El reciente ataque a Kaseya (cadena de suministro) se analizó desde diferentes perspectivas y se describió como el peor ciberataque jamás perpetrado en un solo día, con unos50 proveedores de servicios de gestión (MSP) y unos 1 500 de sus clientes finales afectados.
¿Pero es realmente tan grave?
¿Cuántos de estos clientes finales han tenido que pagar el rescate exigido por el ransomware?
Según este análisis de Bleeping Computer, al parecer no fueron muchos, ya que los atacantes no borraron ni cifraron las copias de seguridad de las empresas afectadas. La mayoría de ellas pudieron utilizar sus copias de seguridad para recuperar los datos y no tuvieron que pagar el rescate exigido por los atacantes. Al no haber tomado como rehenes las copias de seguridad, los atacantes tuvieron menos influencia sobre los clientes.
Entonces, ¿en qué consisten los primeros auxilios ante un ataque de ransomware en tres palabras?
La respuesta es sencilla: copias de seguridad, copias de seguridad y… copias de seguridad.
Esa es la respuesta sencilla, ¡pero no ofrece una visión completa!
El simple hecho de hacer una copia de seguridad de los datos, ya sea en el mismo ordenador o en otro ordenador o dispositivo de almacenamiento de la misma red, puede no ser suficiente, tal y como han demostrado incidentes anteriores que fueron algo más sofisticados que el ataque a Kaseya.
El vector de ataque más habitual en la actualidad suele constar de varias fases relacionadas con el acceso y el bloqueo de las copias de seguridad, como parte de un ataque de ransomware:
- búsqueda de copias de seguridad mediante la implementación de malware APT (amenaza persistente avanzada)
- robar datos importantes del almacenamiento y las copias de seguridad
- cifrar los datos y las copias de seguridad en paralelo, a veces incluso con claves diferentes
Para mitigar el impacto e incluso prevenir este tipo de ataques de ransomware tan sofisticados, las medidas de primera respuesta deben:
Escanear todos los archivos que deban archivarse
- Simultáneamente con varios motores antimalware para obtener las tasas de detección más altas
- Secure los datos personales identificables (PII) y los datos financieros sensibles contenidos en esos archivos mediante DLP (protección contra la pérdida de datos).
Desinfecta los archivos sospechosos de contener posibles amenazas, es decir, «cargas útiles» desconocidas, como macros en archivos de Excel o Word, etc. Estas cargas útiles potencialmente peligrosas pueden eliminarse mediante la tecnología Deep CDR™ (Content Disarm and Reconstruction) en más de 100 de los tipos de archivo más comunes.
Guarda y realiza copias de seguridad de los archivos en otra red o en una solución de almacenamiento en la nube, como AWS, Azure, etc.
Fig.: El papel de MetaDefender Storage Security la protección Cloud
MetaDefender Storage Security facilita la extracción de archivos del almacenamiento interno o de aquellos subidos desde una fuente externa, así como su análisis, limpieza y almacenamiento seguro en la nube para un «día de lluvia».
Conclusión
Sí, llegará el día en que tu organización sufra un ciberataque. No es cuestión de «si» ocurrirá, sino de «cuándo», por lo que debes estar preparado. La forma más sencilla y segura de protegerse es preparar (y actualizar periódicamente) una copia de seguridad limpia de tus datos importantes en una red independiente o en la nube.
