El ransomware es, de todos los diversos tipos de ciberataques existentes, el que más repercusión mediática ha tenido en los últimos meses, debido a que diversas empresas de todo tamaño y gobiernos a nivel global han sido sus víctimas.
En varias ocasiones, las organizaciones criminales han logrado impactar las operaciones de sus objetivos, que debieron pasar distintas áreas a un estado de contingencia operativa.
¿Cómo estar mejor preparados ante el ransomware?
Desde hace muchos años existen diversos tipos de software maliciosos o virus de computadora, este problema no es algo nuevo, pero ¿qué es un ransomware? Es un tipo de software malicioso que tiene como objetivo apoderarse de la información que reside en la computadora de la víctima, solicitando un pago de rescate a cambio de liberarla. La técnica utilizada por el ransomware es encriptar la información de la computadora de la víctima, volviéndola inaccesible. Tras el pago del rescate, que es típicamente en criptoactivos, la víctima recibe la clave para desencriptar la información.
Inicialmente, los ciberdelincuentes apuntaban al público general, sin embargo, han mutado a atacar a empresas y organismos de gobierno en búsqueda de mayor rentabilidad de su actividad criminal. Ya no solo se limitan a secuestrar la información, también realizan extorsiones al amenazar con divulgarla públicamente.
¿Quién están detrás de los ataques de ransomware?
Son organizaciones criminales, incluso algunas con afiliaciones de distintas personas en múltiples países, que cuentan con recursos para financiar sus operaciones y están muy bien capacitados. La elección del blanco de un ataque no es azarosa, es un proceso con inteligencia previa. Incluso existen criminales que brindan servicios de ransomware, facilitando conocimiento, herramientas, infraestructura y otros componentes necesarios para llevar a cabo esta modalidad criminal a gran escala en modo de campañas.
¿Cómo se lleva a cabo un ataque de ransomware?
Técnicamente un ataque tiene distintas fases, cada una de ellas tiene un propósito específico:
1. Infección: los atacantes intentarán o bien engañar a un empleado de la organización para que de alguna forma ejecute un programa malicioso, siendo un correo electrónico conocido como phising la vía más común, o bien explotar alguna vulnerabilidad conocida no corregida para lograr ejecutar este malware.
2. Movimiento lateral: cuando desde un dispositivo de la organización se propaga, el malware, a la mayor cantidad de computadoras posible. Si bien intentarán hacer esto lo más rápido posible, puede tomar largos períodos de tiempo, pudiendo llegar a varios meses. Los criminales trabajarán con mucho sigilo, utilizando técnicas de evasión, para pasar lo más desapercibidos posibles.
3. Cifrado de datos: se da la instrucción al software malicioso, previamente instalado, para cifrar la información, mediante una clave que hasta ese momento solo los atacantes conocen. Se ejecuta muy velozmente y es muy difícil de mitigar llegado a este punto, por lo que se dará notificación a la víctima y se le exigirá el rescate.
Algunas recomendaciones acerca de por dónde empezar:
1. Realice entrenamientos para concientizar acerca de esta problemática y tener una fuerza de trabajo ciber consciente en su empresa u organismo público. Una práctica habitual es realizar campañas de phising de prueba, buscando identificar a los empleados que son engañados y así profundizar el entrenamiento de estas personas.
2. Mantenga la higiene digital de los dispositivos, instalando las actualizaciones de seguridad provistas por los fabricantes lo más rápido posible para reducir la brecha de exposición.
3. Despliegue confianza cero en la red por medio de segmentación, robusteciendo la autenticación y el manejo de identidad, implementando firewalls de nueva generación y políticas de mínimo privilegio en ellos, y analizando los eventos de seguridad en búsqueda de indicadores de compromiso.
4. Implemente soluciones de detección y respuesta. La prevención basada en firmas que tienen los antivirus en la actualidad para los dispositivos no basta y por eso es necesario sumar software de detección y respuesta, EDR por sus siglas en inglés, que se focalizan en la post-ejecución.
*Fuente: america-retail