Escribe Ingeniero Gaspar Cena (*) 

En estos últimos días mucho se ha escrito referente a distintos ataques que han sufrido organizaciones de nuestro medio referentes a que su información digitales había sido secuestrada y que se les solicitaba una suma de dinero (en bitcoins) a través de la deep web para su rescate.

Técnicamente este tipo de software se denomina ransomware y si bien es cierto que ha proliferado mucho durante estos últimos años, no es nada nuevo ya que el primer ransomware tiene sus comienzos en el año 1986.

Este tipo de malware ha crecido en los últimos años y en la actualidad hay mas de 60 familias en circulación por Internet y continúa evolucionando rápidamente.

Con cada nueva variante se mejoran los métodos de cifrado y se incorporan nuevas características.

Tipos de ransomware

Existen distintos tipos de ransomware, entre los más comunes se encuentran “ransomware de cifrado”, que cifra archivos personales y carpetas (documentos, hojas de cálculo, imágenes y videos); “Lock Screen Ransomware-WinLocker”, que bloquea la pantalla del PC y solicita el pago; “Master Boot Record (MBR) Ransomware” que modifica el MBR del PC para interrumpir el proceso de inicio del sistema, “Ransomware de cifrado de servidores web”, cuyo objetivo son los servidores web y cifrar sus archivos y el “Ransomware de dispositivos móviles (Android)”, cuyo objetivo son dispositivos móviles (principalmente Android) que pueden infectarse mediante descargas no oficiales.

Cómo funciona

Este tipo de ataques generalmente son desplegados mediante un archivo adjunto por correo electrónico, que puede ser un ejecutable, un archivo o incluso una imagen.

Una vez que el usuario ejecuta ese archivo adjunto, el malware se instala sobre el sistema del usuario (incluso puede llegar a afectar los recursos compartidos de la red).

La infección no es evidente instantáneamente para el usuario, sino que el malware opera sigilosamente “en segundo plano” hasta que se despliega por completo un mecanismo de bloqueo de datos.

Después aparece una ventana de diálogo que informa al usuario que los datos han sido cifrados y le solicita un rescate para desbloquearlo.

En este punto ya es demasiado tarde para salvar los datos mediante medidas de seguridad.

Del análisis que realizamos en un ambiente controlado de un ransomware sorprende el profesionalismo con el que los cibercriminales operan.

“Los objetivos”

En líneas generales cualquier usuario o empresa puede ser víctima del ransomware. Los cibercriminales no realizan una selección previa de sus “objetivos”, sino que es un “negocio de cantidad”, ya que a menudo su objetivo es infectar al mayor número de usuarios para obtener el mayor ingreso posible. Existen en nuestro entorno numerosos casos de empresas y usuarios que han sido víctimas de este tipo de malware.

Cómo evitar un ataque

En temas de seguridad se ataca principalmente al eslabón más débil de la cadena, en este caso el usuario final. Es muy importante que exista un mecanismos de formación y difusión de las amenazas existentes para que los usuarios no sean víctimas de engaños.

Es importante contar con un sistema de recuperación de datos para evitar que una infección de un ransomware pueda destruirlos para siempre. Esto se logra a través de una buena política de copias de seguridad.

Tener un software antivirus actualizado y activado.

Mantener todo el software de la PC actualizado. Esto incluye al sistema operativo y a todas las aplicaciones instaladas.

No confiar en nadie. Cualquier cuenta de personas conocidas pueden estar comprometidas y de esa manera pueden llegar correos electrónicos o a través de cuentas de redes sociales con enlaces maliciosos. Nunca abrir archivos adjuntos que lleguen de una cuenta desconocida. En ocaciones los cibercriminales utilizan correos electrónicos falsos que simulan ser notificaciones desde correos electrónicos o servicios en la nube, bancos, Policía, que incitan a “hacer click” sobre estos enlaces maliciosos.

Activar la opción de mostrar la extensión de los archivos de Windows. Si bien esto es una opción algo técnica, ayuda a detectar de manera más facil archivos potencialmente maliciosos. No es recomendable abrir archivos con extensiones “.exe”, “.vbs”, “.src” o “.js”.

Si se descubre algún proceso sospechoso en una máquina es recomendable desconectarla inmediatamente de Internet con la finalidad de que el malware no se propague.

Secuestradores SA

Si bien es difícil calcular el volumen de dinero que genera el ransomware se estima que en el año 2015 los cibercriminales ganaron mediante esta técnica 325 millones de dolares, esta cifra creció considerablemente en el año 2016, donde se estima que el volumen de dinero fue de mil millones de dolares, finalmente para este año se espera un crecimiento de un 25%.

Una de cada cinco empresas – usuarios que realizaron el pago nunca recuperaron su información.

El crecimiento pasó de 131.111 intentos de infección entre 2014 y 2015 a 718.536 entre 2015 y 2016.

En el año 2015 el 7% de los infectados fueron usuarios corporativos y el 93% fueron usuarios hogareños; en el año 2016 esta cifra se modificó, siendo el 14% de los infectados usuarios corporativos y el 86% usuarios hogareños.

(*) Director de Ingeniería en Sistemas de Información UTN Villa María