Durante el 2018 los criminales continuaron dirigiendo ataques de ransomware a grandes organizaciones. Por esta razón, la empresa ESET, desarrolló un informe que explica por qué el ransomware sigue siendo una amenaza peligrosa para las organizaciones, sin importar su tamaño, y qué pueden hacer éstas para reducir la exposición y el daño ante este tipo de amenazas.
El informe titulado “RANSOMWARE: an enterprise perspective” advierte que son tres los principales vectores de ataques de ransomware: el acceso remoto, correo, y cadena de suministro. “Entender cuál es el actual estado de los ataques de ransomware, así como la evolución de varias áreas que también preocupan, es clave para mantener los activos de las compañías a salvo. Si bien hay un crecimiento en las detecciones de mineros de criptomonedas, no quiere decir que el ransomware forma parte del pasado, ya que sigue siendo una amenaza muy seria para las organizaciones”, comentó Camilo Gutierrez, jefe del Laboratorio de Investigación de ESET Latinoamérica.
Este año en Atlanta, Estados Unidos, cinco departamentos gubernamentales de la ciudad fueron impactados por un ataque de ransomware: Sistema Penitenciario, Manejo de Cuencas Hidrográficas, Recursos Humanos, Parques y Recreación, y Planeamiento de la Ciudad. Una serie de funciones de la ciudad fueron impactados por el ataque, incluyendo la habilidad de aceptar el pago online de facturas de agua y multas de tránsito. El Wi-Fi del Aeropuerto Internacional de Atlanta “Hartsfield-Jackson” fue desactivado por una semana. Si bien Atlanta rechazó los $50.000 que los criminales exigían para el rescate, el impacto financiero ha sido de millones de dólares (se estima que estuvo cerca de los $17 millones).
Durante 2018, ataques costosos de ransomware impactaron a numerosas organizaciones relacionadas con el sector estatal, gubernamental y educativo. Se tiene conocimiento de estos ataques porque las entidades vinculadas a estos sectores (así como el sector de la salud) generalmente tienen como requisito hacer públicos estos reportes. Si bien las entidades privadas no siempre se les exige publicar esta información, el reporte de ESET revela que, por parte de los equipos de soporte, proveedores de seguridad y otros, el ransomware continúa siendo una amenaza costosa y que las víctimas no son pocas a lo largo de todos los sectores de negocios.
Una porción de los ataques de ransomware de este año que fueron dirigidos a sectores como la salud o entidades gubernamentales, involucran a una familia de ransomware conocida como SamSam, a su vez, específicamente en Latinoamérica familias como Crysis y GandCrab tuvieron gran incidencia en cuanto a detecciones. Estos ataques penetraron organizaciones mediante la “aplicación de fuerza bruta a los endpoints RDP” (Departamento de Salud y Servicios Humanos de los Estados Unidos). Esto implica que el atacante que identifica un servidor como blanco, realiza múltiples intentos para adivinar sus accesos. Tales ataques pueden ser muy efectivos y permitir que se extienda este compromiso a lo largo de la red de una organización. Un caso particular fue el ataque de ransomware impactó un gigante de pruebas médicas como Lab Corp en julio de 2018 a través de RDP y llegó a 7.000 sistemas y 350 servidores de producción en menos de una hora.
Desde el 28 de octubre de 2018, el escáner Shodan indica que más de dos millones y medio de sistemas en Internet estaban corriendo RDP de manera explícita y que más de un millón y medio de esos sistemas estaban en los Estados Unidos. Para un atacante, todas esas máquinas son blancos potenciales para ser explorados. Una vez comprometidas, pueden ser explotadas y, como advierte el reporte de ESET, las credenciales de acceso pueden ser comercializadas en el mercado negro, como, por ejemplo, en xDedic.
“Las amenazas en el campo de la seguridad son acumulativas. Que haya criminales intentando abusar de los recursos de procesamiento de dispositivos para minar criptomonedas no quiere decir que por otro lado no haya otros criminales interesados en desarrollar y desplegar técnicas de explotación de RDP con el objetivo de crear un vector de ataque redituable para el ransomware. Del mismo modo, capacitar a las organizaciones en el uso de RDP (lo cual es necesario por múltiples razones) no implica que ya no sea importante realizarlas contra el phishing”, aseguró Gutierrez.
ESET recomienda que, junto a las acciones de capacitación, las organizaciones cuenten con políticas de seguridad que sean fácilmente aplicables y controladas. También afirma que se necesita contar con productos de seguridad y herramientas, incluyendo pruebas de backup y sistemas de recuperación, y un plan de respuesta ante incidentes que esté constantemente actualizado. “Si bien la inmunidad ante los ataques no se está asegurada, este tipo de medidas aumentan consideradamente las posibilidades de desviarlos o recuperarse rápidamente de un incidente”, concluyó el experto.
