Ransomware

***Ransomware*** bat (ingelesezko "*ransom*", erreskatea eta "*warea*", softwarearen laburdura) edo 'datu-bahitzaile' (euskaraz) programa kaltegarri mota bat da, kutsatutako sistema eragilearen zati edo artxibo jakin batzuetara sartzea galarazten duena, eta erreskate bat eskatzen du blokeo hori kentzeko. *Ransomware* mota batzuek erreskate bat ordaintzea eskatzen dute, gailua erabili gabe utziz. Lehen garaietan, ordainketa herrialde opakuetako banku-kontuen bidez egiten zen, baina gaizkileari egindako bilaketa posible zenez, txanpon birtual ez-arakagarriak erabiltzera pasatu zen.

Erasoak 2010eko hamarkadaren erdialdetik ezagun egin diren arren, lehen eraso ezaguna 80ko hamarkadaren amaieran egin zuen Joseph Popp doktoreak. Haren erabilera hazi egin zen nazioartean, 2013ko ekainean. McAfee enpresak 2013an adierazi zuen lehen hiruhilekoan bakarrik 250 000 *ransomware* mota baino gehiago detektatu zituela.

## Motak 
Hiru *ransomware* mota daude:

* **Blokeatzaileak:** Sistema informatikoaren blokeo osoa blokeatu edo simulatzea du helburu, eta erreskatea eskatzeko alerta-mezu bat erakusten du. Kasu batzuetan, mezua gobernu-agintariren batekoa dela ematen du, eta legez kanpoko edukia detektatu dela eta isuna ordaintzeko eta espetxean ez sartzeko dirua eskatzen duela adierazten du. Mota honetan *ransomwarea* sartzen da. Iragarki-banda pornografiko bat jartzen du idazmahaian, eta alegatzen du biktimak erreskatea eskatzeko eduki debekatua ikusi duela.
* **Zifratzaileak:** *Ransomwareak* fitxategien izena edota edukia zifratzen du. Hasieran kriptografia simetrikoa erabiltzen zuten. Gaur egun, kriptografia asimetrikoa erabiltzen dute. *Ransomware* mota horren adibide dira AIDS (artxiboen izena zifratzeko kriptografia simetrikoa erabiltzen zuen lehen *ransomwarea*) eta PGPCoder (kriptografia asimetrikoa erabiltzen zuen).
* **Hibridoak:** Blokeatzailearen eta zifratzailearen ezaugarriak konbinatzen ditu. *Ransomware* mota horren adibidea da CryptoLocker.

## Hedapen-metodoak 
Normalean, *ransomware* bat troiar edo zizare gisa transmititzen da, sistema eragilea kutsatuz, adibidez, deskargatutako fitxategi batekin edo softwarearen ahultasuna ustiatuz. Puntu horretan, *ransomwarea* hasiko da, erabiltzailearen artxiboak zifratuko ditu gako jakin batekin, *ransomwarearen* sortzaileak bakarrik ezagutzen duena, eta erabiltzaileari eskatuko dio ordainketa baten truke.

## Jarduteko modua 
Erasotzaileak kode maltzurra kamuflatzen du erabiltzailearentzat desiragarria den beste fitxategi edo programa baten barruan, klik bat egitera deituta. Hona hemen kamuflaje horien adibide batzuk:

* Mezu elektronikoetako fitxategi erantsiak.
* Zalantzazko jatorria duten orrien bideoak.
* Sistemaren eguneratzeak.
* Berez fidagarriak diren programak, hala nola Windows edo Adobe Flash.

Gero, ordenagailuan sartu ondoren, *ransomwarea* aktibatu egiten da eta sistema eragile osoaren blokeoa eragiten du; ohartarazpen-mezua igortzen du, informazio guztia berreskuratzeko ordaindu beharreko erreskatearen mehatxuarekin eta zenbatekoarekin. Gainera, batzuetan IP helbidea, Internet hornitzen duen konpainia eta web kameratik ateratako argazkia ere sartzen dira mehatxuan.

## *Ransomware* eraso ezagunenak 
### Petya 
2016an sortua eta desestalita. 2017an, mundu mailako zibererasoa hasi zen (Ukrainako konpainiak izan ziren erasotzen ari zirela esan zuten lehenak), Petyaren aldaera berri bat erabiliz. Egun horretan, Kaspersky Lab-ek Frantzian, Alemanian, Italian, Polonian, Erresuma Batuan eta Estatu Batuetan izandako infekzioen berri eman zuen, baina infekzio gehienak Errusiara eta Ukrainara bideratu ziren, ñ0 enpresa baino gehiago eraso baitzituzten, Ukrainako Banku Nazionala barne.

### Reveton 
2012an Reveton izeneko ransomware bat banatzen hasi ziren. *Citadel* troiarrean oinarrituta zegoen, aldi berean azken hau *Zeus* troiarrean oinarritua zegoen. Legearen agentzia bateko mezu bat zabaltzean datza *ransomware* hau, biktima bizi den herrialdeari dagokiona. Hori dela eta, *trojan cop* edo "polizia troiarra" izendatzen hasi zen, ordenagailu hura legez kanpoko jardueretarako erabili zela alegatzen baitzuen, hala nola software pirata edo haur-pornografia deskargatzeko. Troiarrak ohartarazpen bat egiten du, eta jakinarazten du sistema blokeatu egin duela legea hausteagatik, eta, hala, fidantza ordaindu beharko du askatzeko, kontu anonimo baten bidez, hala nola Ukash edo Paysafecard.

Biktimari bere ordenagailua legez arakatzen ari dela sinestarazteko, ordenagailuaren IP helbidea erakusten da pantailan, eta, gainera, fitxategi-materiala erakutsi eta web-kamera biktima filmatzen ari dela simulatu daiteke.

2012. urtearen hasieran hasi zen hedatzen Europako hainbat herrialdetan; herrialdearen arabera, baliteke Legearen Indarrei buruzko logoa aldatzea. Adibidez, Erresuma Batuan, Metropoliko Polizia Zerbitzuaren logoa zuen. Gertakari horiek zirela eta, Udaltzaingoak jakinarazpen bat bidali zuen esanez haiek ez zutela inolaz ere ordenagailu bat blokeatuko, ezta ikerketa baten parte gisa ere.

2012ko maiatzean, malware horrek Estatu Batuetarako eta Kanadarako zituen aldaketak aurkitu zituen Trend Mikok, eta uste zuen autoreek Ipar Amerikara hedatzeko asmoa zutela. 2012ko abuztuan, FBIren logoa erabiltzen hasi ziren ordenagailu infektatuen jabeei 200 dolarreko fidantza eskatzeko, aMoneyPak txartel baten bidez ordaintzeko. 2013ko otsailean, Espainiako agintariek herritar errusiar bat atxilotu zuten Dubain, Reveton erabiltzen ari zen sare kriminalarekiko lotura zela eta. Sare horri dirua garbitzeagatik karguak zituzten beste hamar lagun gehitu zitzaizkion.

2014ko abuztuan, Avastek Revetonen aldaera berriak jakinarazi zituen, software maltzurra banatzen baitzen pasahitzak lapurtzeko.

### CryptoLocker 
2013ko irailean, berriz agertu zen CryptoLocker izenez ere ezagutzen den fitxategi-zifratuan oinarritutako *ransomwarea*. RSA motako 2048-biteko bi gako sortzen ditu, zerbitzaria kontrolatzeko eta luzapen jakin bateko fitxategiak zifratzeko. Birusak gako pribatua ezabatzen du bitcoin baten edo eskudirutan ordaintzeko bonu baten bidez, infektatu eta hiru eguneko epean. Erabilitako gakoa luzea denez, oso zaila da sistema baten infekzioa konpontzea.

Ordainketa hiru egun baino gehiago atzeratzen bada, prezioa 10 bitcoin-era igotzen da, hau da, gutxi gorabehera 2300 dolarrera, 2013ko azaroan.

CryptoLocker isolatu egin zuten GameoverZeuS sarea konfiskatu zutelako, Estatu Batuetako Justizia Sailak 2014ko ekainaren 2an ofizialki iragarri bezala.

Justiziako Sailak salaketa bat jarri zuen Evgeniy Bogachev zibergaizkile errusiarraren aurka (Евгений Богачев), eta haren parte-hartzea alegatu zuen sarean. Malwarea desaktibatu arte gutxienez hiru milioi dolar lortu zituela kalkulatzen da.

### CryptoWall 
CryptoWall *ransomware* mota bat da, 2014aren hasieran sortua, Microsoft Windows sistema eragileei zuzendutako CryptoDefense izenarekin. Posta elektronikoaren bidez hedatzen da, identitatea ordezkatuz; bertan, ustiapen-softwarea erabiltzen da, hala nola Fiesta edo Magnitud, sistemaren kontrola hartzeko, artxiboak zifratzeko eta, hala, ordenagailuaren erreskatea eskatzeko. Prezioen maila 500 eta 1000 dolar artekoa da.

2014ko martxoan, José Vildoza Argentinako programatzaileak tresna bat garatu zuen biktimen artxiboak doan berreskuratzeko. Programa maltzurreko akats baten ondorioz berreskuratu ziren fitxategiak. Programa horren bidez, zifratze-gakoak ekipoan gordetzen ziren.

Autoreak akatsaz ohartu zirenean, kriptobirusa eguneratu zuten CryptoWall izendatuz, eta, ondoren, hainbat eguneraketa egin zituzten, 3.0 bertsiora iritsi arte.

CryptoWall 3.0 infektatu dute 2015eko urtarriletik, hacker errusiarrak estortsio horren atzean daudenean.

### TeslaCrypt 
TeslaCrypt ezabatutzat jotzen den *ransomwareetako* bat da, erasotako fitxategiak deszifratzeko gako nagusia publikoa baita. ESET enpresak doako tresna bat du lan hori egiteko.

### WannaCry 
Wana Crypt0r edo WannaCry *ransomware* aktibo bat da, eta Vault 7 malware estatubatuarraren artsenalean sortu zen. Kode maltzurrak MS17-010 buletinean deskribatzen den zaurgarritasuna erasotzen du, modu egokian eguneratu ez diren Windows sistemetan. 75 mila ordenagailutan baino gehiagotan zifratu zituen datuak mundu osoan, eta, besteak beste, hauei eragin zien:

* Errusia: semaforo-sarea, metroa eta Barne Ministerioa
* Erresuma Batua: ospitale gehienak
* Estatu Batuak
* Espainia: Telefonica, Gas Natural eta Iberdrola bezalako enpresak

*Ransomwareak* datuak berreskuratu ahal izateko kopuru jakin bat denbora jakin batean ordaintzeko eskatzen du. Ordainketa ez bada zehaztutako denboran egiten, erabiltzaileak ezin izango ditu eskuratu infekzioak zifratutako datuak. WannaCry hedatuz joan da Estatu Batuetan, Txinan, Errusian, Italian, Taiwanen, Erresuma Batuan eta Espainian, baita *ransomwarearen* aurrean ahulenak diren sistema eragileak Windows Vista, Windows 7, Windows Server 2012, Windows 10 eta Windows Server 2016 direla ere.

Sare batera konektatzen den ordenagailu infektatu batek sare horretara konektatutako beste gailu batzuetara kutsa dezake *ransomwarea*, eta gailu mugikorrak kutsa ditzake. Biktimaren fitxategiak oso azkar zifratzen hasten da Wana Crypt0r.

## Erreferentziak 
## Kanpo estekak