Recently, Cuba ransomware attacks have been reported in several companies in Latin America, encrypting all information and requiring payment via bitcoin. Cuba spreads through email attachments with macros, remote desktops, torrent websites and malicious ads.
Before data encryption, attackers make a copy of all files to storage servers, in order to have a secure means of extortion. Some of the variants working with this new tactic are: DopplePaymer, Sodinokibi, ProLock, Maze, Mespinoza, Netwalker, CLoP and Nephilim.
Cuba encrypts all types of documents on the computer, changes file names by adding the extension “..cuba” and creates the text file “!!FAQ for Decryption!!.txt”, que es la nota de rescate.
También borra todas las copias de seguridad de volumen del sistema operativo Windows mediante el uso de comandos en la consola.
Las nuevas campañas de ransomware evidenciadas en 2020 utilizan esta nueva forma de comprometer la información y así asegurar el pago. Estas variantes amenazan con la divulgación de los datos exfiltrados de sus víctimas como parte estándar de todos sus ataques, contando en muchos casos con sitios web particulares para dichas filtraciones.