El mail del virus de AFIP: "Revise su estado de cuenta en uso de tarjetas de credito"

24 de febrero de 2017

Ayer múltiples casillas de correo recibieron un mail con el asunto "Revise su estado de cuenta en uso de tarjetas de credito", del destinatario "AFIP ". Este mail que llega aparentando ser de AFIP es falso y contiene un virus en el archivo adjunto "Estado de Cuenta.doc" que invita a descargar .

A continuación transcribimos el contenido del mail:

Estimado contribuyente;
Adjuntamos el estado del uso de sus tarjetas de crédito en el exterior, por el cual debe abonar los impuestos correspondientes como se detalla en el documento adjunto.
De no abonar los impuestos puede incurrir en cargos extras como multas por atraso.
Atte. AFIP - Administración Federal de Ingresos Publicos CALLE 9 N° 796 PB, 1°, 2°, 3° y 4° PISO LA PLATA C.P.: 1900

Hemos podido acceder a equipos infectados, que abrieron el archivo adjunto y aparentemente el virus que contiene es una variante del Ransomware Locky, un virus que bloquea los documentos y archivos personales de los usuarios y les solicita que paguen un rescate si quieren recuperar los archivos que el virus encripto.

Funcionamiento:

Este tipo de virus, mediante el archivo adjunto .doc, descarga una aplicación que inmediatamente encripta (los codifica utilizando un algoritmo RSA-2048 y/o AES-1024) los archivos.

Esta variante del Ransomware Locky cambia los nombres de los archivos que ataca y añade la extensión .locked al archivo. Según el programa, para desbloquear los archivos se necesita un código de desencriptación, que se puede obtener si se paga un rescate (mediante tarjeta de crédito transfiriendo a una billetera virtual una determinada cantidad de BitCoins moneda virtual).

Sugerencias: En caso de recibir el mail, elimínelo inmediatamente sin abrir el archivo adjunto. Si se trata de un reenvío de un cliente, empleado, recomendamos advertir sobre el riesgo de este virus.

Si abrió el adjunto, desconectar unidades externas (pendrives, discos USB, etc) y desconectar el equipo de la red. Contactar inmediatamente al encargado de sistemas para que verifique el equipo.

Martín Barrios

Link al comunicado oficial de AFIP: https://servicios1.afip.gov.ar/genericos/prensa/VerGacetilla.aspx?id=165