Actualizado el informe sobre el ransomware Cerber uno de los de mayor incidencia en el mundo

• El ID-21/16 es accesible a todos los usuarios desde el portal del CCN-CERT.
• El documento se ha actualizado tras la aparición de una nueva versión de este código dañino (actualmente se conocen cinco) que llega al equipo de la víctima mediante un downloader, encargado de contactar con un sitio web desde el que se descarga el ransomware para, posteriormente, ejecutarlo dentro de la máquina atacada.
• El CERT Gubernamental Nacional publica este informe con sus reglas YARA e IOCs correspondientes.

El CCN-CERT ha publicado en la parte pública de su portal un nuevo Informe de Código Dañino: CCN-CERT ID-21/16 Ransom.Cerber. Se trata del informe actualizado sobre el ransomware Cerber, uno de los que más incidencia tuvo en el año 2016 (un 3% del total de los que gestionó el CCN-CERT durante el año pasado).

En él se recoge el análisis de la nueva versión aparecida (son ya cinco) que llega al equipo de la la víctima mediante un downloader que es el que se encarga de contactar con un sitio web desde el que descarga el ransomware y posteriormente lo ejecuta dentro de la máquina atacada.

La versión analizada de este código dañino tiene las siguientes características:

• Descarga y ejecuta el fichero binario correspondiente a Cerber mediante un dropper o downloader.
• Descifra y desofusca el código dañino en memoria.
• Lanza un nuevo proceso.
• Lee la configuración que tiene embebida dentro de su mismo código para personalizar las versiones sin necesitar incluir cambios en su código.
• Cifra selectivamente los ficheros utilizando listas blancas y listas negras.
• Cifra de modo offline ya que no utiliza ningún servidor de comando y control (C2) para recibir información de él o para enviar las claves generadas.
• Notifica al usuario el cifrado de sus ficheros mediante imágenes de instrucciones de rescate (fondo de escritorio, imágenes .jpg en los directorios con contenido cifrado, etc.).
• Usa el servicio de sintetizador de voz para reproducir un mensaje.

Como es habitual en este tipo de Informes, el CERT Gubernamental Nacional incluye las siguientes secciones:

• Detalles generales
• Procedimiento de infección
• Características técnicas
• Conexiones de red
• Persistencia en el sistema
• Desinfección
• Prevención
• Archivos relacionados
• Detección
• Información del atacante

Además, se incluyen diversos Anexos con Indicadores de Compromiso (IOC) y una regla Yara.

Pueden acceder a los informes en la sección de Informes de Código Dañino del portal del CCN-CERT.

CCN-CERT (06/06/2017)

Acceso al Informe de Código Dañino: CCN-CERT ID-21/16 Ransom.Cerber

Seguridad en conmutadores Huawei S7700

• Publicada la Guía CCN-STIC 646B en la parte privada del portal del CCN-CERT.

• El objeto de esta Guía es establecer una configuración segura de los conmutadores Huawei pertenecientes a la familia S7700, con consejos y recomendaciones sobre la activación o desactivación de servicios y funcionalidades.

• El CCN-CERT recomienda aplicar los consejos que contiene la guía antes de desplegar el equipo en la red, así como realizar una actualización con las últimas versiones estables del sistema operativo, también denominado VRP (Versatile Routing Platform).

El CCN-CERT ha publicado en la parte privada de su portal web la Guía CCN-STIC 646B. Seguridad en conmutadores Huawei S7700. Este documento pretende servir de guía para establecer una configuración segura de los conmutadores Huawei pertenecientes a la familia S7700. Por un lado, describe los mecanismos que evitan accesos no deseados a la configuración del equipo y a los datos almacenados en él. Por otro lado, analiza los servicios, y sus interacciones con la red en la que será integrado, para diferenciar las acciones seguras y necesarias en el equipo, de las acciones que no los son y deben ser sustituidas por otras.

La Guía CCN-STIC 646B señala que es recomendable aplicar los consejos de seguridad que contiene esta guía antes de desplegar el equipo en la red, así como realizar una actualización con las últimas versiones estables del sistema operativo, también denominado Versatile Rounting Platform (VRP).

Configuración básica, gestión del sistema de ficheros, protección de los servicios de red ofrecidos por el equipo, seguridad en los puertos o creación de listas de acceso son algunos de los apartados que incluye este documento. Junto a ellos otros sobre las medidas para prevenir caídas del sistema; VLAN; mantenimiento de registro de logs; Network, autorización y registro; protocolos de encaminamiento y DHCP.

CCN-CERT (05/06/2017)

Más información

Acceso a la Guía CCN-STIC 646B. Seguridad en conmutadores Huawei S7700

Destrucción y sanitización de soportes informáticos

• La Guía CCN-STIC 305 se reclasifica como Uso Oficial y se ha publicado en la parte privada del portal del CCN-CERT.
• El objeto de esta Guía es crear un marco de referencia que establezca las pautas de actuación en cuanto al tratamiento de los soportes de almacenamiento cuando se requiere la reutilización, reclasificación o destrucción de dichos dispositivos, según los requerimientos legales vigentes.
• El concepto de información clasificada y sanitización, los métodos para asegurar la destrucción de la información clasificada o ejemplos con operaciones para memorias extraíbles USB o discos duros son algunos de los apartados recogidos en el documento.

El CCN-CERT ha publicado en la parte privada de su portal web la Guía CCN-STIC 305. Destrucción y sanitización¹ de soportes informáticos. Este documento, que en su versión anterior estaba clasificado como “Difusión Limitada” y ahora es de “Uso Oficial”, pretende crear un marco de referencia que establezca las pautas de actuación en cuanto al tratamiento de los soportes de almacenamiento cuando se requiere la reutilización, reclasificación o destrucción de dichos dispositivos. Esta actividad, tal y como se señala en el documento, suele ser más intensa cuando el sistema llega al final de su vida operativa y hay que proceder a darlo de baja para el servicio (aunque también existe la necesidad cuando se intercambian dispositivos de un sistema, con o sin información).

La Guía CCN-STIC 305 tiene como fin último el cumplimiento de los requerimientos legales vigentes en cuanto al borrado seguro y/o destrucción de los soportes de almacenamiento.

Entre otros apartados, el documento explica detalladamente los conceptos de “Información Clasificada” y “Sanitización”, así como los métodos para asegurar la destrucción de la información clasificada (métodos y niveles recomendados de sanitización).

Asimismo, la Guía CCN-STIC 305 recoge un anexo con casos de ejemplo, entre los que se encuentran las operaciones a realizar antes de entregar una memoria extraíble USB; los discos locales, externos o extraíbles; las diferencias entre borrado de archivos y carpetas y borrado completo del disco y borrado seguro de unidades de estado sólido (SSD).

¹ Hace referencia al proceso que hace imposible el acceso a la información almacenada en los dispositivos de acuerdo a la clasificación de la misma.

CCN-CERT (31/05/2017)

Acceso a la Guía CCN-STIC 305. Destrucción y sanitización de soportes informáticos