?Qu¨¦ es el Ransomware?
El ransomware es un tipo de malware que encripta archivos importantes en el almacenamiento local y de la red y exige un rescate para liberarlos. Los hackers desarrollan este malware para ganar dinero a trav¨¦s de la extorsi¨®n digital.
El ransomware est¨¢ encriptado, por lo que la clave no puede forzarse y la ¨²nica forma de recuperar la informaci¨®n es por medio de un respaldo.
La forma en que trabaja el ransomware es especialmente da?ina. Otros tipos de malware destruyen o roban los datos pero dejan abiertas otras opciones de recuperaci¨®n. Con el ransomware, si no hay respaldos, se debe pagar el rescate para recuperar los datos. A veces los negocios pagan el rescate y el atacante no env¨ªa la clave para descifrar los archivos
El ransomware busca informaci¨®n importante
Una vez que el ransomware comienza a funcionar, escanea el almacenamiento local y en la red, buscando archivos que se puedan encriptar. Busca archivos que asume son importantes para el negocio o para los individuos. Esto incluye archivos de respaldo que podr¨ªan ayudar a recuperar la informaci¨®n. Aqu¨ª se encuentran algunos de los tipos de archivos que el ransomware ataca:
- Microsoft Office: .xlsx, .docx, and .pptx y versiones anteriores
- Im¨¢genes: .jpeg, .png, .jpeg, .gif?
- Im¨¢genes relacionadas al negocio: .dwg?
- Datos: .sql y .ai
- Video: .avi, .m4a, .mp4
?
Diferentes tipos de ransomware buscan diferentes tipos de archivos, pero tambi¨¦n hay blancos comunes. La mayor¨ªa del ransomware busca archivos de Microsoft Office porque a menudo almacenan informaci¨®n cr¨ªtica al negocio. El atacar archivos importantes incrementa las posibilidades de que usted pague el rescate.
Los emails de phishing a menudo contienen ransomware
El ransomware es diferente de otros tipo de malware debido a lo que hace una vez que se activa. Usualmente se ejecuta cuando un usuario abre un archivo o hace click en un link en un correo de phishing. El malware entonces se descarga desde un servidor controlado por el atacante.
Despu¨¦s de que se descarga el ransomware, puede estar inactivo en su red o puede correr directamente en una computadora infectada. Cuando corre, escanea el almacenamiento local y de la red para detectar archivos y despu¨¦s los encripta. La encripci¨®n puede ser sim¨¦trica o asim¨¦trica, pero muchos ataques recientes han usado ambas.
Los atacantes exigen el pago
Un atacante siempre exige su pago en criptomonedas, usualmente Bitcoin. El uso de este medio de pago reduce el riesgo de que sean detectados. Los atacantes tambi¨¦n usan servidores detr¨¢s de TOR, una red an¨®nima, para evitar ser identificados.
Despu¨¦s de que el ransomware encripta los archivos, muestra un mensaje a su negocio. Los atacantes demandan el pago de rescate a cambio de las claves para desbloquear los archivos. El rescate puede ser algunos cientos o incluso millones de d¨®lares. Si no paga de inmediato, el malware incrementa la cantidad de rescate.
Algunos ataques de ransomware tienen una extorsi¨®n doble. El atacante demanda una cantidad para liberar los archivos. Tambi¨¦n publica una lista de organizaciones que fueron atacadas pero que se rehusaron a pagar. La doble extorsi¨®n funciona como incentivo para pagar el rescate y evitar el da?o a su marca.
El ransomware est¨¢ evolucionando
Hay variaciones de ransomware que difieren en c¨®mo se encriptan los datos y c¨®mo evitan que los usuarios obtengan la clave para obtener sus archivos. Versiones m¨¢s antiguas de ransomware usaban encripci¨®n asim¨¦trica de clientes o servidores o una encripci¨®n sim¨¦trica simple. Las ¨²ltimas versiones combinan ambas para incrementar la efectividad de un ataque.
Encripci¨®n sim¨¦trica
Los hackers actuales rara vez usan la encripci¨®n sim¨¦trica por s¨ª sola. La encripci¨®n sim¨¦trica por s¨ª misma usa una sola clave para encriptar y descifrar. La clave a menudo est¨¢ almacenada en el sistema local. Ah¨ª, los especialistas e investigadores pueden encontrarla y descifrar los datos sin tener que pagar el rescate. Para resolver este problema, ahora los hackers usan de forma cada vez m¨¢s com¨²n la criptograf¨ªa h¨ªbrida.
Encripci¨®n asim¨¦trica del lado del cliente
La encripci¨®n asim¨¦trica usa una clave p¨²blica para encriptar los datos y una clave separada, privada, para descifrarlos. Un m¨¦todo com¨²n de encripci¨®n es la criptograf¨ªa RSA, la cual tambi¨¦n es usada en HTTPS. RSA es m¨¢s lento que la encripci¨®n sim¨¦trica, y todos los archivos deben estar encriptados antes de que el atacante pueda mandar la clave privada al servidor.
El software termina de encriptar, manda la clave privada al servidor del atacante, y la borra del almacenamiento local. El riesgo es que la computadora pase a modo ¡°offline¡± antes de que se complete la encripci¨®n. En ese caso, la clave privada nunca se transfiere al servidor del atacante. El atacante entonces no puede demandar un rescate.
Encripci¨®n asim¨¦trica del lado del servidor
La encripci¨®n asim¨¦trica del lado del servidor resuelve el problema de la encripci¨®n del lado del cliente al encriptar los archivos cuando la computadora est¨¢ online. El servidor del atacante genera un par de claves privada / p¨²blica y encripta los archivos con la clave p¨²blica del servidor.
Cuando paga el rescate, el atacante transfiere la clave privada para poder descifrar los archivos. El riesgo para el atacante es que cuando se transfiere la clave privada, usted puede interceptarla y obtenerla. El riesgo para el atacante es que cuando se transfiere la clave privada, usted puede interceptarla y obtenerla, la cual puede entonces compartirse con otras organizaciones afectadas, haciendo que el ransomware ahora sea in¨²til.
Encripci¨®n h¨ªbrida
Los hackers descubrieron que las versiones anteriores de ransomware eran vulnerables, por lo que dise?aron versiones h¨ªbridas. En estas versiones, el software genera dos conjuntos de claves, y una cadena de encripci¨®n resuelve los problemas de las versiones anteriores. La cadena de encripci¨®n funciona de la siguiente forma:
- La clave sim¨¦trica encripta los archivos.
- El software genera un par de claves del lado del cliente. La clave p¨²blica del lado del cliente encripta la clave sim¨¦trica de los archivos.
- El software genera un par de claves del lado del servidor. La clave p¨²blica del lado del servidor encripta la clave privada del lado del cliente y se transfiere al atacante.
- Cuando se paga el rescate, la clave privada del lado del servidor descifra la clave privada del lado del cliente, y esta clave va al negocio para revertir la cadena de encripci¨®n.
?
Prevenga el ransomware con la ayuda de respaldos.
La mejor forma de protegerse contra el ransomware es con respaldos. Los archivos de respaldo almacenados localmente o en una unidad en la red son vulnerables. El almacenamiento en la nube est¨¢ protegido de los escaneos de la red del ransomware, por lo que es una buena soluci¨®n para la recuperaci¨®n. Una excepci¨®n es si se mapea el almacenamiento en la nube como una unidad local o una subcarpeta.
Para prevenir el da?o causado por el ransomware, es mejor detenerlo antes de que comience. La mayor¨ªa de los ataques comienzan cuando los usuarios descargan el software directamente o corren un script malicioso por accidente.
Dos formas de evitar que los usuarios descarguen ransomware es el filtrado de contenidos basado en DNS y la ciberseguridad en emails que incorpore cuarentena por medio de inteligencia artificial. El filtrado de contenidos basado en DNS evita que los usuarios naveguen por sitios que est¨¦n en una lista negra. Los filtros de emails mandan contenido y archivos adjuntos maliciosos a una cuarentena para que puedan ser revisados por un administrador.
Finalmente, siempre corra software antimalware con machine learning y monitoreo de comportamiento en cada uno de sus dispositivos, incluyendo los m¨®viles. Una buena aplicaci¨®n antimalware detecta el ransomware antes de que pueda acceder a la memoria y encriptar los archivos. Para una mayor efectividad, el software anti-malware siempre debe estar parchado y actualizado para que pueda reconocer a las ¨²ltimas amenazas.
Los ataques de ransomware afectan a miles
Los ataques de ransomware afectan a miles de usuarios alrededor del mundo. En algunos casos, a¨²n despu¨¦s de que las v¨ªctimas creen que se ha podido contener el ransomware, este a¨²n puede causar problemas. Los programas anti-malware detectan las versiones anteriores, pero los hackers desarrollan continuamente nuevas variantes para evitar la detecci¨®n.
Por ejemplo, en 2018 y 2019, el ransomware Ryuk deshabilit¨® la funcionalidad de restauraci¨®n del sistema de Windows. Los usuarios no pod¨ªan restaurar desde un punto previo en el sistema operativo. Porque estaba dirigido a negocios, Ryuk demandaba cientos de miles de d¨®lares de rescate.
CryptoLocker, WannaCry y Petya eran todas diferentes variantes de ransomware que caus¨® apagones globales de infraestructura, afectando incluso a bancos y agencias gubernamentales. WannaCry, en particular, se dirig¨ªa a m¨¢quinas Windows y us¨® un exploit desarrollado por la Agencia Nacional de Seguridad (NSA) de los Estados Unidos para escanear unidades de red abiertas y encriptar archivos vulnerables.
Las amenazas de ransomware que persisten incluyen Gandcrab, SamSam, Zeppelin y REvil. Aunque estas variantes son m¨¢s recientes, a¨²n persisten como malware peligroso con la capacidad de destruir sistemas corporativos.
El ransomware contin¨²a siendo una amenaza
El ransomware se dirige a negocios de cualquier tama?o, causando un da?o severo a la organizaci¨®n si no hay respaldos disponibles. El poder comprender c¨®mo funciona el ransomware y c¨®mo puede afectar a su negocio le ayuda a defenderse mejor contra ¨¦l. La mejor forma de detener un ataque es educando a los usuarios, corriendo anti-malware en todos los dispositivos y evitando que los usuarios accedan a mensajes maliciosos de correo electr¨®nico.