Si el año pasado nos enseñó algo nuevo sobre los atacantes de ransomware, fue el alcance de su resiliencia, adaptabilidad y voluntad de capitalizar tiempos difíciles, particularmente cambios geopolíticos. Tan sólo en México, durante 2023, se presentan en promedio 1,607 ciberataques por semana. Incluso cuando las organizaciones más grandes son procesadas, los grupos disidentes de ransomware moderno se reagrupan y se relanzan. Está claro: debemos ser más diligentes que nunca.
Los atacantes de ransomware moderno son delincuentes, pero también son empresarios inteligentes. Han creado negocios multimillonarios robando y manteniendo como rehenes los datos de las empresas. Investigan, saben qué datos tienes (y qué datos deseas proteger), saben quiénes son tus clientes e incluso saben dónde compras tu seguro. Algunos incluso están respaldados por estados nacionales y la información que poseen. Tampoco tienen miedo de negociar.
Si el ransomware moderno es un negocio, el software de ataque sofisticado es su modelo operativo y los rescates son sus ingresos. De hecho, las plataformas de ataque de ransomware pueden incluso adquirirse como un servicio. Eso pone sus potentes capacidades en manos de posibles atacantes de todo el mundo. Un ejemplo es REvil, una operación privada de ransomware como servicio (RaaS).
Esto significa que no son sólo los grandes sindicatos criminales quienes realizan ataques altamente efectivos. Podría ser un hacker solitario en otro país que compró el software o se suscribió a la plataforma para su próximo objetivo.
¿Cómo se llevan a cabo los ataques de ransomware moderno?
Los ciberdelincuentes de hoy se mueven rápido. En comparación, los hackers informáticos de hace algunos años a menudo permanecían inactivos en su red durante meses, observando y esperando. Estos ataques son veloces y estratégicos. Peor aún, estos piratas informáticos comprenden el ángulo de relaciones públicas de un ataque y saben cómo utilizarlo. No se limitarán a desactivar tus sistemas y robar tus datos. Exfiltrarán datos confidenciales y amenazarán con ofrecérselos a los medios de comunicación y conversarán con los periodistas sobre el hackeo a menos que pagues.
La amenaza de ataques automatizados de ransomware parecía más siniestra que la idea de un hacker solo en un sótano en un ordenador. Sin embargo, las tendencias recientes muestran que los atacantes expertos se están alejando de los ataques masivos y automatizados. Migran hacia ataques más matizados, complejos y dirigidos. Esto les permite ser más prácticos y precisos.
Pero el RaaS sigue siendo una amenaza creciente. Incluso cuando se cerraron sindicatos gigantes en los últimos años, el RaaS puso software de ransomware moderno a disposición de afiliados más pequeños en todo el mundo.
¿Qué datos o sistemas son más valiosos para los ciberdelincuentes?
Los ciberdelincuentes saben qué datos se venderán a mayor precio en la web o causarán más caos si se publican o incluso se eliminan. Hoy en día, es mucho más complejo que simplemente robar un número de tarjeta de crédito, que puede venderse por tan sólo un dólar. El registro de un paciente es mucho más valioso en caso de robo de identidad y puede venderse entre 55 y 85 dólares. Los ciberdelincuentes también persiguen la propiedad intelectual (PI), especialmente cuando están involucradas la ciencia y la tecnología, como los esquemas sensibles de los productos.
Los gobiernos estatales y locales, los departamentos de policía y las empresas que se ocupan de la atención sanitaria, la educación y la fabricación tienen algunos de los datos de mayor valor. Pero más allá del valor monetario, ciertos datos pueden ser valiosos por su capacidad de ser disruptivos. Esto incluye información que interrumpe las investigaciones de casos penales abiertos, causa daños a la reputación o genera multas regulatorias o de cumplimiento masivas.
¿Son tu empresa o tú un objetivo de ransomware moderno?
Todas las empresas son un objetivo viable para el ransomware, pero algunas son objetivos mejores (y más lucrativos) que otras.
En primer lugar, los atacantes inteligentes a menudo saben que no deben perseguir ballenas. Llevar a cabo ataques de alto perfil puede ponerlos en el punto de mira de investigadores, fiscales y medios de comunicación. Una vez que han aparecido en los titulares, prácticamente se acabó. Para permanecer en el juego, muchos de estos grupos se dirigen a organizaciones medianas (entre 1,000 y 5,000 empleados) que tienen menos probabilidades de aparecer en primera plana.
En segundo lugar, está presente una tendencia inquietante últimamente: apuntar a los proveedores de servicios gestionados y a los proveedores de servicios esenciales. El fin es provocar cortes masivos e interrupciones generalizadas. Esto es precisamente lo que hizo el hack de REvil, dirigido a la empresa de software Kresaya, que tiene miles de clientes afectados.
¿Cómo evitar ser víctima?
Contar con un plan integral y completo de prevención, copia de seguridad y recuperación disminuye la probabilidad de sufrir un ataque de ransomware moderno. Sin embargo, para las empresas sin soluciones de respaldo y recuperación adecuadas, pagar el rescate puede parecer más rápido y sencillo. Sólo que pagar el rescate no tiene garantías. Como se demostró en ataques recientes, los malos no siempre prueban exhaustivamente sus herramientas de recuperación. Las herramientas pueden tardar mucho en restaurar datos cifrados o, peor aún, es posible que no funcionen en absoluto.
Proteger a tu organización de los efectos y costos de un ataque significa estar preparado en cada punto del ciclo de vida del ransomware. Eso incluye tener planes para antes de un ataque, durante un ataque y después de un ataque.
Pasos para sobrevivir al ransomware
●Antes de un ataque. Pure Storage puede servir como una plataforma para ingresar registros y proporcionar rendimiento escalable y niveles de datos para un procesamiento de alta velocidad. Para ello, emplea herramientas de análisis de seguridad utilizadas por los cazadores de amenazas cibernéticas. Además, la evaluación de protección de datos ofrece prácticas con las que comparar tu configuración.
La detección de anomalías permite saber si se descubren cambios repentinos en la RRD e identificar áreas donde tus datos pueden ser vulnerables. No olvides prepararte para un ataque trabajando con un profesional de servicio técnico para documentar tu plan de recuperación de almacenamiento en el SLA de recuperación de ransomware en Evergreen//One.
●Durante un ataque. Las instantáneas SafeMode únicas y altamente diferenciadas brindan inmutabilidad, por lo que no se pueden cambiar una vez escritas. SafeMode también proporciona una capa adicional de protección de instantáneas. No pueden ser eliminados de una matriz, ni siquiera por una persona o proceso con credenciales administrativas. Además, las matrices tiene cifrado AES-256, que no se puede desactivar y no afecta su rendimiento.
●Después de un ataque. La capacidad RapidRestore puede ayudar a recuperar tus datos a velocidades superiores a 270 TB/hora. Esto es muy importante porque lo que más importa después de un ataque es la velocidad. Otra gran parte de la velocidad y la recuperación rápida es el envío de matrices limpias el siguiente día hábil para almacenar datos. También de un ingeniero de servicios profesionales en el sitio que aumente tu personal para que puedas volver rápidamente al nivel operativo normal.
