¿Qué hace un ransomware? Tres acciones para protegerse

Las ciberamenazas en los equipos y sistemas informáticos es un tema fundamental en una era en la que, gran parte del trabajo, se genera y desarrolla en el espacio virtual, tanto en los equipos como en las nubes, de manera directa o remota. Sin embargo, este punto crítico del sistema, en lo que concierne a la seguridad en cada uno de sus protocolos, se encuentra continuamente puesto a prueba por la aparición de distintos malwares cuyo propósito va desde el robo de información clave del usuario hasta la destrucción de datos. Por ello, la utilización de soluciones de seguridad (antivirus con consola de administración centralizada, backup, entre otras) destinadas a la protección continua de los equipos y las nubes, resulta importante a nivel de uso hogareño e imprescindible a nivel de uso empresarial.

 

¿Qué es un ransomware?

 

Entre los diversos programas creados para atacar los sistemas informáticos, se encuentran los ransomware. Este término está formado por los conceptos de “ransom”, que significa “secuestro” y “software”, “programa”, por lo tanto, el ransomware es un tipo de malware que roba y secuestra los datos de un equipo (PCs, servidores, laptop, teléfono móvil y otros) y solicita un rescate al usuario que, por lo general, corresponde a criptomonedas (bitcoin o monero, siendo esta última la preferida por ser irrastreable).

Existen diversos tipos de ransomware, entre ellos:

1. Ransomware de cifrado o criptoransomware: este tipo de ransomware cifra los archivos evitando que el usuario pueda volver a acceder a ellos sin previo pago del rescate.  Es el más peligroso, debido a su efectividad, ya que la información cifrada resulta irrecuperable incluso tras haber removido el ransomware.
2. Ransomware de bloqueo de pantalla o lockscreen: este otro tipo de ransomware impide que el usuario acceda al equipo, a través del bloqueo de la pantalla, no pudiendo utilizarlo sin haber pagado el rescate. Ataca principalmente a teléfonos móviles y tabletas y es más fácil de remover que el primero.

 

¿Cuáles son los daños que puede ocasionar un ransomware?

 

Si bien es cierto que el ransomware ataca la información contenida en un equipo encriptándola, secuestrándola y/o destruyéndola o bien, impidiendo el acceso al equipo por parte del usuario, los efectos de esta amenaza son más numerosos, incluyendo los siguientes:

1. Interviene conexiones remotas (RDP): el Protocolo de Escritorio Remoto es intervenido, sobre todo, cuando se cuenta con contraseñas débiles a través de una técnica conocida como fuerza bruta. Teniendo acceso al equipo remoto, el cibercriminal infecta el sistema con un ransomware que actúa como se ha mencionado, secuestrando información y exigiendo rescate.
2. Se propaga a dispositivos extraíbles (USB): el ransomware es capaz de infiltrarse en todas las unidades externas conectadas al equipo central, facilitando el cifrado y robando datos.
3. Daña al sistema operativo: el wiperware (que se asemeja al criptoransomware) interviene en el sistema operativo del equipo dejándolo inutilizable, ya que cifra el registro principal de arranque o MBR (Master Boot Record).
4. Se propaga a través de la red y cifra recursos compartidos: utiliza este vector con el fin de infectar una red de equipos conectados (aprovechando vulnerabilidades como EternalBlue) y/o extender el cifrado de archivos hacia unidades de almacenamiento conectadas a través de recursos compartidos en red.
5. Publica la información secuestrada: desde el año 2019 se observa un modo de extorsión llamada “Doxing”, en la que, se amenaza al propietario de la información secuestrada con hacerla pública. Maze fue uno de los primeros ransomware en ejercer esta práctica, que se ha replicado por parte de otros ransomware y ha evolucionado hacia otro tipo de extorsión como la llamada en frío y los ataques DDoS.

 

¿Qué hacer para proteger los equipos del ransomware?

La mayor parte de las acciones debe estar concentrada en la prevención de la infección, ya que si el ransomware logra ingresar al equipo o nube, no hay certeza de recuperar los datos secuestrados. Por ello, se debe implementar un sistema de seguridad que se articule en capas que permitan enfrentar, en distintos niveles, las amenazas de este tipo de malware. ESET se ha centrado en diseñar productos que cuentan con un repertorio diverso de capas de seguridad que van desde la Inteligencia Artificial y Machine Learning, con el objetivo de detectar amenazas 0-day, hasta el uso de cloud sandboxing, una tecnología orientada a analizar en la nube el comportamiento de los archivos con el objetivo de detectar malware nuevo y generar reportes de comportamientos.

Algunas de las acciones recomendadas por los expertos en seguridad informática son:

1. Contar con un respaldo o Backup: esto permitirá tener una copia de los archivos en caso de ser secuestrados. Lockbits comercializa un Backup pensado en las PYMES que permite proteger distintos dispositivos, se puede programar en el tiempo y no requiere conocimientos de TI avanzados para utilizarlo. Las copias de seguridad se pueden almacenar de forma local o en la nube.
2. Tener un  de última generación con tecnología Machine Learning: analiza el sistema constantemente identificando malwares, incluyendo los nuevos, de modo de evitar la propagación del ransomware en el equipo.

Proteger identidad y datos personales: existen programas como ESET Secure Authentication que permite implementar un doble factor de autenticación (2FA). De este modo, si un cibercriminal logra obtener una contraseña de Escritorio Remoto, no podrá acceder al sistema porque desconocerá la segunda contraseña de acceso.