Cosas chulas que tiene Conti, el ransomware más rápido del Oeste. 32 hilos de CPU en paralelo, pero… ¿para qué? Interesante la diferencia entre el ransomware "doméstico" y el "industrial". Hilo ¬
Ha sido Carbon Black quien ha analizado una nueva versión de Conti, descubriendo nuevos niveles de sofisticación. Conti utiliza 32 hilos simultáneos de CPU. Esto permite que cifre muy rápido todo el disco duro que se le ponga por delante, o en remoto a "vecinos de red".
Cuanto más rápido es el ransomware, antes puede pasar desapercibido ante cualquier sistema de alerta, desde los reactivos hasta los preventivos. Siempre será demasiado tarde. También le sirve para cifrar ficheros muy grandes de BBDD de servidores, que es donde se "agazapa".
Otra característica interesante de Conti es que, de nuevo “agazapado” en un servidor, puede atacar a la red colindante y cifrar las unidades compartidas de sistemas vecinos. De este modo, los administradores de red no sabrán de dónde les viene el ataque.
Para saber qué máquinas están a tu alrededor, tienes dos opciones: analizar las IPs de la propia red y recorrer el rango ...o usar un "arp - a" y saber de forma más precisa con qué máquinas has contactado recientemente. Esto último es justo lo que hace Conti.
La mayoría del ransomware “casero” busca extensiones potencialmente valiosas para la víctima. Documentos, fotografías, datos, etc. Conti lo cifra todo menos los ejecutables, binarios y drivers. Para agilizar, evita algunos directorios de sistema. La velocidad se lo permite.
El mérito del análisis de esta muestra es mayor cuando se conoce cómo ofusca su propio código. Conti intenta ocultar cada string, cada llamada a API de sistema usando un algoritmo diferente con claves diferentes… y así hasta 277 funciones (algoritmos) usados internamente.
En resumen, tras unos años entre nosotros, el ransomware ha madurado. Se ha industrializado, especializado y sofisticado contra unas víctimas mucho más lucrativas... y de qué manera. Más info: empresas.blogthinkbig.com/conti-ransomwa…
