La semana pasada un nuevo ransomware llamado Coverton fue puesto en libertad, el ransomware usa el cifrado AES + RSA para secuestrar sus archivos y pedir por ellos 1 bitcoins. Desafortunadamente, mediante una analisis del ransomware se ha demostrado que este ransomware esta criptográficamente bien elaborado, lo que significa que no hay debilidad subyacente que pueda ser explotada para descifrar los archivos de forma gratuita. Debido a esto, algunas de las víctimas no les ha quedado otra que pagar por el rescate. Después de recibir el descifrador, sin embargo, la víctima ha dado a conocer que no se descifran correctamente sus archivos.
Las dos víctimas indicaron que el descifrador que les fue enviado por los delincuentes no los desencripta correctamente tal vez porque Coverton no descifro correctamente o porque los datos originales fueron mal cifrados. De cualquier forma en que se mire, es lo suficientemente frustrante escuchar que una víctima pagó por el rescate, pero aún peor cuando descubrimos que hacerlo no les ayudó en nada.
Para aquellos que están infectados con el ransomware Coverton, es posible que desee considerar seriamente si usted debe pagar por el rescate ya que puede ser simplemente una estafa.
La familia ransomware Coverton
El ransomware Coverton fue visto por primera vez el 23 de marzo del 2016, y actualmente se desconoce cómo se distribuye el ransomware. Una vez instalado, se copia en la dirección: % UserProfile% \ userlog.exe y se configura asi mismo para ejecutarse automáticamente en cada reinicio de Windows. A continuación, escaneará su ordenador de archivos en busca de archivos que contengan determinadas extensiones para luego encriptarlas mediante el cifrado AES. Dependiendo de la variante del ransomware Coverton si queda infectado con el troyano los archivos cifrados tendrán las extensiones .coverton, .enigma o .czvxce adjuntado al nombre del archivo. Así, por ejemplo, test.jpg se convertiría en test.jpg.coverton, o test.jpg.enigma, o test.jpg.czvxce.
Las extensiones de archivo específicas que encriptará, son:
1cd, 1st, 2bp, 3dm, 3ds, 3fr, 4db, 4dl, 4mp, 73i, 7z, 7z001, 7z002, 8xi, 9png, a00, a01, a02, a3d, abm, abs, abw, accdb, accdc, accde, accdr, accdt, accdw, accft, ace, act, adn, adp, af2, af3, aft, afx, agg, agif, agp, ahd, ai, aic, aim, ain, albm, alf, alz, ani, ans, apd, apm, apng, aps, apt, apx, apz, ar, arc, arh, ari, arj, ark, art, artwork, arw, asc, ascii, ase, ask, asp, aspx, asw, asy, aty, avatar, awdb, awp, awt, aww, axx, azz, b1, b64, ba, backup, bad, bak, bay, bbs, bdb, bdp, bdr, bean, bh, bhx, bib, blend, blkrt, bm2, bmp, bmx, bmz, bna, bnd, bndl, boc, bok, boo, brk, brn, brt, bss, btd, bti, btr, bz, bz2, bza, bzabw, bzip, bzip2, c00, c01, c02, c10, c4, c4d, cal, cals, can, car, cb7, cba, cbr, cbz, cd5, cdb, cdc, cdg, cdmm, cdmt, cdmtz, cdmz, cdr, cdr3, cdr4, cdr6, cdrw, cdt, cdz, cf, cfu, cgm, chart, chord, cimg, cin, cit, ckp, clkw, cma, cmx, cnm, cnv, colz, cp9, cpc, cpd, cpg, cps, cpt, cpx, cr2, crd, crwl, css, csv, csy, ct, cv5, cvg, cvi, cvs, cvx, cwt, cxf, cyi, czip, daconnections, dacpac, dad, dadiagrams, daf, daschema, db, db2, db3, dbc, dbf, dbk, dbs, dbt, dbv, dbx, dc2, dca, dcb, dcr, dcs, dct, dcx, dd, ddl, ddoc, dds, deb, ded, design, df1, dgc, dgn, dgs, dgt, dhs, dib, dicom, dist, diz, djv, djvu, dm3, dmi, dmo, dnc, dne, doc, docm, docx, docxml, docz, dot, dotm, dotx, dp1, dpp, dpx, dqy, drw, drz, dsk, dsn, dsv, dt, dt2, dta, dtsx, dtw, dvi, dvl, dwg, dx, dxb, dxf, dxl, dz, eco, ecs, ecw, ecx, edb, efd, efw, egc, eio, eip, eit, email, emd, emf, emlx, ep, epf, epi, epp, eps, epsf, eql, erf, err, etf, etx, euc, exr, f, fadein, fal, faq, fax, fb2, fb3, fbl, fbx, fcd, fcf, fdb, fdf, fdp, fdr, fds, fdt, fdx, fdxt, fes, fft, fh10, fh11, fh3, fh4, fh5, fh6, fh7, fh8, fic, fid, fif, fig, fil, flc, fli, flr, fm5, fmp, fmp12, fmpsl, fmv, fodt, fol, fountain, fp3, fp4, fp5, fp7, fp8, fpos, fpt, fpx, frt, ft10, ft11, ft7, ft8, ft9, ftn, fwdn, fxc, fxg, fzb, fzv, g3, gca, gcdp, gdb, gdoc, gdraw, gem, geo, gfb, gfie, ggr, gif, gih, gim, gio, glox, gmbck, gmspr, gmz, gpd, gpn, gro, grob, grs, gsd, gthr, gtp, gv, gwi, gz, gz2, gza, gzi, gzip, ha, hbc, hbc2, hbe, hbk, hdb, hdp, hdr, hht, his, hki, hki1, hki2, hpg, hpgl, hpi, hpl, hs, htc, html, hwp, hz, i3d, ib, icn, icon, icpr, idc, idea, idx, igt, igx, ihx, iil, iiq, imd, info, ink, int, ipf, ipx, itc2, itdb, itw, iwi, j, j2c, j2k, jarvis, jas, jb2, jbig, jbig2, jbmp, jbr, jfif, jia, jis, jng, joe, jp1, jp2, jpe, jpeg, jpg, jpg2, jps, jpx, jrtf, jtf, jtx, jwl, jxr, kdb, kdbx, kdc, kdi, kdk, kes, kic, klg, knt, kon, kpg, kwd, latex, lbm, lbt, lgc, lis, lit, ljp, lmk, lnt, lp2, lrc, lst, ltr, ltx, lue, luf, lwo, lwp, lws, lxfml, lyt, lyx, m3d, ma, mac, maf, man, map, maq, mat, max, mb, mbm, mbox, md5txt, mdb, mdbhtml, mdf, mdn, mdt, me, mef, mell, mft, mgcb, mgmf, mgmt, mgmx, mgtx, mhtml, min, mmat, mng, mnr, mnt, mobi, mos, mpf, mpo, mrg, mrxs, msg, mt9, mud, mwb, mwp, mxl, myd, myl, ncr, nct, ndf, nfo, njx, nlm, notes, now, nrw, ns2, ns3, ns4, nsf, nv2, nwctxt, nyf, nzb, obj, oc3, oc4, oc5, oce, oci, ocr, odb, odm, odo, ods, odt, ofl, oft, omf, openbsd, oplc, oqy, ora, orf, ort, orx, ota, otg, oti, ott, ovp, ovr, owc, owg, oyx, ozb, ozj, ozt, p7s, p96, p97, pages, pal, pan, pano, pap, pbm, pc1, pc2, pc3, pcd, pcs, pcx, pdb, pdd, pdf, pdm, pdn, pe4, pef, pfd, pff, pfi, pfs, pfv, pfx, pgf, pgm, phm, php, pi1, pi2, pi3, pic, pict, pix, pjpeg, pjpg, pjt, pl, plantuml, plt, pm, pmg, png, pni, pnm, pntg, pnz, pobj, pop, pp4, pp5, ppm, ppt, pptm, pptx, prt, prw, ps, psd, psdx, pse, psid, psp, pspbrush, psw, ptg, pth, ptx, pu, pvj, pvm, pvr, pwa, pwi, pwr, px, pxr, pz3, pza, pzp, pzs, qdl, qmg, qpx, qry, qvd, ras, raw, rctd, rcu, rdb, rdl, readme, rft, rgb, rgf, rib, ric, riff, ris, rix, rle, rli, rng, rpd, rpf, rpt, rri, rs, rsb, rsd, rsr, rst, rt, rtd, rtf, rtx, run, rw2, rwl, rzk, rzn, s2mv, s3m, saf, safetext, sai, sam, save, sbf, scad, scc, sci, scm, scriv, scrivx, sct, scv, scw, sdb, sdf, sdm, sdoc, sdw, sep, sfc, sfera, sfw, sgm, sig, sk1, sk2, skcard, skm, sla, slagz, sld, sldasm, slddrt, sldprt, sls, smf, smil, sms, snagitstamps, snagstyles, sob, spa, spe, sph, spj, spp, spq, spr, sqb, sql, sqlite, sqlite3, sqlitedb, sr2, srw, ssa, ssfn, ssk, st, ste, stm, stn, stp, str, strings, stw, sty, sub, sumo, sva, svf, svg, svgz, swf, sxd, sxg, sxw, t2b, tab, tb0, tbn, tcx, tdf, tdt, te, teacher, tex, text, tfc, tg4, tga, thm, thp, thumb, tif, tiff, tjp, tlb, tlc, tm, tm2, tmd, tmv, tmx, tn, tne, tpc, tpi, trelby, trm, tvj, txt, u3d, u3i, udb, ufo, ufr, uga, unauth, unity, unx, uof, uot, upd, usr, utf8, utxt, v12, vault, vbr, vct, vda, vdb, vec, vff, vml, vnt, vpd, vpe, vrml, vrp, vsd, vsdm, vsdx, vsm, vst, vstm, vstx, vue, vw, wb1, wbc, wbd, wbk, wbm, wbmp, wbz, wcf, wdb, wdp, webdoc, webp, wgz, wire, wlmp, wmdb, wmf, wn, wp, wp4, wp5, wp6, wp7, wpa, wpb, wpd, wpe, wpg, wpl, wps, wpt, wpw, wri, wsc, wsd, wsh, wtx, wvl, x, x3d, x3f, xar, xbdoc, xbplate, xdb, xdl, xhtml, xld, xlf, xlgc, xls, xlsm, xlsx, xmind, xmmap, xpm, xps, xwp, xy3, xyp, xyw, y, yal, ybk, yml, ysp, z3d, zabw, zdb, zdc, zif, zw,
Durante el cifrado de archivos, Coverton también creará una nota de rescate llamado !!! - ADVERTENCIA - !!! html y !!! -. ADVERTENCIA - !!! TXT en cada carpeta del archivo que ha sido encriptado.. Estas notas de rescate proporcionan instrucciones sobre cómo acceder al sitio de descifrado TdR del ransomware y hacer un pago. Una nota de rescate como ejemplo se muestra a continuación.
La página Web Coverton decryptor
El sitio de pago TDR para Coverton se llama Corveton Decryptor. En este sitio la víctima verá información sobre la cantidad y el tamaño total de los archivos cifrados. A cada víctima también se le dará su propia dirección bitcoin única para que pueda ser utilizada para enviar el pago de 1 bitcoin.
Archivos asociados con la Familia ransomware Coverton
%UserProfile%\userlog.exe %UserProfile%\Desktop\!!!-WARNING-!!!.html %UserProfile%\Desktop\!!!-WARNING-!!!.txt %UserProfile%\Desktop\old
Entradas del registro asociadas con la Familia ransomware Coverton
HKCU\Software\Microsoft\Windows\CurrentVersion\Run\userlog %UserProfile%\userlog.exe
/http%3A%2F%2Fstatic-dw-com.cdn.ampproject.org%2Fii%2FAW%2Fs%2Fstatic.dw.com%2Fimage%2F63803896_101.jpg)
/image%2F1394278%2F20220507%2Fob_9f6467_ransomware.png)
/image%2F1394278%2F20220505%2Fob_4d4e2b_screenshot-2022-05-05-06-52-45-995.jpg)
/https%3A%2F%2Fcnnespanol.cnn.com%2Fwp-content%2Fuploads%2F2022%2F04%2F220325080432-02-ukraine-gallery-update-exlarge-169.jpg%3Fquality%3D100%26strip%3Dinfo)