Ransomware

Los creadores de ransomware parecen seguir una nueva tendencia: publicar los datos que las empresas se niegan a pagar el rescate.

La creación de copias de seguridad ha sido una de las medidas de protección más efectivas y arduas que se tienen contra el ransomware de cifrado. Ahora, los cibercriminales parecen haberse fijado en aquellos que confían en las copias de seguridad. Los cibercriminales responsables de crear varios programas de ransomware, ante la negativa de pago de un rescate, han optado por filtrar en línea los datos confidenciales de sus víctimas.

La publicación de datos confidenciales en línea es una forma de cumplir una amenaza

Las amenazas de divulgación de información confidencial no son asunto nuevo. Por ejemplo, en 2016, el grupo detrás del cryptoware que infectó el sistema Ferroviario Municipal de San Francisco intentó valerse de ese truco. Pero jamás cumplieron sus amenazas.

Maze fue el primero

A diferencia de sus antecesores, el grupo cibercriminal responsable del ransomware Maze sí cumplió sus amenazas a finales de 2019, y en más de una ocasión. En noviembre, cuando Allied Universal se rehusó a pagar un rescate, los cibercriminales filtraron en línea 700 MB de datos, incluyendo contratos, convenios de terminación, certificados digitales, entre otros. Los chantajistas dijeron que habían publicado solamente el 10% de lo que había robado y amenazaron con publicar el resto de la información confidencial si la víctima no cooperaba.

En diciembre, los cibercriminales a cargo de Maze crearon un sitio web que usaron para publicar los nombres de las empresas atacadas, las fechas de infección, las cantidades robadas, las direcciones IP y nombres de los servidores infectados. También cargaron allí algunos documentos confidenciales. A fines de ese mes, se publicaron online 2 GB de archivos, que al parecer habían sido robados de la ciudad de Pensacola, Florida. Los chantajistas afirmaron que habían publicado la información para probar que no estaban alardeando.

En enero, los cibercriminales responsables de Maze subieron 9.5 GB de datos robados de Medical Diagnostic Laboratories y 14.1 GB de documentos del fabricante de cables Southwire, quienes anteriormente habían demandado a los chantajistas por la filtración de información confidencial. La demanda hizo que el sitio web de Maze cerrara, pero no tardará en volver.

Y ahora vienen Sodinokibi, Nemty, BitPyLock

Después aparecieron otros cibercriminales. El grupo detrás del ransomware Sodinokibi, usado para atacar la empresa financiera internacional Travelex en vísperas de Año Nuevo, señaló que su intención era publicar los datos confidenciales pertenecientes a los clientes de la empresa a inicios de enero. Los cibercriminales dijeron tener más de 5 GB de información privada, incluyendo fechas de nacimiento, números de seguridad social e información sobre tarjetas bancarias.

En cuanto a Travelex, la empresa asegura que no ha visto pruebas de dicha filtración de datos online y por ello se niega a pagar un rescate. Por su parte, los cibercriminales señalan que la empresa ha accedido a negociar a fin de evitar la filtración de datos confidenciales.

El 11 de enero, el mismo grupo subió enlaces para aproximadamente 337 MB de datos confidenciales a un foro de mensajes para hackers, y señalaron que los datos pertenecían a la empresa Artech Information Systems, la cual se había rehusado a pagar el rescate. Los cibercriminales dijeron que los datos confidenciales filtrados únicamente representaban una fracción de lo que habían robado. Dijeron que su cometido era vender el resto, no publicarlo, a menos que las víctimas cumplieran con el pago de un rescate.

Los creadores del malware Nemty serían los siguientes en comunicar sus planes para publicar los datos confidenciales de quienes no pagaron. Dijeron que su cometido era crear un blog donde publicarían por partes los documentos internos de las víctimas que se hayan negado a cumplir con sus exigencias.

Los operadores del ransomware BitPyLock  su sumaron a la tendencia cibercriminal al añadir en la nota de rescate la promesa de que divulgarían los datos confidenciales de sus víctimas. Pese a que no lo han hecho aún, también cabe la posibilidad de que BitPyLock haya robado información confidencial.

No se trata de un simple ransomware

No son ninguna novedad las funciones avanzadas añadidas a los programas de ransomware. Por ejemplo, en 2016, el troyano Shade instalaba herramientas de administración remota, en lugar de cifrar los archivos, si descubría que se había topado con una máquina dedicada a llevar la contabilidad. CryptXXX cifró archivos, robó Bitcoins y las credenciales de inicio de sesión de las víctimas. El grupo responsable de RAA equipó algunas versiones del malware con el troyano Pony, cuyo objetivo era robar las credenciales de inicio de sesión.  La capacidad de robo de datos del ransomware  no debería sorprendernos, especialmente porque ahora las empresas reconocen la necesidad de crear copias de seguridad de su información.

Es preocupante que las copias de seguridad ya no ofrezcen una defensa contra estos ciberataques. Si tus máquinas se infectan, no existe modo de evitar las pérdidas, que no se limitarán necesariamente al pago de un rescate, pues los chantajistas no ofrecen ninguna garantía. La única manera de protegerse es impedir que el malware penetre en tus sistemas informáticos.

Cómo protegerse del ransomware

Aún queda por ver si esta nueva tendencia en el ransomware es efectiva o se abandonará. Estos ataques apenas están ganando impulso, así que es necesario mantenerse protegido contra las ciberamenazas. Eso no solo significa evitar el daño en la reputación y la divulgación no autorizada de los secretos comerciales, ya que si se permite el robo de datos personales de algún cliente, podrían aplicarse elevadas multas. A continuación algunos consejos de ciberseguridad publicados por Kaspersky:

• Fomentar una mejor concientización sobre la seguridad de la información entre empleados. Mientras más informado esté el personal en materia de ciberseguridad, menor es la probabilidad de que ellos sean víctimas del phishing y otras técnicas de ingeniería social.
• Actualizar cuanto antes sistemas operativos y el software, especialmente en aquellos que se hayan identificado vulnerabilidades que permitan el acceso y el control no autorizados de tu sistema.
• Utilizar una solución de protección especializada contra el ransomware. Por ejemplo, se puede descargar el Kaspersky Anti-Ransomware Tool sin costo alguno.

Fuente https://latam.kaspersky.com/blog/ransomware-data-disclosure/17077/

Algunos pasos útiles para la prevención de un brote de ransomware:

1- Utilizar software antivirus y filtrado de correo electrónico

Tener software antivirus instalado en todas las máquinas. El software debe actualizarse regularmente y escanear los archivos que se abren y envían. Configure el filtrado de correo electrónico en su servidor de correo. No menos importante, implemente un proceso para revisar e implementar actualizaciones de seguridad. Cualquier vulnerabilidad de alto a extremo riesgo debería ser reparada en 48 horas.