?Qu¨¦ es el ransomware RYUK?
live casino online:?reduciendo el riesgo de ransomware con una gesti¨®n proactiva de la superficie de ataque
Ryuk es una versi¨®n de ransomware atribuida al grupo hacker llamado WIZARD SPIDER, que comprometi¨® sectores gubernamentales, acad¨¦micos, sanitarios, de fabricaci¨®n y a organizaciones tecnol¨®gicas. En 2019, Ryuk tuvo la exigencia de rescate m¨¢s alta en 12,5?millones de d¨®lares americanos y es probable que haya recaudado m¨¢s de 150?millones de d¨®lares hacia finales de 2020.
Ataque de ransomware Ryuk
Ryuk, pronunciado ?ri-ak?, es una familia de ransomware que apareci¨® por primera vez hacia mediados y finales de 2018. En diciembre de 2018, el New York Times inform¨® que Ryuk hab¨ªa infectado Tribune Publishing, afectando a la impresi¨®n en San Diego y Florida. El New York Times y el Wall Street Journal compart¨ªan instalaciones de impresi¨®n en Los ?ngeles. Tambi¨¦n sufrieron el ataque, lo que provoc¨® problemas para las ediciones del s¨¢bado de los peri¨®dicos.
Una variante del antiguo ransomware Hermes, Ryuk lidera la lista de los ataques de ransomware m¨¢s peligrosos. En el Global Threat Report 2020 de CrowdStrike, Ryuk representa tres de las diez exigencias de rescates m¨¢s altas del a?o. 5,3?millones, 9,9?millones y 12,5?millones de d¨®lares. Ryuk ha atacado con ¨¦xito a industrias y compa?¨ªas de todo el mundo. Los hackers denominan ?caza mayor? a la pr¨¢ctica de atacar grandes compa?¨ªas.
Es interesante que esta familia de ransomware lleva un nombre japon¨¦s procedente de la pel¨ªcula de anime Death Note. El nombre significa ?regalo de Dios?. Parece una elecci¨®n extra?a para un ransomware dado que los objetivos pierden datos o dinero. Desde el punto de vista de los hackers, podr¨ªa considerarse un ?regalo de Dios?.
Se cree que detr¨¢s del ransomware Ryuk est¨¢ un grupo cibercriminal ruso denominado WIZARD SPIDER. UNC1878, un agente de amenazas del este de Europa, ha estado detr¨¢s de algunos ataques espec¨ªficos al sector sanitario. La implementaci¨®n de este ransomware no es directo. Primero, los hackers descargan otro malware en un equipo.
Cuando Ryuk infecta un sistema, primero desconecta 180?servicios y 40?procesos. Estos servicios y procesos evitar¨ªan que Ryuk hiciese su trabajo, o son necesarios para facilitar el ataque.
En este punto, es posible realizar el cifrado. Ryuk cifra archivos como fotograf¨ªas, v¨ªdeos, bases de datos y documentos, todos los datos importantes para usted, utilizando el cifrado AES de 256?bits. A continuaci¨®n, las claves de cifrado sim¨¦trico se cifran utilizando cifrado asim¨¦trico RSA de 4096?bits.
Ryuk puede cifrar de forma remota, incluidos recursos compartidos administrativos remotos. Adem¨¢s, puede realizar ?Wake On Lan?, es decir, reactivar equipos para el cifrado. Estas capacidades contribuyen a la efectividad y al alcance de su cifrado y el da?o que puede ocasionar.
Los hackers dejan una nota de secuestro en el sistema como RyukReadMe.txt y UNIQUE_ID_DO_NOT_REMOVE.txt con un texto similar al de la siguiente captura de pantalla.
Fuente:
Vector de ataque de Ryuk
Ryuk puede utilizar la descarga como servicio (DaaS) para infectar los sistemas objetivo. DaaS es un servicio que un hacker ofrece a otro. Si un hacker desarrolla el ransomware, pero no conoce c¨®mo distribuirlo, otros hackers con esas capacidades ayudan a distribuirlo.
A menudo, son usuarios desprevenidos los que caen v¨ªctimas de los ataques de phishing que facilitan la infecci¨®n inicial. AdvIntel informa que el 91?% de los ataques comienzan con emails de phishing. Es extremadamente importante formar a los usuarios para que identifiquen emails de phishing. La formaci¨®n reduce dr¨¢sticamente las posibilidades de infecci¨®n. Consulte las .
Ryuk es uno de los programas de ransomware como servicio (RaaS) m¨¢s famosos e importantes en lo que respecta a alcance de infecci¨®n. Ransomware como servicio (RaaS) es un modelo en el cual los desarrolladores de ransomware lo ofrecen para que otros hackers lo utilicen. El desarrollador recibe un porcentaje de los pagos de rescate exitosos. RaaS es una adaptaci¨®n del modelo de software como servicio (SaaS).
Una vez que el usuario hace clic en el email de phishing, Ryuk descarga los elementos de malware adicionales llamados ?droppers?. El malware adicional incluye Trickbot, Zloader, BazarBackdoor y otros. Estos droppers pueden instalar Ryuk directamente.
Tambi¨¦n podr¨ªan instalar otro fragmento de malware como Cobalt Strike Beacon para comunicarse con la red de comando y control (C2). Ryuk se descarga una vez que se ha instalado el malware. Ryuk tambi¨¦n se aprovecha de exploits como la vulnerabilidad de ZeroLogon en los servidores de Windows.
El siguiente diagrama muestra la ruta de infecci¨®n de Ryuk o la cadena de exterminio del ataque.
Sophos Group, una compa?¨ªa brit¨¢nica de seguridad, identific¨® el flujo de ataque de Ryuk, que tambi¨¦n se denomina ?cadena de exterminio del ataque?. Vea el siguiente diagrama.
Fuente:
Trickbot
Trickbot apareci¨® en 2016 y se cree que su autor fue WIZARD SPIDER, el mismo grupo de hackers que opera Ryuk. Este malware se ha utilizado como un troyano bancario para robar credenciales de usuario, informaci¨®n personalmente identificable y bitcoins.
Hackers altamente sofisticados dise?aron Trickbot. Lo dise?aron para utilizarlo con fines adicionales, como b¨²squeda de archivos en sistemas infectados. Tambi¨¦n se puede mover lateralmente por la red de un equipo a otro. Las capacidades de Trickbot ahora incluyen sustracci¨®n de credenciales, criptominer¨ªa y m¨¢s, pero su funci¨®n m¨¢s importante es la de implementar el ransomware Ryuk.
IOC de Ryuk
La devastaci¨®n provocada por ransomware puede ser dram¨¢tica, por lo que lo mejor que se puede hacer es evitar una infecci¨®n antes de que tenga lugar. Esto no siempre es posible, por lo que el personal de operaciones debe estar atento a los inicios de un ataque y realizar acciones inmediatas para evitar mayores da?os.
Dado que Ryuk puede infectar un sistema mediante numerosos y distintos vectores de ataque, el trabajo para detectarlo es complicado. Existen numerosos indicadores de compromiso (IOC) que permiten a los administradores de red y de seguridad ver los precursores de una infecci¨®n con Ryuk.
BazarLoader, un dropper, es un punto de entrada com¨²n para Ryuk. Un dropper, o DaaS, es un malware que descarga otro malware. A continuaci¨®n, se presentan algunos IOC de BazarLoader a vigilar:
- Una tarea programada denominada ?StartAd-Ad? aparece en el registro de Windows con entradas de ejecuci¨®n autom¨¢tica adjuntadas
- Archivos de extensi¨®n dual ejecutables como Report.DOC.exe
?
TrickBot es otro punto de entrada frecuente de Ryuk, tal y como se menciona anteriormente. Su IOC es un archivo ejecutable que tiene un nombre de archivo generado aleatoriamente de 12?caracteres. Una vez que TrickBot crea el archivo, por ejemplo, mnfjdieks.exe, podr¨ªa estar en uno de estos directorios:
- C:\Windows\
- C:\Windows\SysWOW64
- C:\Users\[Nombredeusuario]\AppData\Roaming
?
Para acceder a una lista completa de IOC de TrickBot, vaya a la alerta en el sitio web de la de EE.?UU.
Muchas veces, el primer IOC que ve una compa?¨ªa es la siguiente captura de pantalla. Esta captura de pantalla indica que Ryuk ha infectado a la organizaci¨®n y ha cifrado datos sensibles. La recuperaci¨®n es mucho m¨¢s r¨¢pida si la compa?¨ªa cuenta con buenos manuales y equipos de respuesta ante incidentes y ha realizado copias de seguridad de los datos offline.
Fuente:
Ataques del ransomware Ryuk en 2020
Dado que Ryuk se utiliza para ?caza mayor?, se ha utilizado para atacar gobiernos, compa?¨ªas tecnol¨®gicas y sistemas educativos. Sopra Steria, una empresa de servicios de TI francesa con una marca de ciberseguridad, sufri¨® una infecci¨®n con Ryuk en 2020. Cre¨ªan que les llevar¨ªa semanas en lograr una recuperaci¨®n completa.
Ryuk es una de las m¨¢s grandes amenazas frente al sector sanitario y parece que la COVID-19 fue un factor que ayud¨® a los ataques contra el sector sanitario en general. Universal Health Services (UHS) es una empresa del sector sanitario de Fortune?500 con hospitales en EE.?UU. y Reino?Unido. La compa?¨ªa sufri¨® un ataque del ransomware Ryuk el 27 de septiembre de 2020.
inform¨® que el punto de infecci¨®n m¨¢s probable para UHS fue un email de phishing. El email de phishing podr¨ªa haber contenido Emotet, un fragmento de troyano. Emotet habr¨ªa instalado Trickbot, el cual, a continuaci¨®n, permiti¨® que el grupo de hackers WIZARD SPIDER instalase manualmente Ryuk mediante shell inversa.
En octubre de 2020, hackers infectaron dos centros m¨¦dicos m¨¢s con Ryuk. Uno en Oreg¨®n, el Sky Lakes Medical Center, y otro en Nueva?York, el Lawrence Health System. Los ataques se ocuparon que los sistemas inform¨¢ticos estuviesen offline, haciendo que no fuese posible acceder a los registros m¨¦dicos electr¨®nicos. Los hospitales ya estaban bajo estr¨¦s por los cuidados a los pacientes con COVID-19 y el ataque simplemente empeor¨® a¨²n m¨¢s la situaci¨®n. La mayor¨ªa de estos ataques a hospitales duraron semanas.
Pr¨¢cticas recomendadas frente al ransomware
Hay numerosas acciones que empresas y particulares pueden realizar para protegerse a s¨ª mismos frente a malware y ransomware especialmente. Aqu¨ª encontrar¨¢ algunos de los principales ejemplos:
- Garantizar que se aplican los parches para SO, software y firmware.
- Utilizar autenticaci¨®n multifactor siempre que sea posible, con s¨®lidos segundos factores. Un ejemplo es 2FA. El National Institute of Standards and Technology (NIST) de EE.?UU. recomienda no utilizar el SMS como un segundo factor.
- Realizar una auditor¨ªa frecuente de cuentas, accesos, registros y dem¨¢s elementos a su alcance para verificar configuraciones y actividad.
- Crear copias de seguridad de los datos de forma regular y almacenarlas offline, especialmente para sistemas cr¨ªticos.
- Educar a los usuarios, especialmente acerca de emails de phishing. Los usuarios est¨¢n en primera l¨ªnea de la recepci¨®n, lectura y respuesta de emails.
live casino online Ransomware Protection
El a?o pasado, el 83 % de las organizaciones se enfrent¨® a m¨²ltiples filtraciones con un coste de 4,4 millones de d¨®lares cada una, mientras que la reducci¨®n de la exposici¨®n al riesgo condujo a un ahorro medio de 1,3 millones de d¨®lares.
Cyber Risk Exposure Management, que forma parte de nuestra plataforma de ciberseguridad empresarial Trend Vision One?, reduce dr¨¢sticamente los ciberriesgos mediante la detecci¨®n continua, las evaluaciones en tiempo real y la mitigaci¨®n automatizada en entornos en la nube, h¨ªbridos o locales.