?Qu¨¦ Sucede Durante un Ataque de Ransomware?
El ransomware da?a datos cr¨ªticos
El ransomware puede ser devastador para un negocio porque da?a datos cr¨ªticos. Durante un ataque, el ransomware busca archivos importantes y los encripta de forma que no puede revertirse, da?ando a una organizaci¨®n mucho m¨¢s r¨¢pido que con otras aplicaciones maliciosas.
C¨®mo comienza una amenaza de ransomware
La mayor¨ªa de los ataques de ransomware comienzan con un email malicioso. El email a menudo contiene un link a un sitio web controlado por el atacante donde el usuario descarga el malware. Tambi¨¦n podr¨ªa contener un archivo adjunto malicioso con c¨®digo que descarga el ransomware despu¨¦s de que el usuario abre el archivo.
Los atacantes a menudo usan documentos de Microsoft Office como adjuntos. Office cuenta con una interfaz de Visual Basic for Applications (VBA) que los atacantes usan para programar scripts. Las nuevas versiones de Office deshabilitan la caracter¨ªstica que corre autom¨¢ticamente los scripts de los macros cuando se abre un archivo. El malware pide al usuario correr los scripts y muchos usuarios lo hacen. Es por esto que los macros maliciosos a¨²n son peligrosos.
El macro de Office descarga el ransomware desde el servidor de un atacante, y el malware corre en el dispositivo local. El ransomware escanea la red y el almacenamiento local para encontrar archivos cr¨ªticos y encripta lo que encuentra. La encripci¨®n t¨ªpicamente es criptograf¨ªa Advanced Encryption Standard (AES) usando 128 o 256 bits. Esto fortalece el proceso contra ataques de fuerza bruta. Algunos tipos de ransomware tambi¨¦n usan criptograf¨ªa de claves p¨²blicas / privadas como Rivest-Shamir-Adleman (RSA).
Recuperando los datos y eliminando el ransomware
Los desarrolladores de ransomware crean funcionalidades que bloquean a los usuarios y evitan que eliminen la aplicaci¨®n sin haber pagado primero el rescate. Algunos hackers usan bloqueadores de pantallas para que los usuarios no puedan acceder al escritorio de Windows. Debido a que las bibliotecas de criptograf¨ªa que se usan para encriptar los archivos son seguras, eliminar el malware a¨²n requiere desencriptar los datos.
El FBI recomienda a los negocios afectados no pagar el rescate. Otros expertos dicen que pagar el rescate les regresa los archivos a las partes afectadas. A veces, los atacantes no entregan la clave para desencriptar a¨²n si el rescate ha sido pagado. El negocio entonces sufre p¨¦rdidas monetarias y de informaci¨®n. Usted puede eliminar el ransomware, pero es poco probable que recupere los archivos sin pagar el rescate a menos de que cuente con un respaldo.
La mayor¨ªa de los vendors de anti-malware cuentan con parches o soluciones descargables que eliminan el ransomware. Despu¨¦s de eliminar el malware, puede restaurar sus archivos desde un respaldo. Tambi¨¦n puede restaurar su computadora a las configuraciones de f¨¢brica. Con esta ¨²ltima soluci¨®n, su computadora regresa al mismo estado en que se encontraba cuando usted la compr¨®. Necesitar¨ªa volver a instalar software de terceros.
Sophos Group, una empresa de seguridad brit¨¢nica, identific¨® el flujo de ataque de Ryuk, el cual tambi¨¦n es conocido como la cadena de ataque. Vea el diagrama debajo.
±Ê°ù´Ç³Ù±ð³¦³¦¾±¨®²Ô contra el ransomware
Puede proteger dispositivos y datos contra el ransomware de varias maneras. Ya que la infecci¨®n usualmente inicia con un email malicioso, comience con ciberseguridad antimalware que escanee los mensajes entrantes para detectar links o adjuntos sospechosos. Si se detectan, ponga los mensajes en cuarentena, evitando que alcancen las bandejas de entrada de los usuarios.
Tambi¨¦n es efectivo el filtrado de contenidos en la red. Evita que los usuarios accedan a sitios web controlados por los atacantes. Combinado con los filtros de correo, el filtrado de contenidos es una forma efectiva de detener la mayor¨ªa de ransomware y malware de acceder a su red interna.
El software de anti-malware deber¨ªa correr en todos los dispositivos de red incluyendo tel¨¦fonos inteligentes. El anti-malware evita que el ransomware encripte los archivos y lo elimina del sistema antes de que entregue la carga maliciosa. Si la organizaci¨®n tiene una pol¨ªtica ¡°traiga su propio dispositivo¡± (BYOD), es importante correr una aplicaci¨®n anti-malware aprobada en los dispositivos de los usuarios.
La capacitaci¨®n de los usuarios es una forma proactiva de protegerse contra el ransomware. Ya que el ransomware a menudo comienza con phishing e ingenier¨ªa social, los usuarios capacitados para identificar ataques son una buena adici¨®n a otras medidas antimalware. Combinados, la capacitaci¨®n y los sistemas anti-malware pueden reducir de forma importante el riesgo de ciberseguridad. Si fallan los sistemas de anti-malware, los usuarios capacitados para identificar un ataque no caen en el enga?o de correr ejecutables maliciosos.
Ejemplos de ransomware
Varios tipos de ransomware a¨²n afectan a los negocios, a¨²n cuando la amenaza global de malware ha sido eliminada de forma general. Existen para extorsionar dinero de individuos o negocios que no tienen implementadas protecciones efectivas.
Una de las primeras aplicaciones conocidas de ransomware que caus¨® un impacto global fue CryptoLocker. El target de CryptoLocker eran m¨¢quinas Windows y se propag¨® en el 2014. La infecci¨®n usualmente iniciaba con un mail y un archivo adjunto malicioso. El software entonces encript¨® archivos importantes con encripci¨®n asim¨¦trica de clave p¨²blica / privada (RSA).
Locky es un ejemplo de ransomware que us¨® ingenier¨ªa social. Liberado en el 2016, Locky comenz¨® con un archivo de Word malicioso adjunto en un correo. Cuando los usuarios abr¨ªan el archivo, el contenido parec¨ªa estar mezclado a excepci¨®n de un mensaje que solicitaba habilitar los macros. Despu¨¦s de que los usuarios habilitaban los macros y abr¨ªan el archivo, Locky se ejecutaba.
Bad Rabbit es un ejemplo de malware que los usuarios descargaban voluntariamente. Usualmente se propagaba al hacerse pasar como una actualizaci¨®n de Adobe Flash. Despu¨¦s de que corr¨ªa el malware, encriptaba los archivos y se reiniciaba el sistema. Bad Rabbit restring¨ªa el inicio de la computadora y en su lugar mostraba un mensaje solicitando un rescate para liberar los archivos.
Previniendo el ransomware
Los ejemplos anteriores son s¨®lo algunas de las versiones de ransomware que plagan a las organizaciones. Los desarrolladores de ransomware contin¨²an creando nuevas formas de encriptar archivos y pedir rescate por ellos. Si comprende c¨®mo funciona el ransomware, puede implementar las defensas adecuadas. Puede prevenir el ransomware con una soluci¨®n anti-malware efectiva, capacitaci¨®n a los usuarios y filtros de correo que bloqueen mensajes maliciosos.