{"id":86086,"date":"2020-06-21T13:42:19","date_gmt":"2020-06-21T11:42:19","guid":{"rendered":"https:\/\/prohoster.info\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh"},"modified":"2020-06-21T13:42:19","modified_gmt":"2020-06-21T11:42:19","slug":"ransomware-novyj-sposob-organizaczii-utechek-dannyh","status":"publish","type":"post","link":"https:\/\/prohoster.info\/es\/blog\/administrirovanie\/ransomware-novyj-sposob-organizaczii-utechek-dannyh","title":{"rendered":"Ransomware: una nueva forma de organizar filtraciones de datos","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"

Las filtraciones de datos son un tema cr\u00edtico para el servicio de seguridad. Ahora, cuando la mayor\u00eda trabaja desde casa, el riesgo de filtraciones es mucho mayor. Por esta raz\u00f3n, los conocidos grupos de ciberdelincuentes est\u00e1n prestando m\u00e1s atenci\u00f3n a los protocolos de acceso remoto que est\u00e1n desactualizados y poco protegidos. Y, lo que es interesante, cada vez m\u00e1s filtraciones de datos hoy en d\u00eda est\u00e1n relacionadas con el ransomware. C\u00f3mo, por qu\u00e9 y de qu\u00e9 manera, l\u00e9elo a continuaci\u00f3n.<\/p>\n

\"Ransomware:
\n<\/a><\/noindex>
\nComencemos por se\u00f1alar que el desarrollo y la difusi\u00f3n de programas de ransomware constituyen, por s\u00ed mismos, un negocio delictivo muy lucrativo. Por ejemplo, seg\u00fan estimaciones del FBI estadounidense, el grupo Sodinokibi<\/a><\/noindex> ganaba aproximadamente $1 mill\u00f3n al mes durante el a\u00f1o pasado. Y los delincuentes que usaban Ryuk obten\u00edan a\u00fan m\u00e1s: al principio de las actividades del grupo, sus ingresos alcanzaban hasta $3 millones al mes. As\u00ed que no es sorprendente que muchos directores de seguridad de la informaci\u00f3n (CISO) mencionen el ransomware como uno de los cinco principales riesgos para el negocio.<\/p>\n

El Centro de Seguridad Acronis Cyber Protection Operation Center (CPOC), ubicado en Singapur, confirma el aumento de la ciberdelincuencia en el \u00e1mbito del ransomware. En la segunda mitad de mayo, se bloque\u00f3 un 20% m\u00e1s de programas de ransomware a nivel mundial de lo habitual. Despu\u00e9s de una peque\u00f1a ca\u00edda, ahora, en junio, estamos viendo nuevamente un aumento en la actividad. Y hay varias razones para ello. <\/p>\n

Acceder a la computadora de la v\u00edctima
\n<\/h3>\n

\nLas tecnolog\u00edas de protecci\u00f3n est\u00e1n evolucionando, y los delincuentes deben modificar un poco su t\u00e1ctica para infiltrarse en un sistema espec\u00edfico. Los ataques de ransomware a\u00fan se propagan a trav\u00e9s de correos electr\u00f3nicos de phishing bien dise\u00f1ados (aqu\u00ed tambi\u00e9n interviene la ingenier\u00eda social). Sin embargo, \u00faltimamente, los desarrolladores de malware han estado prestando mucha atenci\u00f3n a los empleados remotos. Para atacarlos, se pueden encontrar servicios de acceso remoto mal protegidos, como RDP, o servidores VPN con vulnerabilidades.
\nEsto es precisamente lo que est\u00e1n haciendo. En la dark web incluso han surgido servicios de ransomware como servicio, que proporcionan todo lo necesario para atacar a una organizaci\u00f3n o persona seleccionada. <\/p>\n

Los atacantes buscan cualquier forma de infiltrarse en la red corporativa y expandir su espectro de ataque. Un enfoque popular ha sido el intento de infectar las redes de los proveedores de servicios. Dado que los servicios en la nube est\u00e1n en auge, infectar un servicio popular permite atacar de inmediato a decenas o incluso cientos de v\u00edctimas al mismo tiempo. <\/p>\n

En caso de que se hackeen las consolas web de gesti\u00f3n de sistemas de seguridad o de copias de seguridad, los atacantes pueden desactivar la protecci\u00f3n, eliminar copias de seguridad y asegurar que su malware se despliegue en toda la organizaci\u00f3n. De hecho, por esta raz\u00f3n, se recomienda a los expertos proteger cuidadosamente todas las cuentas de servicio mediante la autenticaci\u00f3n multifactor. Por ejemplo, todos los servicios en la nube de Acronis permiten establecer una doble protecci\u00f3n, porque en caso de que se comprometa una contrase\u00f1a, los atacantes pueden anular todas las ventajas del uso de un sistema integral de ciberseguridad. <\/p>\n

Expansi\u00f3n del espectro de ataque
\n<\/h3>\n

\nCuando se alcanza el objetivo deseado y el malware ya se encuentra dentro de la red corporativa, generalmente se utilizan t\u00e1cticas bastante t\u00edpicas para su propagaci\u00f3n. Los atacantes estudian la situaci\u00f3n y buscan superar las barreras que ha creado la empresa para contrarrestar las amenazas. Esta parte del ataque puede realizarse manualmente (\u00a1pues si ya han entrado en la red, eso significa que el anzuelo est\u00e1 en el gancho!). Para ello, utilizan herramientas bien conocidas, como PowerShell, WMI PsExec, as\u00ed como el emulador m\u00e1s nuevo Cobalt Strike y otras utilidades. Algunos grupos criminales atacan espec\u00edficamente a los administradores de contrase\u00f1as para infiltrarse m\u00e1s en la red corporativa. Y el malware como Ragnar se ha visto recientemente en una imagen de m\u00e1quina virtual de VirtualBox completamente cerrada, que ayuda a ocultar la presencia de software no autorizado en la m\u00e1quina. <\/p>\n

De este modo, al ingresar a la red corporativa, el malware intenta verificar el nivel de acceso del usuario y aplicar las contrase\u00f1as robadas. Herramientas como Mimikatz y Bloodhound & Co. ayudan a hackear cuentas de administradores de dominio. Solo cuando el atacante considera que las oportunidades de propagaci\u00f3n se han agotado, se carga directamente en los sistemas de los clientes el programa secuestrador. <\/p>\n

Ransomware como cobertura
\n<\/h3>\n

\nDada la gravedad de la amenaza de p\u00e9rdida de datos, cada a\u00f1o m\u00e1s empresas implementan lo que se conoce como un 'plan de recuperaci\u00f3n ante desastres'. Gracias a esto, no se preocupan demasiado por los datos cifrados y, en caso de un ataque de ransomware, no comienzan a reunir un rescate, sino que inician el proceso de recuperaci\u00f3n. Pero los delincuentes no descansan. Bajo la cobertura del ransomware, ocurre un robo masivo de datos. Los primeros en aplicar ampliamente esta t\u00e1ctica fueron Maze en 2019, aunque otros grupos tambi\u00e9n han combinado ataques peri\u00f3dicamente. Ahora, al menos Sodinokibi, Netfilm, Nemty, Netwalker, Ragnar, Psya, DoppelPaymer, CLOP, AKO y Sekhmet se ocupan del robo de datos junto con el cifrado.<\/p>\n

A veces, a los delincuentes les resulta posible extraer de la empresa decenas de terabytes de datos, que podr\u00edan haber sido detectados por medios de monitoreo de red (si hubieran sido instalados y configurados). Pues, muy a menudo, la transmisi\u00f3n de datos se realiza simplemente mediante FTP, Putty, WinSCP o scripts de PowerShell. Para eludir DLP y sistemas de monitoreo de red, los datos se pueden cifrar o enviar como un archivo comprimido con contrase\u00f1a, y este es un nuevo desaf\u00edo para los servicios de seguridad, que deben verificar el tr\u00e1fico saliente en busca de tales archivos.<\/p>\n

El estudio del comportamiento de los infostealers muestra que los delincuentes no recolectan cualquier cosa al azar; les interesan espec\u00edficamente los informes financieros, bases de datos de clientes, datos personales de empleados y clientes, contratos, registros y documentos legales. El malware escanea discos en busca de cualquier informaci\u00f3n que te\u00f3ricamente podr\u00eda ser utilizada para chantaje.
\nSi un ataque como este tiene \u00e9xito, los atacantes suelen publicar un peque\u00f1o teaser mostrando algunos documentos en prueba de que los datos han sido filtrados de la organizaci\u00f3n. Y algunos grupos publican el conjunto completo de datos en su sitio web, si el tiempo para el pago del rescate ya ha pasado. Para evitar ser bloqueados y garantizar un amplio alcance, los datos tambi\u00e9n se publican en la red TOR.<\/p>\n

Otra forma de monetizaci\u00f3n es la venta de datos. Por ejemplo, Sodinokibi recientemente anunci\u00f3 la realizaci\u00f3n de subastas abiertas, donde los datos se obtienen por el participante que haga la oferta m\u00e1s alta. El precio de inicio de estas subastas oscila entre $50,000 y $100,000 dependiendo de la calidad y contenido de los datos. Por ejemplo, un conjunto de 10,000 registros sobre flujos de efectivo, datos comerciales confidenciales y permisos de conducci\u00f3n escaneados se vendieron por un precio de $100,000. Por $50,000 se pod\u00eda comprar m\u00e1s de 20,000 documentos financieros m\u00e1s tres bases de datos con archivos contables y datos de clientes. <\/p>\n

Los sitios donde se publican las filtraciones pueden ser muy variados. Puede tratarse de una simple p\u00e1gina donde se publica todo lo robado, o estructuras m\u00e1s complejas con secciones y la posibilidad de realizar compras. Pero lo principal es que todos sirven a un mismo objetivo: aumentar las posibilidades de los atacantes de obtener dinero real. Si este modelo de negocio muestra buenos resultados para los delincuentes, no cabe duda de que habr\u00e1 a\u00fan m\u00e1s sitios de este tipo, y las t\u00e9cnicas de robo y monetizaci\u00f3n de datos corporativos se ampliar\u00e1n a\u00fan m\u00e1s.<\/p>\n

As\u00ed lucen los sitios actuales donde se publican las filtraciones de datos:<\/p>\n

\"Ransomware:
\n\"Ransomware:
\n\"Ransomware:
\n\"Ransomware:
\n\"Ransomware:
\n\"Ransomware:
\n<\/p>\n

Qu\u00e9 hacer ante nuevos ataques
\n<\/h3>\n

\nEl principal desaf\u00edo para los servicios de seguridad en estas condiciones es que, en los \u00faltimos tiempos, cada vez m\u00e1s incidentes relacionados con ransomware resultan ser simplemente un m\u00e9todo de distracci\u00f3n para el robo de datos. Los atacantes ya no se centran solo en cifrar servidores. Por el contrario, su objetivo principal es organizar la filtraci\u00f3n, mientras usted lucha contra los cifradores. <\/p>\n

As\u00ed, el uso de un solo sistema de copias de seguridad, incluso con un buen plan de recuperaci\u00f3n, resulta insuficiente para contrarrestar amenazas m\u00faltiples. Por supuesto, no se puede prescindir de las copias de seguridad, ya que los atacantes intentar\u00e1n cifrar algo y exigir un rescate. M\u00e1s bien se trata de que cada ataque con Ransomware debe ser visto como una oportunidad para un an\u00e1lisis exhaustivo del tr\u00e1fico y para iniciar una investigaci\u00f3n sobre posibles ataques. Tambi\u00e9n se deben considerar medidas de seguridad adicionales que puedan: <\/p>\n