Dictamen Técnico

==========================================================
Disco Seagate Constellation ES.3 ST1000NM0033 SATA 3 (6Gb/seg)
Velocidad de giro de 7200rpm
Memoria intermedia de 128MB
Capacidad de almacenamiento de 1TB
==========================================================
El disco contiene 4 particiones NTFS
1 Partición de archivos de carga de sistema (Boot)
1 Partición de recuperación (Recovery)
1 Partición de plataforma operativa (Windows)
1 Partición de información de usuario (Data)
==========================================================

Se detectaron rastros residuales de actividad de malware (archivos maliciosos) del tipo

ransomware (de pago de rescate), específicamente de cryptoware (encriptador).

Los rastros asociados colocados como nueva extensión en cada archivo afectado es ".id[841DF791-
2294].[laurent.sewell@aol.com].banjo" y relaciona la amenaza como la variante Banjo creada a
partir de la variante Phobos y ésta a partir de la variante Dharma que surgió del original CrySis.

La amenaza consta de 2 llaves diferentes para realizar su encriptamiento, una pública y una privada,
desarrollada con criptoesquemas RSA de 4096 bits y AES de 256 bits, (miles de millones de
combinaciones posibles) por lo que al día de hoy no se .dispone un desencriptador en específico que
pueda dar garantía de recuperación de los archivos encriptados, además de que la autoría de la
amenaza corresponde a un grupo de hackers y no a una sola persona.

La recomendación es, en función de cuan importante sean los datos afectados, la de mantener el
disco en espera de que surja un herramienta de recuperación, lo que podría ocurrir en el futuro a
mediano plazo.

Además de establecer medidas que decrementen y/o impidan la reincidencia de este tipo de
amenazas, considerando que no existe desarrollo de software en el mundo que pueda garantizar la
inmunidad de un sistema de cómputo contra el ransomware, por ello es preciso emplear más de
una herramienta de detección que permita mejorar la línea de defensa y establecer
procedimientos viables de recuperación en caso de ser vulnerados nuevamente.

Adicionalmente, se adjunta dirección de internet de Fast Data Recovery, compañía

multidisciplinaria que ha recuperado archivos encriptados tanto por Dharma como por Phobos,
anuncia como garantía, que si no hay recuperación de datos no hay costo de servicio.

"https://fastdatarecovery.com.au/ransomware-recovery/ransomware-
recovery/?gclid=EAIaIQobChMIhqjH192o5QIVx0XVCh1fiwmgEAAYAiAAEgKZsfD_BwE"

Finalmente, en situaciones de incidencia de ransomware, lo que corresponde hacer es apagar el

sistema y evitar modificar el contenido del medio afectado, para evitar, por impericia, la eliminación
de la llave pública, necesaria junto con la privada para lograr el desencriptado correcto de los
archivos afectados.