¿Qué es el ransomware?
Trend Micro: reduciendo el riesgo de ransomware con una gestión proactiva de la superficie de ataque
Definición de ransomware y cómo ataca a la información importante
El ransomware es malware que cifra archivos importantes en almacenamiento local y en red y pide un rescate para descifrarlos. Los hackers desarrollan este malware para ganar dinero mediante la extorsión digital.
El ransomware está cifrado, por lo que no es posible forzar la clave y la única manera de recuperar la información es mediante una copia de seguridad.
La forma en la que funciona el ransomware lo convierte en un sistema especialmente perjudicial. Otros tipos de malware destruyen o roban datos, pero ofrecen la posibilidad de otras opciones de recuperación. Mediante el ransomware, si no existen copias de seguridad, debe pagar el rescate para recuperar los datos. Algunas empresas pagan el rescate y los atacantes no envían la clave de descifrado.
Una vez que el ransomware empieza a funcionar, analiza el almacenamiento local y en la red en busca de archivos para cifrar. Se dirige a archivos que cree que son importantes para su empresa o para personas. Esto incluye archivos de respaldo que pudieran ayudar a recuperar la información. A continuación, encontrará algunos tipos de objetivos del ransomware:
- Microsoft Office: .xlsx, .docx y .pptx, más las versiones anteriores
- Imágenes: .jpeg, .png, .jpeg, .gif
- Imágenes relacionadas con la empresa: .dwg
- Datos: .sql y .ai
- Vídeo: .avi, .m4a, .mp4
Hay distintos tipos de ransomware que atacan diferentes conjuntos de archivos, pero que también son objetivos frecuentes. La mayoría de ransomware ataca archivos de Microsoft Office porque, con frecuencia, almacenan información empresarial crítica. Al atacar archivos importantes aumentan las probabilidades de que pague el rescate.
Tipos de ransomware
Leakware o Doxware
Leakware, también conocido como doxware, lleva las amenazas de ransomware a un nuevo nivel no solo cifrando archivos, sino también amenazando con divulgar datos confidenciales o sensibles si no se paga el rescate. A diferencia del ransomware tradicional, donde el enfoque está en evitar el acceso a los datos a través de la cifrado, el software de fuga aprovecha el miedo de las personas a la exposición pública. Los hackers suelen utilizar el software de filtración como parte de una estrategia de doble extorsión, exigiendo el pago tanto por el descifrado como por la prevención de filtraciones de datos.
Ransomware móvil
Dado que los dispositivos móviles se han convertido en un elemento central de las actividades personales y empresariales, se han convertido en objetivos de los ataques de ransomware. El ransomware móvil a menudo se propaga a través de aplicaciones maliciosas o mensajes de phishing. Una vez instalado, el malware bloquea el dispositivo, muestra mensajes de rescate o cifra el almacenamiento local, evitando que los usuarios accedan a sus aplicaciones, fotos y contactos. Los hackers normalmente exigen el pago en criptomoneda para desbloquear el dispositivo.
Limpiaparabrisas
Los wipers se encuentran entre las formas de ransomware más destructivas. En lugar de cifrar archivos para rescate, los paños están diseñados para eliminar o corromper permanentemente los datos, sin dejar ninguna posibilidad de recuperación. Estos ataques a menudo tienen como objetivo causar caos, interrumpir las operaciones o enviar un mensaje político o ideológico. Los Wipers a veces se disfrazan de ransomware tradicional, engañando a las víctimas para que paguen un rescate aunque los datos ya se hayan perdido de forma irreversible.
Scareware
Scareware se basa en la manipulación psicológica para extorsionar dinero de las víctimas. Suele hacerse pasar por un software antivirus o alertas del sistema, afirmando que el dispositivo de la víctima está infectado con malware o tiene vulnerabilidades críticas. A continuación, el software exige el pago para "arreglar" los problemas inexistentes. Si bien el scareware no siempre cifra archivos, puede bloquear a los usuarios fuera de sus sistemas o bombardearlos con mensajes emergentes persistentes hasta que se pague un rescate. El escalonamiento se aprovecha del miedo y la falta de conocimiento técnico, lo que lo convierte en una herramienta eficaz para dirigirse a usuarios menos expertos en tecnología.
Los emails de phishing a menudo contienen ransomware
La diferencia del ransomware con otros tipos de malware radica en que lo que este hace una vez que se ha activado. Normalmente se ejecuta cuando un usuario abre un adjunto o hace clic en un enlace contenido en un email de phishing. A continuación, el malware se descarga de un servidor controlador por el atacante.
Una vez que el ransomware se ha descargado, puede permanecer inactivo en su unidad de red o ejecutarse directamente en un equipo infectado. Cuando se ejecuta, analiza los sistemas de almacenamiento de red y locales disponibles en busca de extensiones de archivos objetivo y procede a su cifrado. El cifrado puede ser simétrico o asimétrico, pero la gran mayoría de ataques de ransomware recientes utilizan ambos.
Los atacantes exigen un pago
Un atacante siempre exige el pago en criptomoneda, principalmente Bitcoin. Al aceptar pagos por este medio, reduce el riesgo de ser descubierto. Asimismo, los atacantes utilizan servidores detrás de TOR, una red anónima, para evitar que puedan identificarles.
Una vez que el ransomware cifra los archivos, muestra un mensaje a su empresa. Los atacantes exigen un pago a cambio de las claves para desbloquear los archivos. El rescate puede variar desde cientos de dólares hasta millones. Si no paga inmediatamente, el malware incrementa la cuantía del rescate.
Algunos ataques de ransomware se caracterizan por conllevar una doble extorsión. Por un lado, el atacante exige un pago para liberar los archivos. Pero también publica una lista de organizaciones que sufrieron un ataque y se negaron a pagar. La doble extorsión tiene la finalidad de motivarle aún más para que pague el rescate y evite cualquier tipo de daño a su marca.
El ransomware está evolucionando
Hay variaciones de ransomware que se diferencian en la forma en la que cifran los datos e impiden a los usuarios obtener la clave de descifrado. Versiones antiguas de ransomware utilizaban cifrado asimétrico del servidor o cliente o un sencillo cifrado simétrico. Las versiones más modernas de ransomware combinan ambas técnicas para aumentar la efectividad de un ataque.
Cifrado simétrico
Hoy en día, los hackers que utilizan ransomware rara vez utilizan solo el cifrado simétrico. El cifrado simétrico por sí solo utiliza una única clave para cifrar y descifrar. A menudo, la clave se almacena en el sistema local. Allí, especialistas e investigadores pueden encontrarla y descifrar los datos sin tener que pagar el rescate. Para solucionar este problema, ahora los hackers usan con mayor frecuencia la criptografía híbrida.
Cifrado asimétrico en el cliente
El cifrado asimétrico utiliza una clave pública para cifrar datos y una clave privada e independiente para descifrarlos. Un método de cifrado muy común es la criptografía con RSA, que también utiliza HTTPS. El RSA es más lento que el cifrado simétrico y todos los archivos se deben cifrar antes de que el atacante pueda enviar la clave privada al servidor.
El software finaliza el cifrado, envía la clave privada al servidor del atacante y la elimina del almacenamiento local. El riesgo reside en que el equipo quede offline antes de que finalice el cifrado. En este caso, la clave privada nunca se transfiere al servidor del atacante. Como consecuencia, el atacante no puede exigir un rescate.
Cifrado asimétrico en el servidor
El cifrado asimétrico en el servidor soluciona el problema del cifrado en el cliente cifrando archivos cuando el equipo vuelve a estar online. El servidor del atacante genera un par de claves pública y privada y cifra los archivos con la clave pública del servidor.
Cuando paga el rescate, el atacante transfiere la clave privada para el descifrado. El riesgo para el atacante reside en que cuando se transfiere la clave privada, usted puede interceptarla y obtenerla, lo que permite que pueda guardarla y compartirla con otras empresas afectadas, dejando al ransomware inutilizado.
Cifrado híbrido
Los hackers descubrieron que las versiones anteriores de ransomware eran vulnerables, por lo que diseñaron versiones híbridas. En las versiones híbridas, el software genera dos conjuntos de claves y una cadena de cifrado soluciona los problemas con las versiones antiguas. La cadena de cifrado funciona de forma similar a esta:
- La clave simétrica cifra archivos.
- El software genera un par de claves en el cliente. La clave pública en el cliente cifra los archivos de la clave simétrica.
- El software genera un par de claves en el servidor. La clave pública en el servidor cifra la clave privada en el cliente y, a continuación, finaliza en el atacante.
- Cuando paga el rescate, la clave privada en el servidor descifra la clave privada en el cliente y esta termina en su empresa, donde se invierte la cadena de cifrado.
Cómo prevenir el ransomware con copias de seguridad
La mejor manera de protegerse frente al ransomware son las copias de seguridad. Los archivos de copia de seguridad almacenados de forma local o en una unidad de red son vulnerables. El almacenamiento en la nube está protegido frente a análisis de red de ransomware, por lo que constituye una buena solución para la recuperación. Una excepción es si asigna un almacenamiento en la nube como una unidad local o subcarpeta.
Para evitar daños por ransomware, la mejor solución es detenerlo antes de que se inicie. La mayoría de los ataques se inician cuando los usuarios descargan involuntariamente el software directamente o ejecutan accidentalmente un script malicioso.
Las dos formas de impedir que los usuarios descarguen ransomware son: el filtrado de contenido basado en DNS y la ciberseguridad de email que incorpora cuarentena con inteligencia artificial. El filtrado de contenido basado en DNS impide que los usuarios naveguen por sitios web incluidos en listas negras. Los filtros de email envían adjuntos y contenido malicioso a cuarentena para que el administrador los revise.
Por último, siempre ejecute software anti-malware con machine learning y supervisión de comportamiento en todos los dispositivos, incluidos los móviles. Una buena aplicación anti-malware detecta ransomware antes de que pueda acceder a la memoria y cifrar los archivos. Para obtener la máxima eficacia, el software anti-malware siempre debe estar actualizado y con las revisiones más recientes con el fin de que pueda reconocer las últimas amenazas.
Los ataques de ransomware afectan a miles de usuarios
Los ataques de ransomware afectan a miles de usuarios en todo el mundo. En algunos casos, incluso después de que las víctimas creen que el ransomware está contenido, este continúa causando estragos. Los programas anti-malware detectan numerosas versiones antiguas, pero los hackers están continuamente desarrollando nuevos tipos de ransomware para evitar su detección.
Por ejemplo, en 2018 y 2019, el ransomware Ryuk deshabilitó la funcionalidad de Restaurar sistema de Windows. Los usuarios no podían proceder con la recuperación desde un punto de restauración anterior en el sistema operativo. Debido a que estaba dirigido a empresas, Ryuk exigió cientos de miles de dólares como rescate.
CryptoLocker, WannaCry y Petya constituyen otros ejemplos de ransomware que provocaron paralizaciones de infraestructuras en todo el mundo, afectando incluso a bancos y agencias gubernamentales. En especial, WannaCry, se dirigió a equipos con Windows y utilizó un exploit desarrollado por la Agencia de Seguridad Nacional (NSA) de los Estados Unidos para analizar unidades de red abiertas y cifrar archivos vulnerables.
Entre las amenazas de ransomware que aún persisten se incluyen Gandcrab, SamSam, Zeppelin y REvil. Si bien estas variantes son más recientes, aún persisten como malware peligroso con la capacidad de destruir sistemas corporativos.
Fuente: David Sancho - Senior Threat Researcher - Trend Micro
El ransomware sigue siendo una amenaza
El ransomware ataca a empresas de cualquier tamaño, paralizando a su organización si no cuenta con copias de seguridad disponibles. Comprender cómo funciona el ransomware y cómo puede afectar a su empresa le ayuda a defenderse mejor frente a él. La mejor manera de detener un ataque es educar a los usuarios, ejecutar anti-malware en todos los dispositivos e impedir que los usuarios accedan a mensajes de email maliciosos.
Descargue aquí el estudio de Trend Micro
https://www.trendmicro.com/vinfo/es/security/news/cybercrime-and-digital-threats/the-future-of-ransomware
Trend Micro Ransomware Protection
El año pasado, el 83 % de las organizaciones se enfrentó a múltiples filtraciones con un coste de 4,4 millones de dólares cada una, mientras que la reducción de la exposición al riesgo condujo a un ahorro medio de 1,3 millones de dólares.
Cyber Risk Exposure Management, que forma parte de nuestra plataforma de ciberseguridad empresarial Trend Vision One™, reduce drásticamente los ciberriesgos mediante la detección continua, las evaluaciones en tiempo real y la mitigación automatizada en entornos en la nube, híbridos o locales.
Información relacionada con Ransomware
Informe de mitad de año sobre amenazas a la ciberseguridad 2024 de Trend Microt
Los ciberdelincuentes están siempre al acecho de nuevas tecnologías de las que abusar, acontecimientos mundiales significativos de los que aprovecharse y activos vulnerables y mal gestionados que poner en peligro.
Cómo Trend Micro Managed Detection and Response puso pausa a un ataque de ransomware de Play
Gracias a la plataforma Vision One de Trend Micro, nuestro equipo de MDR pudo identificar y contener rápidamente un intento de intrusión de ransomware de Play.
Investigaciones relacionadas
Artículos relacionados