¿Qué es el ransomware?
En el improbable caso de que nunca hayas oído hablar de la amenaza que más rápido está creciendo hoy en día en el ámbito de la ciberseguridad, el ransomware es un tipo de malware que se instala de forma encubierta en un sistema, bloquea o cifra los datos que contiene y exige un rescate a cambio de liberarlos o descifrarlos.
El ransomware se extendió con fuerza en 2016, en parte debido a unas políticas de seguridad mal definidas (entre ellas, la falta de copias de seguridad periódicas) por parte de los consumidores y las pymes, y en parte debido a las ingeniosas tácticas de ingeniería social empleadas por los ciberdelincuentes.
Como muestra este vídeo de Cisco, la imagen del hacker con sudadera con capucha ha quedado totalmente desfasada: la llegada del«ransomware como servicio» ha permitido que personas con conocimientos de programación limitados, o incluso nulos, utilicen kits de ransomware perfectamente configurados para distribuir malware y extorsionar a empresas desprevenidas. Los kits de ransomware se pueden adquirir por tan solo 100 dólares en la dark web.
Las empresas deben estar muy preocupadas por el ransomware
El carácter lucrativo del modelo del ransomware lo hace muy atractivo para los ciberdelincuentes. Dada la creciente rentabilidad del «ransomware como servicio», el ransomware ya no es una preocupación exclusiva de las pequeñas y medianas empresas y los consumidores.
Por desgracia, la percepción general entre las empresas sigue siendo que el ransomware es un problema que afecta a los particulares o a las pymes y que, en realidad, no es motivo de preocupación. Se trata de una suposición peligrosa por varias razones:
- La realidad es que las empresas se ven efectivamente afectadas por el ransomware: en 2016, el 40 % de las empresas encuestadas sufrieron un ataque de este tipo, según un estudio de Malwarebytes (vía ZDNet).
- Aunque el modelo de seguridad de su organización sea sólido y cuente con planes de recuperación ante desastres bien definidos, debe tener en cuenta el coste que suponen las copias de seguridad incompletas, los mecanismos limitados de recuperación de los datos críticos para la empresa y el tiempo que lleva llevar a cabo una recuperación completa.
- El ransomware está evolucionando rápidamente: las nuevas variantes utilizan un enfoque sin archivos, lo que dificulta su detección mediante análisis de archivos. Aún más preocupante es el creciente nivel de sofisticación de las variantes de ransomware: una variante reciente llamada Locky emplea un cifrado RSA y AES extremadamente robusto, cifra archivos no solo en el sistema infectado, sino también en unidades de red no asignadas conectadas al punto de infección, y elimina las instantáneas de volumen. En otras palabras, se anticipa a las medidas correctivas y está diseñada específicamente para impedir que restaures tus archivos mediante la eliminación de las instantáneas de volumen.
Vectores de ataque
Según la mayoría de los investigadores en ciberseguridad, 2016 fue el año de la extorsión. Entre los métodos más utilizados para distribuir el malware en 2016 se encontraban:
Correos electrónicos de phishing dirigidos con archivos adjuntos o enlaces maliciosos (Locky, Torrentlocker, CTB-Locker)
Un método de ataque habitual en 2016 era el siguiente: un empleado de una empresa recibe lo que parece ser un correo electrónico legítimo con un archivo adjunto (como una factura). Al abrir el archivo adjunto, la codificación del documento aparece distorsionada (llena de caracteres erróneos). Puede aparecer un mensaje similar a este: «Si observa una codificación de datos incorrecta, active las macros». En cuanto el usuario activa las macros, se descarga el ransomware y se ejecuta la carga útil.
Esquemas de ingeniería social
Los ciberdelincuentes saben que, en la mayoría de las empresas modernas, el eslabón más débil de la seguridad es el usuario. Las tácticas de ingeniería social suelen consistir en engañar a empleados desprevenidos para que faciliten información de identificación personal o datos como contraseñas del sistema.
Uso de kits de explotación
Los kits de explotación son conjuntos de herramientas de malware que aprovechan vulnerabilidades conocidas o desconocidas cuando un posible objetivo visita un sitio web comprometido. Estos ataques suelen llevarse a cabo a través de publicidad maliciosa. Uno de los kits de explotación más notorios que existen en la actualidad es el kit de explotación Angler. Según el Informe de seguridad semestral de Cisco, en 2015, Angler representó el 36 % de la penetración en los usuarios de los ciberataques observados hasta ese momento.
¿Cómo puedes evitar ser víctima de un ransomware?
1. Utiliza una solución antimalware eficaz; lo ideal es emplear varias soluciones. Tal y como muestra el gráfico comparativo OPSWAT, la probabilidad de detectar un brote de malware aumenta exponencialmente con la potencia del análisis múltiple. OPSWATMetaDefender Core de OPSWAT aprovecha más de 100 motores antimalware, de limpieza de datos, de vulnerabilidades y otros motores de seguridad para ofrecer la mejor protección contra amenazas conocidas y desconocidas. El análisis múltiple le ayuda no solo a mejorar significativamente las tasas de detección, sino también a reducir el tiempo de exposición al brote. Además, las API MetaDefender permiten una fácil integración con las soluciones existentes. Más información sobre MetaDefender Core.
2. Contar con una política de seguridad empresarial bien definida que se aplique en todos los niveles de la organización.
3. ¡Haz copias de seguridad, haz copias de seguridad y haz copias de seguridad! Asegúrate de que se realicen copias de seguridad de los archivos con regularidad y de que tu organización cuente con un plan de copias de seguridad y recuperación ante desastres bien definido. Asegúrate de consultar con antelación con tu proveedor los costes y el tiempo que llevaría una recuperación completa en caso de que se produjera un fallo crítico en la infraestructura.
4. Invierte en un buen proxy web o en pasarelas web seguras que añadan una capa adicional de defensa y protejan tus servidores contra posibles infecciones. MetaDefender ICAP Server ofrece una ICAP que permite a los administradores de sistemas integrar fácilmente la tecnología de análisis múltiple y saneamiento de datos OPSWAT en un proxy web existente para el análisis antimalware de todas las descargas y cargas HTTP. Lee más al respecto aquí.
5. Abordar las vulnerabilidades. Reducir o eliminar las vulnerabilidades limita las posibilidades que tienen los usuarios malintencionados de acceder a información confidencial. Las vulnerabilidades sin parchear constituyen un grave problema. Aunque tu política de seguridad exija actualizaciones periódicas, es posible que algunos empleados se sientan molestos por las constantes notificaciones de actualización y desactiven las actualizaciones automáticas.
Con el motor de vulnerabilidadesCoreMetaDefender , puedes:
- Sistemas de análisis de vulnerabilidades conocidas en dispositivos apagados, sin necesidad de encenderlos
- Comprueba si el software tiene vulnerabilidades conocidas antes de instalarlo
- Analiza rápidamente sistemas completos y aplicaciones en ejecución en busca de vulnerabilidades
Descarga aquí una herramienta gratuita de evaluación de vulnerabilidades para obtener un informe rápido sobre las vulnerabilidades de tus dispositivos finales.
6. Aumenta la concienciación sobre la seguridad dentro de la organización. Asegúrate de que tus empleados conozcan los vectores de ataque más comunes: el phishing y la ingeniería social. Invierte en soluciones potentes de seguridad del correo electrónico: una pasarela de correo electrónico segura no siempre es suficiente. MetaDefender Email Security añade una capa de protección más sólida a sus puertas de enlace de correo electrónico seguro existentes.
7. En el caso de las organizaciones que cuentan con una política de «traiga su propio dispositivo» (BYOD), asegúrese de que los usuarios no instalen aplicaciones sin firmar o de terceros. Invierta en soluciones de movilidad empresarial que permitan prácticas BYOD más seguras, como entornos virtuales, clasificación de datos y soluciones de análisis de la integridad de los dispositivos.
¿Y si ya estás infectado?
- Desconecta el dispositivo infectado de la red lo antes posible. Esto ayuda a evitar que el ransomware se propague.
- Comprueba si dispones de puntos de restauración del sistema válidos que puedan utilizarse para recuperar archivos.
- Si ha invertido en una solución de copias de seguridad y recuperación ante desastres, consulte con su equipo de asistencia técnica para confirmar si los datos se pueden recuperar.
- En algunos casos, es posible que se puedan descifrar tus archivos. A continuación te ofrecemos algunas herramientas de descifrado de ransomware gratuitas proporcionadas por empresas especializadas en la lucha contra el malware:
El equipo de Windows Club mantiene una lista completa de herramientas gratuitas de descifrado de ransomware para desbloquear archivos. Además, echa un vistazo al proyecto «No More Ransom» para comprobar si puedes recuperar tus archivos cifrados.
Por último, OPSWAT señalar que OPSWAT no OPSWAT pagar el rescate. No hay garantía de que, tras recibir el pago, los atacantes vayan a descifrar los archivos, y es posible que te expongas a nuevas demandas de rescate.
Para obtener más información sobre cómo OPSWAT proteger a su organización contra el ransomware, póngase en contacto con nosotros hoy mismo.
