Un ataque ransomware puede detener en pocas horas una parte importante de la actividad de una empresa.
Este tipo de malware puede cifrar archivos, bloquear servidores y hacer inaccesible información necesaria para trabajar. Además, muchos ataques actuales no se limitan al cifrado: los delincuentes pueden robar información antes de bloquearla y amenazar posteriormente con publicarla.
El objetivo es presionar a la víctima para que pague un rescate.
Por eso, protegerse frente al ransomware no consiste únicamente en instalar un antivirus. Necesitamos combinar prevención, detección, segmentación, control de accesos, copias de seguridad y un procedimiento para responder cuando se produce un incidente.
¿Qué es un ransomware?
El ransomware es un tipo de malware utilizado para impedir el acceso a sistemas o información y exigir posteriormente un rescate.
Una vez dentro de la infraestructura, puede cifrar documentos, bases de datos, carpetas compartidas o servidores completos.
El usuario deja de poder abrir la información y normalmente aparece una nota indicando que debe realizar un pago para obtener una clave o herramienta de descifrado.
Pero los ataques han evolucionado. Los ciberdelincuentes pueden copiar previamente información confidencial y utilizarla como una segunda forma de presión.
La amenaza pasa entonces a ser doble:
Paga para recuperar tus archivos y paga para que no publiquemos los datos que hemos robado
Este modelo se conoce habitualmente como doble extorsión.
¿Cómo funciona un ataque ransomware?
No todos los ataques siguen exactamente el mismo proceso, pero suele existir una secuencia.
Primero, el atacante consigue acceder a un usuario, dispositivo o servicio.
Después intenta aumentar sus privilegios, conocer la infraestructura y acceder a otros sistemas.
En ataques dirigidos contra empresas pueden pasar horas o días desde el acceso inicial hasta que se ejecuta el ransomware.
Durante ese tiempo los atacantes pueden localizar servidores, identificar copias de seguridad, obtener nuevas credenciales y copiar información.
Finalmente se produce el cifrado o bloqueo.
Por eso el ransomware no debe entenderse únicamente como “un archivo infectado que cifra un ordenador”. En determinados ataques estamos ante una intrusión completa en la infraestructura empresarial.
¿Cómo puede entrar un ransomware en una empresa?
El correo electrónico continúa siendo una vía importante, pero no es la única.
Phishing
Un empleado puede recibir un mensaje que suplanta a un proveedor, banco, servicio conocido o compañero.
El objetivo puede ser conseguir que abra un archivo, visite una web maliciosa o entregue sus credenciales.
En nuestra guía sobre phishing por correo electrónico explicamos cómo reconocer algunas de estas técnicas.
Credenciales comprometidas
Si un atacante obtiene la contraseña de una VPN, servicio cloud o acceso remoto, puede intentar utilizarla directamente para entrar.
Por eso la autenticación multifactor resulta especialmente importante en los servicios accesibles desde Internet.
Sistemas vulnerables
Servidores, firewalls, aplicaciones y dispositivos que no están actualizados pueden contener vulnerabilidades conocidas.
Si además están expuestos a Internet, un atacante puede intentar explotarlas antes de que la empresa haya aplicado la correspondiente actualización.
Servicios innecesariamente expuestos
Publicar directamente servicios administrativos o accesos remotos aumenta la superficie de ataque.
Cuantos más servicios sean accesibles desde Internet, más importante resulta controlar su configuración, autenticación y actualización.
¿Puede un ransomware afectar a toda la red?
Sí, aunque no significa que cualquier archivo infectado vaya automáticamente a cifrar todos los dispositivos.
Una vez dentro, determinados atacantes intentan moverse lateralmente por la infraestructura.
Pueden buscar credenciales con mayores privilegios, servidores, carpetas compartidas y otros equipos conectados.
Si todos los dispositivos pueden comunicarse libremente y una misma cuenta administrativa permite acceder a numerosos sistemas, el impacto potencial aumenta.
La segmentación de red, el mínimo privilegio y una buena configuración del firewall pueden ayudar a limitar este movimiento.
¿Qué consecuencias puede tener para una empresa?
El daño no se limita a los archivos cifrados.
Un ataque puede provocar interrupción de actividad, pérdida de información, indisponibilidad de aplicaciones, costes de recuperación y daños reputacionales.
Si los atacantes han extraído información, además tendremos que analizar qué datos han podido quedar expuestos.
Esto puede afectar a información comercial, documentación interna, datos de clientes o credenciales.
También debemos considerar cuánto tiempo necesita la empresa para recuperar los sistemas.
Disponer de una copia de seguridad reduce considerablemente el impacto, pero recuperar varios servidores y validar aplicaciones puede requerir tiempo incluso cuando los datos están protegidos.
¿Debemos pagar el rescate?
No debería considerarse la vía normal para recuperar la actividad.
Pagar no garantiza que los delincuentes proporcionen una herramienta funcional, que podamos recuperar todos los datos o que la información robada no termine siendo publicada igualmente.
Tampoco elimina necesariamente el acceso que los atacantes hayan conseguido a la infraestructura.
INCIBE recomienda expresamente no pagar el rescate y recurrir a procedimientos de respuesta y recuperación.
El objetivo de una estrategia de continuidad debe ser que la empresa pueda recuperarse sin depender de la decisión del atacante.
¿Qué hacer si sufrimos un ransomware?
Los primeros minutos son importantes.
1. Aislar los sistemas afectados
Debemos desconectar de la red los equipos que muestran síntomas de infección para intentar impedir que continúe la propagación.
También puede ser necesario aislar segmentos completos si todavía no conocemos el alcance.
2. Avisar inmediatamente a los responsables
No debemos intentar solucionar individualmente el problema y continuar trabajando.
El equipo IT o el proveedor responsable debe poder analizar rápidamente qué sistemas están afectados.
3. No eliminar evidencias
Formatear inmediatamente los equipos puede dificultar posteriormente el análisis.
Conviene conservar registros, notas de rescate y otra información que permita conocer qué ha ocurrido y cuál ha sido el alcance.
4. Revisar usuarios y credenciales
Si existe la posibilidad de que se hayan comprometido cuentas, debemos analizar los accesos y cambiar las credenciales necesarias utilizando sistemas limpios.
También habrá que revocar sesiones o accesos cuando corresponda.
5. Determinar el alcance
Antes de restaurar debemos saber qué dispositivos, servidores, cuentas y datos están afectados.
Recuperar un servidor mientras el atacante todavía conserva acceso puede provocar una nueva infección.
6. Recuperar desde copias verificadas
Una vez contenido el incidente y preparados sistemas limpios, podremos restaurar la información desde backups anteriores al ataque.
Las copias deben comprobarse antes de volver a poner los sistemas en producción.
Dependiendo del incidente también puede ser necesario informar a organismos especializados, autoridades y responsables internos o externos de protección de datos.
INCIBE dispone de un servicio específico de ayuda para empresas afectadas por ransomware.
Las copias de seguridad son fundamentales
Una buena estrategia de backup es una de las principales defensas frente al impacto del ransomware.
Pero no basta con "tener una copia".
Los atacantes también pueden intentar localizar y cifrar o eliminar backups accesibles desde los sistemas comprometidos.
Por eso las copias deberían disponer de suficiente separación respecto al entorno productivo y debemos evitar que puedan modificarse fácilmente utilizando las mismas credenciales.
También necesitamos probar las restauraciones.
Una copia que lleva meses ejecutándose pero nunca ha sido restaurada no ofrece la misma garantía que un procedimiento de recuperación verificado.
Cómo reducir el riesgo de ransomware
No existe una medida que elimine por completo el riesgo, pero sí podemos dificultar considerablemente un ataque y reducir su impacto.
Conviene:
- Mantener sistemas y aplicaciones actualizados
- Utilizar MFA en accesos críticos y remotos
- Aplicar el principio de mínimo privilegio
- Revisar y eliminar cuentas innecesarias
- Formar a los usuarios frente al phishing
- Limitar los servicios expuestos a Internet
- Segmentar la red
- Supervisar sistemas y alertas
- Disponer de copias de seguridad separadas y probadas
- Mantener un procedimiento de respuesta ante incidentes
Las medidas más eficaces no son necesariamente las más complejas. Una empresa que mantiene su inventario, actualiza los sistemas, controla los accesos y verifica sus backups parte de una posición muy diferente a otra que desconoce qué dispositivos tiene conectados.
Ransomware y copias en la nube
Guardar información en la nube tampoco proporciona inmunidad automática.
Si un usuario tiene permisos para modificar o eliminar determinados archivos y su cuenta resulta comprometida, un atacante puede intentar utilizar esos mismos permisos.
También puede ocurrir que una aplicación de sincronización replique modificaciones realizadas sobre los archivos.
Por eso debemos distinguir sincronización, disponibilidad y copia de seguridad.
Un servicio correctamente diseñado puede incorporar versiones, retención, copias separadas o mecanismos que dificulten la modificación de los backups.
En nuestra guía sobre copias de seguridad en la nube desarrollamos estas diferencias.
Prepararse antes del ataque marca la diferencia
La mejor respuesta a un ransomware empieza antes de que aparezca la nota de rescate.
Debemos conocer qué sistemas son críticos, dónde están los datos, qué cuentas tienen privilegios y qué servicios están expuestos.
También necesitamos saber cómo aislar una incidencia, quién debe tomar decisiones y en qué orden recuperaremos la infraestructura.
El enfoque actual de gestión del ransomware no se limita a prevenir la infección: incluye identificar, proteger, detectar, responder y recuperar.
Esto permite asumir una realidad importante: ninguna empresa puede garantizar que nunca sufrirá un incidente, pero sí puede prepararse para reducir considerablemente sus consecuencias.
El ransomware debe tratarse dentro de una estrategia global de seguridad informática para empresas, junto con el control de accesos, actualizaciones, monitorización, firewall y continuidad.
En ENDEOS gestionamos estas medidas dentro de nuestro servicio de administración de sistemas para empresas, ayudando a mantener la infraestructura protegida, supervisada y preparada para recuperar la actividad ante una incidencia.