NP: Sophos muestra cómo atacan a sus víctimas las familias de ransomware más frecuentes y persistentes

La investigación llevada a cabo por los SophosLabs pone de relieve cómo los ataques de ransomware intentan pasar desapercibidos frente a los controles de seguridad, aprovechándose de los procesos habitualmente fiables, y una vez dentro de la red, utilizan los sistemas internos para cifrar el mayor número posible de archivos y desactivar las copias de seguridad y los procesos de recuperación antes de que los equipos de TI puedan detectarlos.

Algunas de las herramientas y técnicas recogidas en el informe son:

Principales vías de distribución de las familias de ransomware más importantes. El ransomware se distribuye normalmente de tres maneras: como cryptoworm, replicándose rápidamente en otros ordenadores para obtener un impacto mayor (por ejemplo, WannaCry), mediante ataques ransomware-as-a-service (RaaS), vendidos en la dark web como un kit distribuible (Sodinokibi, por ejemplo), o mediante un ataque automatizado activo llevado a cabo por los atacantes, donde despliegan manualmente el ransomware tras una análisis automatizado de las redes, en busca de sistemas con protección débil. Este tipo de ataques activos y automatizados son los más comunes detectados por Sophos entre todas las familias de ransomware recogidas en el informe.

Ransomware con código cifrado y firmado. Algunos ataques de ransomware utilizan certificados digitales legítimos, comprados o robados, para intentar convencer a los sistemas de seguridad de que el código es fiable y no necesita ser analizado.

Aumento de los privilegios mediante el uso de exploits disponibles fácilmente, como EternalBlue, para ampliar los derechos de acceso. Esto permite a los ciberatacantes instalar programas como herramientas de administración en remoto (RATs, por sus siglas en inglés), y visualizar, cambiar o borrar datos, crear nuevas cuentas con todos los derechos de usuario, y desactivar el software de seguridad.

Movimientos laterales y búsqueda a través de la red de servidores de archivos y copias de seguridad mientras están bajo el radar, con el fin de lograr el mayor impacto posible del ataque de ransomware. En menos de una hora, los ciberatacantes pueden crear un script para copiar y ejecutar el ransomware en los servidores y endpoints de una red. Para acelerar el ataque, el ransomware es capaz de priorizar su ataque sobre unidades compartidas donde incluso puede empezar por los documentos de menor tamaño y lanzar múltiples hilos en paralelo.

Ataques remotos. Los servidores de archivos, en sí mismos, no suelen ser el objeto de ataques de ransomware, sino que reciben el ataque a través de usuarios comprometidos que cifran sus ficheros. Sin embargo, en algunos de estos asaltos, el ataque se ejecuta generalmente en uno o más enpoints comprometidos, aprovechándose de una cuenta de usuario con privilegios para atacar documentos de forma remota, en ocasiones a través de protocolo de escritorio remoto (RDP, por sus siglas en inglés) o dirigiéndose a soluciones de gestión y monitorización remotas (RMM), que suelen utilizar los MSP (proveedores de servicios gestionados) para gestionar la infraestructura de TI de sus clientes y/o los sistemas de usuario final.

Cifrado y cambio de nombre de archivos. Existen diferentes métodos para el cifrado de archivos, incluida la simple sobreescritura del documento, pero la mayoría van acompañados también del borrado de la copia de seguridad o del archivo original para dificultar el proceso de recuperación.

El informe de Sophos explica cómo estas y otras técnicas y herramientas son utilizadas por 11 familias de ransomware: WannaCry, GandCrab, SamSam, Dharma, BitPaymer, Ryuk, LockerGoga, MegaCortex, RobbinHood, Matrix y Sodinokibi.

“Los creadores de ransomware tienen un gran conocimiento de cómo trabaja el software de seguridad y adaptan sus ataques en consecuencia. Todo está diseñado para evitar la detección mientras el malware cifra tantos documentos como pueda los más rápido posible para hacer difícil, si no imposible, recuperar los datos. En algunos casos, la parte principal del ataque ocurre de noche, cuando los equipos de TI están en sus casas durmiendo. Para cuando las víctimas descubren lo que está ocurriendo, ya es demasiado tarde. Es imprescindible contar con sólidos controles de seguridad, sistemas de monitorización y de respuesta locales para cubrir todos los endpoints, redes y sistemas, y para instalar actualizaciones de software cada vez que se emitan” declara Mark Loman, director de ingeniería de tecnología para la migración de amenazas de Sophos, y autor del informe.

Cómo protegerte frente al ransomware:

• Comprobar que se dispone de un inventario completo de todos los dispositivos conectados a la red y que, cualquier software de seguridad que utilicen está actualizado.
• Instalar siempre las últimas actualizaciones de seguridad, tan pronto como sea posible, en todos los dispositivos de la red.
• Verificar que todos los ordenadores cuentan con parches frente al exploit EternalBlue, usado por WannaCry, siguiendo estas instrucciones: How to Verify if a Machine is vulnerable to EternalBlue – MS17-010
• Mantener copias de seguridad regulares de los datos más importantes y actuales en un dispositivo de almacenamiento sin conexión, esta es la mejor manera de evitar tener que pagar un rescate si se sufre un ataque de ransomware.
• Los administradores deben habilitar la autenticación multifactor en todos los sistemas de gestión que lo permiten, para prevenir que los ciberatacantes desactiven los productos de seguridad durante un ataque.
• No existe una solución milagrosa para la seguridad, pero un modelo de seguridad por capas es la mejor opción para todo tipo de empresas.
• Por ejemplo, Intercept X de Sophos emplea un completo enfoque de defensa exhaustiva a la protección para endpoints, combinando múltiples técnicas next-gen para ofrecer detección de malware, protección contra exploits y la detección y respuesta para endpoints (EDR) integradas.

Sophos mostrará, entre otros muchos temas, las principales técnicas utilizadas en los ataques de ransomware en la quinta edición del Sophos Day 2019 que se celebrará el próximo 26 de noviembre en el Museo Reina Sofía en Madrid. En este evento estarán presentes técnicos expertos en ciberseguridad, nacionales e internacionales, para presentar en vivo las últimas tecnologías en ciberseguridad incorporadas a Sophos y cómo responder a los ciberataques más frecuentes y letales.