puede llegar a tardar mas de 1 semana.

Todo esto esta sacado en base a la información de diversos foros de seguridad informática así pues si te estas atento lo más probable es que te des cuenta de su presencia antes de que te encripte todo el HDD.
Por supuesto cuando "DETECTAS AL INTRUSO" el PC debe de apagarse del botón de corriente (nada de "apagar equipo" ya que muchos aprovecha esto para joderte la tabla de particiones entre otras cosas).
Así pues si te pasa esto tira del cable de corriente o pulsa el botón de la fuente no le des a "apagar equipo"

Y por supuesto conectarlo como esclavo a otro PC en una cuenta limitada o usar LiVE CD

Solo de estas formas conseguirás recuperar los datos que aun no hayan sido tocados.

Saludos