Las entradas sigilosas del ransomware

Los ataques de ransomware a menudo no implican ciberataques complejos. Por el contrario, los atacantes suelen explotar vulnerabilidades sencillas. Pueden encontrar una puerta abierta o engañar a alguien para que se la abra. Los ataques de fuerza bruta rara vez se utilizan en la mayoría de los incidentes.

El ransomware es un software malicioso que cifra sus archivos o bloquea el acceso a su ordenador. Posteriormente, los atacantes exigen un rescate, generalmente en criptomoneda, por la clave de descifrado. Este problema no afecta solo a las grandes corporaciones; pequeñas empresas, hospitales y particulares suelen ser atacados, enfrentándose a graves problemas y pérdidas económicas. La Oficina Federal de Investigaciones de EE. UU. (FBI) informó de un incremento del 72% en las denuncias de ransomware de 2019 a 2020, lo que demuestra su gran prevalencia.

Lo que la mayoría de la gente desconoce sobre el ransomware

Muchas personas creen que solo los ciberataques avanzados provocan infecciones de ransomware. Esto no es así. El error humano está detrás de muchos incidentes cibernéticos, según el Informe de Investigaciones de Brechas de Datos de Verizon de 2023. Los atacantes suelen valerse de la psicología humana más básica y explotan fallos de software ampliamente conocidos. Imagine a un ladrón que no siempre fuerza una cerradura compleja; a veces, simplemente encuentra una ventana abierta o engaña a un residente para que le franquee el paso.

El ‘comercial’ digital: phishing e ingeniería social

El phishing es la forma más común por la que el ransomware se introduce. Este método engaña a las personas para que revelen información sensible o descarguen software malicioso. En 2022, el phishing estuvo implicado en el 16% de todas las brechas de datos, según el Informe de Costo de una Brecha de Datos de IBM. Es una táctica económica para los atacantes, con grandes beneficios.

Piense en el phishing como un estafador que llama a su teléfono. Se hacen pasar por alguien de su confianza, quizás su banco o una agencia gubernamental. En el ámbito digital, esta estafa se presenta como un correo electrónico, un mensaje de texto (smishing) o un mensaje en redes sociales (vishing). El objetivo siempre es simple: manipularle.

Los atacantes escriben mensajes muy convincentes. Estos correos electrónicos suelen sonar urgentes, pueden prometer recompensas o amenazar con sanciones. También pueden incluir un enlace a un sitio web falso que imita a la perfección uno real. Si hace clic y escribe sus datos de inicio de sesión, habrá comprometido su acceso.

Los correos electrónicos de phishing son la forma más común en que el ransomware se infiltra en los sistemas, a menudo diseñados para parecer comunicaciones legítimas de entidades de confianza. Estos mensajes engañosos manipulan a las personas para que revelen información sensible o descarguen software malicioso, lo que lleva a importantes brechas de datos y pérdidas financieras. (Fuente: malwarebytes.com)

Alternativamente, el correo electrónico puede incluir un archivo adjunto. Esto podría ser una factura falsa, una “notificación de envío” o un currículum. Al abrirlo, a menudo se ejecuta un código malicioso, conocido como carga útil. Esta carga útil descarga e instala el ransomware. Ni siquiera se dará cuenta de lo que está ocurriendo; es una infección silenciosa.

El spear phishing es una versión más selectiva. Los atacantes investigan a víctimas específicas, conocen su nombre, su trabajo o noticias recientes de la empresa, lo que confiere a sus correos electrónicos una credibilidad asombrosa. Esto, a su vez, los hace mucho más difíciles de detectar. Un empleado de finanzas, por ejemplo, podría recibir una factura falsa de un proveedor que conoce.

Puertas desprotegidas: uso de vulnerabilidades y RDP débil

Los atacantes también utilizan vulnerabilidades conocidas en software y sistemas. Estas vulnerabilidades actúan como grietas en sus muros digitales. Grupos como la Agencia de Ciberseguridad y Seguridad de Infraestructuras (CISA) alertan regularmente sobre este tipo de fallos. Ignorar estas advertencias deja sus sistemas desprotegidos.

El Protocolo de Escritorio Remoto (RDP) es un objetivo común. RDP permite a los usuarios conectarse a un ordenador de forma remota, como si se encontraran físicamente delante de él. Esta característica es muy útil para el trabajo remoto o el soporte de TI. Sin embargo, las conexiones RDP mal configuradas o desprotegidas son un punto de entrada común para el ransomware.

Muchas organizaciones mantienen los puertos RDP directamente expuestos a internet. Lo que es peor, a menudo utilizan contraseñas débiles y fáciles de adivinar. Los atacantes utilizan herramientas automatizadas para escanear internet en busca de estos puertos expuestos. Una vez que encuentran uno, pueden usar ataques de fuerza bruta, probando miles de contraseñas comunes para acceder.

Una vez que un atacante accede a través de RDP, controla la máquina remota. Puede deshabilitar el software de seguridad y desplazarse por su red. Posteriormente, despliega el ransomware. Este método burla por completo las defensas típicas de phishing. Es como encontrar una puerta trasera que alguien dejó sin cerrar con llave.

El software sin parches genera otras vulnerabilidades. Los desarrolladores de software lanzan constantemente actualizaciones para corregir errores y brechas de seguridad. Si no aplica estas actualizaciones rápidamente, los atacantes pueden usar exploits conocidos públicamente para infiltrarse. Por ejemplo, el ataque de ransomware WannaCry de 2017 explotó una vulnerabilidad en sistemas antiguos de Microsoft Windows. Un parche para dicha vulnerabilidad había estado disponible durante meses, y las organizaciones que no se habían actualizado se convirtieron en víctimas.

El ataque de ransomware WannaCry en 2017 explotó una vulnerabilidad en sistemas antiguos de Microsoft Windows, cifrando datos y exigiendo el pago en Bitcoin, afectando a cientos de miles de ordenadores en todo el mundo. (Fuente: imperva.com)

El eslabón débil de la cadena de suministro: conexiones de confianza bajo ataque

Un ataque a la cadena de suministro aprovecha la confianza entre una organización y sus proveedores. En lugar de atacar directamente al objetivo, los criminales comprometen a un tercero menos seguro. Posteriormente, utilizan esa conexión de confianza para alcanzar a su víctima final. El ataque de SolarWinds de 2020 es un ejemplo importante.

Imagine un paquete envenenado entregado por un servicio postal de confianza. El servicio postal es legítimo, pero el paquete que transporta es malicioso. Las organizaciones dependen de muchos proveedores de software, proveedores de TI y servicios en la nube. Cada proveedor representa un posible punto de entrada.

Los atacantes podrían comprometer un servidor de actualización de software para una aplicación legítima. Posteriormente, inyectan su ransomware en una actualización aparentemente oficial. Cuando la empresa objetivo instala esta actualización, instala el malware sin saberlo. Este método es especialmente peligroso, ya que burla muchas comprobaciones de seguridad habituales al provenir el software de una fuente de confianza.

Otra modalidad implica a los proveedores de servicios gestionados (MSPs). Los MSPs gestionan los servicios de TI para numerosos clientes. Si un atacante compromete un MSP, puede acceder simultáneamente a todos los clientes de ese MSP. Esto confiere a las bandas de ransomware un gran efecto multiplicador. En 2019, los atacantes comprometieron varios MSPs, lo que resultó en ataques de ransomware a cientos de sus empresas clientes, según informó la firma de seguridad Sophos.

El contagio pasivo: malvertising y descargas drive-by

A veces, ni siquiera es necesario hacer clic en un enlace o abrir un archivo adjunto para infectarse. El malvertising y las descargas drive-by pueden infectar su sistema simplemente visitando un sitio web malicioso. Este es un ataque pasivo pero muy efectivo. Imagine que es como contagiarse de un insecto oculto en un banco público.

El malvertising inyecta código malicioso en anuncios en línea legítimos. Estos anuncios pueden aparecer en sitios web de buena reputación, incluso en importantes sitios de noticias. Cuando su navegador carga el anuncio, el código malicioso se ejecuta. A menudo redirige a un sitio malicioso o intenta explotar directamente vulnerabilidades en su navegador o sus plugins.

Esta técnica no exige ninguna acción por su parte más allá de visitar la página. El ataque ocurre silenciosamente en segundo plano y utiliza el complejo mundo de las redes de anuncios en línea, lo que dificulta que los usuarios lo detecten. La propia red de anuncios podría ser legítima, pero un atacante puede introducir su anuncio malicioso en la rotación.

SolarWinds, una importante empresa de software de gestión de TI, se hizo famosa después de un ataque a la cadena de suministro en 2020 que comprometió su plataforma Orion, permitiendo a los atacantes infiltrarse en miles de agencias gubernamentales y empresas privadas a nivel global. (Fuente: reuters.com)

Una descarga drive-by ocurre cuando descarga software malicioso sin saberlo. Esto ocurre con la simple visita a un sitio web. A menudo explota fallos en su navegador web, sus plugins (como Flash o Java) o su sistema operativo. Si su software no está actualizado, un sitio web malicioso puede instalar ransomware de forma silenciosa.

Estos ataques suelen emplear exploit kits. Un exploit kit es un software que escanea automáticamente su sistema en busca de vulnerabilidades conocidas. Si encuentra una, utiliza el exploit adecuado para instalar malware, incluido el ransomware. Los criminales a menudo venden estos kits en foros de la dark web, facilitando el acceso a ataques avanzados a un mayor número de personas.

Defendiendo su castillo digital: pasos preventivos

Defenderse contra el ransomware requiere múltiples capas de protección. Tanto las organizaciones como los particulares deben tomar medidas preventivas. El Centro Australiano de Ciberseguridad (ACSC) siempre subraya la importancia de realizar copias de seguridad de los datos y utilizar una autenticación robusta. Estos son pilares fundamentales para una buena higiene cibernética.

Primero, realice copias de seguridad de sus datos con regularidad. Almacene estas copias de seguridad sin conexión o en una red separada. Esto asegura que pueda restaurar sus archivos sin pagar un rescate en caso de ataque. Piense en ello como tener llaves de repuesto y una caja fuerte separada para sus objetos de valor.

Segundo, use la autenticación multifactor (MFA) siempre que le sea posible. La MFA requiere una segunda verificación además de la contraseña, como un código de su teléfono. Esto hace que sea mucho más difícil para los atacantes utilizar credenciales robadas, incluso si obtienen su contraseña.

Tercero, mantenga todo el software y los sistemas operativos actualizados. Los parches corrigen vulnerabilidades conocidas que los atacantes suelen explotar. Automatice las actualizaciones siempre que sea posible. Esto cierra esas “puertas desprotegidas” antes de que los criminales las atraviesen.

Cuarto, fórmese a sí mismo y a sus empleados sobre el phishing. La formación regular ayuda a detectar correos electrónicos y archivos adjuntos sospechosos. Las personas son a menudo su primera línea de defensa. Las organizaciones deben realizar ataques de phishing simulados para evaluar la preparación y aumentar la concienciación.

Finalmente, segmente su red y limite la exposición de RDP. No mantenga los puertos RDP expuestos a internet. Utilice una Red Privada Virtual (VPN) para el acceso remoto. Utilice siempre contraseñas robustas y únicas para cada cuenta. Estos pasos hacen que sea mucho más difícil para los atacantes desplazarse por su sistema, incluso si obtienen acceso inicial.

Los exploit kits, software diseñado para encontrar y explotar vulnerabilidades automáticamente para instalar malware como el ransomware, se comercializan con frecuencia en foros de la dark web. Estos mercados en línea ocultos permiten a los criminales adquirir herramientas sofisticadas, reduciendo la barrera de entrada para ciberataques avanzados. (Ilustración generada por IA)

Preguntas frecuentes

¿Cuál es el primer paso si sufre un ataque de ransomware? Desconecte inmediatamente de internet el ordenador o el segmento de red infectado. Esto evitará que el ransomware se propague o cifre más archivos. Contacte a las fuerzas del orden, como el FBI, y considere llamar a servicios profesionales de respuesta a incidentes.

¿Debo pagar el rescate? Tanto el FBI como la CISA desaconsejan pagar rescates. Aunque pueda parecer la solución más rápida, pagar no garantiza la recuperación de los archivos. Además, fomenta nuevos ataques y financia a grupos criminales, lo que agrava el problema para todos.

¿Cómo pueden protegerse las pequeñas empresas? Las pequeñas empresas deben priorizar las copias de seguridad de datos periódicas. Deben implementar la autenticación multifactor (MFA) y capacitar a sus empleados en ciberseguridad. Asimismo, es crucial que utilicen soluciones efectivas de detección y respuesta de endpoints (EDR). Asegúrese de que todo el software se actualice con regularidad. Estas medidas básicas ofrecen una sólida protección.

¿También están en riesgo los particulares? Absolutamente. Los atacantes suelen dirigirse a particulares mediante correos electrónicos de phishing o sitios web maliciosos. Proteja sus dispositivos personales con un software antivirus. Utilice contraseñas robustas y únicas. Sea cauteloso con lo que hace clic o descarga. Sus fotos y documentos personales son valiosos, lo que los convierte en un objetivo.

El FBI aconseja no pagar rescates de ransomware, instando a las víctimas a reportar los ataques a sus divisiones cibernéticas dedicadas. La agencia investiga activamente el cibercrimen y trabaja para desarticular las operaciones de ransomware a nivel mundial. (Ilustración generada por IA)

---

También te puede interesar:

👉 WannaCry: El ciberataque de 2017 que puso de rodillas al NHS

👉 Cientos de fallos de seguridad: por qué actualizar tu dispositivo es vital

👉 Bots en línea: El reto de detectar su suplantación en X y Facebook