Código Morse y Doble Extorsión: Panorama Actual de Amenazas Avanzadas de Malware

El ransomware no es ajeno a las redes corporativas, ya que plantea riesgos enormes e incluso mayores esfuerzos de recuperación que son bastante costosos. Los ataques de ransomware exitosos pueden resultar en sistemas bloqueados, identidad robada y datos retenidos como rehenes, todo lo cual puede causar caos y desastre en las organizaciones objetivo.
Cuando el ransomware alcanza su objetivo, es prácticamente el fin del juego. El malware cifra archivos y se propaga a todo el sistema para maximizar el daño, lo que obliga a muchas empresas a bloquear redes para detener la propagación.

Si bien el cifrado se usa en todas partes, no debe confundirse con el hashing o la ofuscación de archivos. El hashing y las técnicas de ofuscación son útiles para evadir herramientas de detección, mientras que el ransomware toma sus datos como rehenes debido al cifrado.

Cada uno usa diferentes tipos de criptografía, desde cifrados simétricos modernos hasta cifrados asimétricos, la idea siendo prevenir cualquier operación inversa sin una clave.

Muchas cepas de ransomware muestran una «nota especial» después del cifrado, exigiendo que la única forma de descifrar los archivos es enviar Bitcoins a la billetera de los criminales. Sin embargo, como sabemos, algunas formas de ransomware son descifrables, y no se necesita pagar el rescate, o la carga no debería recaer únicamente en el seguro cibernético. Por ejemplo, Jigsaw, una forma antigua de malware acuñada por primera vez en 2016, contiene la clave usada para cifrar archivos en el código fuente. Recientemente vimos este tipo de ataque resurgir este año dentro del código Morse, demostrando que incluso mientras el malware continúa evolucionando, los criminales usarán lo que funcione, lo que significa que las empresas necesitan estar al tanto no solo de amenazas en evolución sino también de viejas formas de ataque.

Los ataques recientes no solo cifran datos. El malware también es capaz de exfiltrar información crítica antes del cifrado. A medida que la protección contra ransomware mejora, especialmente con estrategias de eliminación y recuperación, los hackers están recurriendo a usar datos robados como nuevo apalancamiento para seguir amenazando a las víctimas si no pagan el rescate, creando una doble amenaza de ransomware.

Hemos observado recientemente que los actores de amenazas adoptan un modelo de «doble extorsión», en el que cifran los datos del objetivo y no solo exigen un rescate por su devolución, sino que también aprovechan incentivos de pago adicionales para presionar a la víctima a pagar el rescate. Algunos actores de amenazas incluso usarán un enfoque más dirigido y amenazarán con publicar o subastar los datos públicamente a menos que la víctima pague, una situación que destaca el riesgo de no cumplir con el Reglamento General de Protección de Datos (GDPR) de la UE y las cientos de políticas y leyes de privacidad de datos. Dos ejemplos son Conti y REvil, ambos en nuestra lista de Malware Más Nasty 2021, que han sido conocidos por publicar datos filtrados en sitios de la dark web si no se pagan los rescates.

Una forma crítica de mejorar la resiliencia cibernética —la capacidad de resistir ataques y asegurar acceso continuo a datos— es tener una estrategia de respaldo sólida. Sin embargo, los esfuerzos pueden volverse fútiles si las organizaciones olvidan listar e identificar claramente sus requisitos, luego no prueban sus procedimientos regularmente para prevenir fallos masivos en los peores momentos.

La protección de datos se trata de mitigación de riesgos, y necesita hacerse unas preguntas clave para tener el plan más integral:

• ¿Cómo se vinculan sus datos a sus operaciones de negocio o sus ingresos, y necesitan ser archivados?
• ¿Viven los datos en un sistema heredado donde podrían estar sujetos a marcos regulatorios que podrían exponer su negocio a sanciones si se filtran datos?
• ¿Qué son los datos sin los que su negocio no puede funcionar?
• ¿Cuánto tiempo podría tomar restaurar esos datos?
• ¿Qué podría costar restaurarlos completamente?

Los cibercriminales continuarán refinando sus enfoques y experimentando con diferentes modelos de negocio, ya que los ataques de ransomware evolutivos ponen un enorme estrés en la disponibilidad de servicios y flujos de datos.

Si bien esos adversarios, sin duda, continuarán buscando formas adicionales de presionar a las víctimas para maximizar sus posibilidades de cobrar, usted puede empoderarse para preservar lo que es más valioso para usted hoy implementando fuertes prácticas de resiliencia cibernética, tanto ahora como en el futuro.

David Dufour es vicepresidente de ingeniería de ciberseguridad e inteligencia de amenazas con Webroot y Carbonite, empresas de OpenText.