Ataques de Ransomware 2023

Para este año 2023, sigue la lucha:

No es curioso que estos adjetivos no se resuelven con “suficientemente bueno”, hoy en día, después de tantos años, solo piensan que con un antivirus está resuelto si sufrimos un ataque de ransomware de cualquier tipo, sin embargo, cuando se trata de ransomware, muchas empresas están en riesgo simplemente por su tecnología obsoleta, falta de capacitación y estrategias de defensa “suficientemente buenas”, apatía o la sobre protección que se contraviene por sí misma.

Recordemos que la cadena de destrucción no es irrompible, hay mitigar el impacto de un ataque de ransomware y declarar una fatalidad en la cadena de eliminación de ransomware.

El término “ransomware” se usa ampliamente cuando se habla de amenazas de ciberseguridad, sin embargo, no muchos usuarios profundizan en entender qué es el ransomware y cómo funciona, lo tratan como con cualquier intruso molesto, por ellos les recomiendo que es mejor estudiar adecuadamente la esencia del ransomware para contrarrestarlo.

Entonces, veamos a qué nos enfrentamos:

El ransomware es un tipo de malware diseñado para infiltrarse en una máquina y emplear el cifrado en todos los datos que contiene.

Al cifrar los datos en el dispositivo de un usuario, el ransomware puede retenerlos como rescate, si no confía en una solución sólida de ciberseguridad, no podrá acceder a sus datos hasta que pague una suma considerable a los atacantes.

Esto es importante, la mayoría de los ataques de ransomware se esfuerzan por cifrar todos los datos en un dispositivo: archivos, carpetas, información de identificación personal (PII), bases de datos, aplicaciones, etc.

“El ransomware a menudo puede propagarse a través de una red para apuntar a bases de datos o servidores de archivos, si tiene éxito, puede hacer que organizaciones enteras no puedan acceder a sus datos”

¿Cómo funciona el ransomware?

Como les he comentado y aclarado los daños que siguen a un ataque de ransomware exitoso, no obstante, ¿cómo se las arregla para lograr sus objetivos?

Bueno, en primer lugar, el ransomware usa encriptación asimétrica, es un tipo de criptografía que se basa en un par de claves para cifrar y descifrar datos, los atacantes pueden generar un par de claves públicas y privadas únicas y almacenar la clave privada utilizada para descifrar los datos en un servidor de su elección.

Por lo general, se espera que el atacante le presente a la víctima la clave privada una vez que se paga el rescate, sin embargo, cada campaña de ransomware es diferente, en ocasiones, pagar el rescate solo traería riquezas a los atacantes, pero el usuario no recibirá una clave privada para descifrar sus datos, y claro, sin una clave de descifrado, es casi imposible “liberar” sus datos del proceso de cifrado.

Eso es cierto y se convierte en crítico, por supuesto, si no tiene una copia de seguridad segura de sus datos almacenados en un dispositivo externo o en la nube.

Entonces, el malware se basa en un vector de ataque para llegar con éxito a un punto final e infiltrarse en un sistema, una vez hecho esto, el ransomware puede persistir en una red hasta que se cumpla su objetivo, consideremos que incluso si la mayoría de las formas de ransomware hacen más o menos lo mismo, el estado de infección puede variar, se puede distribuir a través de correos electrónicos maliciosos, ataques dirigidos o incluso anuncios emergentes.

Después de una explotación exitosa, el ransomware normalmente soltará y ejecutará un binario corrupto en el dispositivo o sistema infectado, enseguida, el binario rastrea los datos de la víctima para cifrar archivos valiosos: imágenes, documentos de MS Word, bases de datos, aplicaciones del sistema, lo que se les antoje, etc.

Por su parte, otro ataque de ransomware tienen como objetivo propagar aún más la infección, estos buscarían y explotarían las vulnerabilidades del sistema y de la red para “saltar” a otros sistemas y, potencialmente, a toda una organización, en los usuarios domésticos rara vez habilitan exploits masivos del sistema, pero el ransomware tardaría mucho menos en propagarse por todo el sistema e invariablemente alcanzarlos también.

Una vez que el ransomware cifra sus archivos, normalmente se le pedirá que pague un rescate dentro de las 24 a 48 horas para descifrar sus datos.

Si no lo hace, sus datos podrían perderse para siempre, sobre todo, si no tiene una forma confiable de recuperar sus archivos del almacenamiento externo, probablemente se verá obligado a pagar el rescate y esperará recibir una clave de descifrado para recuperar sus datos, en el mejor de los casos.

Diferentes tipos de ransomware

El ransomware viene en muchas formas e intensidades, para nuestros fines, podemos dividir los ataques de ransomware en cuatro categorías principales.

Espantapájaros

El scareware suele falsificar problemas en el dispositivo infectado, entonces, el usuario normalmente ve un mensaje en su pantalla que notifica la detección de un virus o malware, la acción:

En medio del pánico, puede hacer clic en la alerta y liberar el malware.

Una vez que se hace clic, la notificación emergente redirigirá a la víctima a una página “segura” para resolver el problema, una vez que el usuario sigue el enlace malicioso, los atacantes pueden robar su información personal o financiera.

Encriptadores

Los encriptadores se ajustan a la descripción más general de ransomware, se infiltrarían en un sistema, cifrarían todos los datos en él y lo mantendrían como rehén hasta que la víctima pagara un rescate con la esperanza de recibir una clave de descifrado.

Casilleros

Los casilleros no cifran los datos para evitar el acceso a archivos o aplicaciones, estos, en cambio, su objetivo es evitar el uso de todo su dispositivo, después de un ataque a un casillero, la víctima generalmente ve una pantalla de bloqueo que muestra los detalles del rescate junto con un cronómetro para crear una sensación de urgencia.

Doxware/Leakware

Doxware a menudo tiene como objetivo estafar a un usuario o una empresa para que pague un rescate a través de amenazas de publicar datos confidenciales en línea, Doxware generalmente se dirige a empresas con la amenaza de liberar archivos confidenciales o propiedad intelectual, pero también puede dirigirse a usuarios individuales.

Con la creciente popularidad y el éxito de los ataques de ransomware, podemos seguir el surgimiento de RaaS, un modelo económico de ciberdelincuencia de ransomware como servicio, el modelo permite a los desarrolladores de malware monetizar sus esfuerzos sin distribuir ataques de ransomware por su cuenta.

Cualquier criminal no técnico puede usar el ransomware diseñado y lanzar campañas de infección sobre víctimas desprevenidas, no es necesario ser un experto, si los ataques tienen éxito, los desarrolladores recibirán un porcentaje del botín, este modelo garantiza una seguridad relativa para los desarrolladores, ya que sus clientes hacen la mayor parte del trabajo después de que se crea el código.

Cómo podemos ver, las amenazas de ransomware surgen cada día más rápido y con más malicia, se están volviendo más sofisticados, por el hecho de que ellos también ya están utilizando la inteligencia artificial, sin embargo, el fácil acceso a los desarrolladores no es la única razón del aumento del ransomware.