El ransomware es un tipo de malware que secuestra información después de comprometer una computadora y exige un pago a cambio de recuperar los datos y evitar daños mayores.
El concepto de ransomware se refiere a un tipo de software malicioso que, al infectar un dispositivo, bloquea los datos del usuario con el fin de solicitar un rescate en forma de pago, generalmente en criptomonedas, para recuperar la información. La palabra proviene de la combinación de «rescate» y «software».
En sus inicios, a finales de la década de 1980, los primeros casos implicaban pagos a través de correo. En la actualidad, los ciberdelincuentes exigen pagos en criptomonedas o tarjetas de crédito.
En los últimos años, ha habido un cambio de estrategia de ataques masivos a ataques más selectivos. Los hackers investigan detenidamente a sus objetivos, lo que implica explorar la red para recopilar información valiosa y conocer los recursos disponibles antes de lanzar el ransomware. Esto les permite determinar el monto máximo que la víctima estaría dispuesta a pagar por el rescate.
Con el tiempo, los atacantes han ampliado las capacidades de sus creaciones para aumentar su peligrosidad y efectividad, demostrando una mayor planificación y sofisticación en sus acciones.
¿Cómo funciona el ransomware?
El ransomware es un tipo de malware que puede manifestarse de diversas maneras, dependiendo de sus acciones y métodos de extorsión. Las dos categorías principales son:
- Ransomware de cifrado (Cryptoransomware):
- Es el más común y sofisticado, emplea técnicas de encriptación para cifrar los archivos en la computadora comprometida, volviéndolos inaccesibles para el usuario. Este tipo de ransomware se enfoca en las extensiones de archivo más utilizadas, como documentos de oficina, multimedia y bases de datos. También puede propagarse a unidades externas y de red, lo que amplía su capacidad de infiltración. Una señal evidente de esta infección es la modificación de las extensiones de archivo y la incapacidad de abrir los archivos incluso después de eliminar el malware. La recuperación de los datos afectados por el ransomware de cifrado suele representar un desafío, a menudo imposible.
- Ransomware de pantalla de bloqueo:
- Se trata de la forma más básica de ransomware y, aunque menos común en la actualidad, todavía se encuentra en dispositivos como teléfonos y tabletas con el sistema operativo Android. Este tipo de ransomware bloquea la pantalla del dispositivo, impidiendo el acceso hasta que se pague el rescate solicitado. Por lo general, es más sencillo de eliminar y tiene un impacto menor, pero puede ocasionar inconvenientes significativos.
¿Cómo el ransomware infecta un equipo?
El ransomware tiene diversas formas de infectar una computadora, muchas de las cuales explotan la vulnerabilidad humana y las fallas de seguridad del sistema. Las principales formas de infección son las siguientes:
- Correos electrónicos de phishing:
- Es la forma más común de distribución de ransomware. Los atacantes envían correos electrónicos fraudulentos con archivos adjuntos o enlaces maliciosos que parecen legítimos para que los usuarios abran archivos adjuntos o hagan clic en enlaces que conducen a la infección del sistema.
- Ataques de conexión remota:
- Los delincuentes aprovechan las conexiones remotas, como el Protocolo de Escritorio Remoto (RDP), para acceder a sistemas vulnerables con contraseñas débiles o mal configuradas. Una vez dentro del sistema, el ransomware puede cifrar datos o bloquear el acceso.
- Explotación de vulnerabilidades:
- El ransomware también se puede propagar aprovechando las vulnerabilidades de software obsoleto o mal configurado. Esto puede suceder a través de sitios web comprometidos que redirigen a los visitantes a exploits, o mediante dispositivos USB infectados.
- Ingeniería social:
- Los atacantes suelen utilizar la ingeniería social para engañar a los usuarios y hacer que instalen ransomware. Esto implica crear mensajes persuasivos que aprovechen la curiosidad o el miedo del usuario, incitándolos a realizar acciones perjudiciales, como descargar software malicioso.
¿Qué hacer cuando eres víctima de esta amenaza?
La acción a tomar dependerá de las medidas de seguridad que se hayan implementado antes del incidente.
- Si se dispone de una copia de seguridad actualizada, se puede restaurar la información. En caso de que la copia no esté completamente actualizada, al menos se podrá recuperar una parte importante de los datos.
- En ausencia de una copia de seguridad o si esta también se ve comprometida, se deberá evaluar si se está dispuesto a correr el riesgo de efectuar el pago, aunque esta práctica no se recomienda.
- Si se cuenta con las habilidades necesarias, se puede extraer la muestra de ransomware de la computadora para identificar la variante específica que ha infectado el sistema. Se pueden utilizar servicios como VirusTotal para analizar el archivo y escanear el equipo con una solución de seguridad para detectar y clasificar la amenaza.
- Una vez obtenida esta información, se puede buscar en motores de búsqueda como Google si existen herramientas para recuperar los archivos. Es importante tener precaución con las páginas que ofrecen herramientas de descifrado, ya que algunas pueden contener malware. Se recomienda visitar sitios web confiables, aunque en la mayoría de los casos, no hay garantía de recuperar los archivos afectados por ransomware.
- Otra opción que se puede considerar es utilizar programas como Recuva o ShadowExplorer, ya que algunas versiones antiguas de ransomware utilizan métodos de eliminación de archivos que permiten a las víctimas recuperar sus datos. Sin embargo, los atacantes están al tanto de estas técnicas y las nuevas versiones de ransomware suelen prevenir la recuperación de archivos de esta manera.
- Tras un incidente de ransomware, es fundamental realizar un análisis exhaustivo para identificar y corregir las vulnerabilidades que podrían dar lugar a futuros ataques. La prevención es la clave para combatir eficazmente el ransomware.
¿Cómo pueden protegerse las empresas contra esta amenaza?
El concepto de seguridad está evolucionando con los avances tecnológicos y el aumento de la ciberdelincuencia. Ahora se reconoce que la seguridad de la información se logra mediante múltiples capas de protección estratégicamente implementadas. Simplemente instalar una solución de seguridad no es suficiente, dado que la exposición de empresas y personas ha crecido significativamente.
Es crucial que las empresas diseñen cuidadosamente sus mecanismos de seguridad. Un análisis de riesgos adecuado conlleva la implementación de soluciones como detección de malware, gestión de copias de seguridad, protección de autenticación en redes corporativas, soluciones de prevención y detección, cifrado de archivos, inteligencia de amenazas, entre otros. La creación de una arquitectura de seguridad en capas es fundamental para detectar amenazas a tiempo.
La adquisición de tecnologías de protección debe ir de la mano de una sólida gestión de seguridad, que incluya políticas y educación para los usuarios. Los planes deben adaptarse a audiencias específicas, establecerse en base a objetivos claros y diseñarse para captar la atención de los implicados, para mantenerlos actualizados y comprometidos.
En particular, aquí hay algunos consejos básicos para protegerse contra el ransomware:
- Mantener copias de seguridad actualizadas: Esto permitirá restaurar el sistema o desinfectar el equipo y recuperar archivos infectados desde la copia de seguridad. Sin embargo, es crucial evitar que la copia de seguridad también se vea comprometida al estar conectada al equipo infectado. Por lo tanto, se recomienda establecer una sólida política de copias de seguridad.
- Utilizar una solución de seguridad: Contar con un software antimalware y un firewall ayuda a detectar comportamientos sospechosos y posibles amenazas. Dado que los ciberdelincuentes crean constantemente nuevas variantes de ransomware, tener estas capas de protección es fundamental.
- Emplear herramientas de cifrado de archivos: El ransomware tiende a encriptar archivos específicos, como imágenes, videos, bases de datos o documentos. Al cifrar los archivos, se puede proteger la información de posibles infecciones.
- Educar al personal sobre la ciberseguridad: Además de implementar medidas de defensa tecnológica, es esencial capacitar a los empleados sobre los riesgos de seguridad y cómo prevenirlos.
- Mostrar extensiones de archivos de forma predeterminada: Al visualizar las extensiones completas de los archivos, se puede identificar más fácilmente posibles archivos maliciosos con doble extensión, como «.PDF.EXE».
- Revisar los archivos adjuntos de correos electrónicos: Dado que muchas infecciones de ransomware comienzan a través de archivos adjuntos en correos electrónicos, es crucial establecer reglas para analizar y bloquear ciertos tipos de archivos.
- Deshabilitar la ejecución de archivos en las carpetas AppData y LocalAppData, así como desactivar el acceso RDP cuando no sea necesario.
- Mantener actualizado el software en todos los dispositivos: Actualizar regularmente el software de oficina, dispositivos móviles y redes ayuda a protegerse de posibles vulnerabilidades explotadas por ciberdelincuentes.
- Establecer políticas de seguridad y comunicarlas: Crear políticas de seguridad claras y asegurarse de que los empleados las conozcan y cumplan puede prevenir infecciones y ataques a través de la ingeniería social.
Fabian Vidal