El ransomware dirigido

En líneas generales, el ransomware infecta los sistemas mediante descargadores maliciosos, descargas no autorizadas y mensajes de correo electrónico con spam malicioso. Cuando un descargador malicioso infecta el equipo de un usuario, descarga malware adicional que, con frecuencia, incluye ransomware criptográfico. Los mensajes de correo electrónico maliciosos contienen una gran variedad de archivos adjuntos que, si se abren, descargan y ejecutan una de las numerosas variantes de ransomware para iniciar el proceso de cifrado. Después de haber cifrado los archivos, se exige a la víctima el pago de un rescate para descifrarlos.

A diferencia del ransomware convencional, Samsam no se propaga mediante descargas no autorizadas ni correo electrónico, sino que los atacantes que están detrás de esta variante utilizan herramientas como  Jexboss para identificar servidores sin parches que ejecutan productos empresariales JBoss de Red Hat.

Cuando los atacantes logran acceder a uno de estos servidores aprovechando los puntos vulnerables de JBoss, utilizan otras herramientas y scripts gratuitos para obtener credenciales e información sobre los equipos conectados a la red. A continuación, implementan el ransomware para cifrar archivos de estos sistemas antes de exigir un rescate.

Otro de los rasgos distintivos del ransomware Samsam es que son los mismos atacantes quienes generan el par de claves RSA. La mayoría del ransomware criptográfico se pondrá en contacto con un servidor de control y de comandos que generará un par de claves RSA y enviará la clave pública para cifrar archivos de los equipos infectados. Con Samsam, los atacantes generan el par de claves y cargan la clave pública junto con el ransomware en los equipos elegidos como víctimas.