Hace unos días, la empresa norteamericana Backblaze publicó su reciente experiencia de ransomware.

La publicación detalla que una de sus empleadas del departamento de contabilidad, abrió un archivo adjunto en un correo electrónico, desencadenó una infección por ransomware en su sistema.

Un momento después, notó algo extraño, la imagen de fondo en el escritorio había desaparecido, sustituyéndola una imagen genérica de un campo de flores.

Al no comprenderlo, “Elli” llamó al departamento de TI.

Después de revisar el equipo, el encargado preguntó acerca de las acciones más recientes en el equipo. Ella le indica el correo electrónico abierto en la esquina de la pantalla. El encargado preguntó acerca del archivo adjunto, cuando ella le confirma que lo abrió, le informa que el equipo ha sido atacado por un ransomware.

Desconecta el equipo de la red inalámbrica, también desconecta el cable de red, apaga el equipo y desconecta el disco duro.

Posteriormente la unidad infectada fue puesta en una sandbox. Como medida de seguridad para evitar que otros equipos en la red fueran infectados.

Cuando el ransomware procesa los archivos del equipo, incluye algunos archivos “de ayuda”. En los que se dan las indicaciones para que el usuario pueda recuperar sus archivos mediante el pago del rescate.

No fue necesario pagar el rescate, debido a que los archivos se recuperaron de una copia de seguridad.

Sin embargo, es importante mencionar que las diferentes versiones de ransomware pueden complicar el proceso de recuperación de datos.

Algunos ataques retrasan su inicio, esperando un periodo de tiempo hasta una fecha específica antes de iniciar el proceso de cifrado. En ese caso, la copia de seguridad tendría que ser capaz de retroceder hasta una fecha previa a la infección para hacer la recuperación de archivos.

Algunos ataques intentarán cifrar otras unidades a las que se tenga acceso. Por ejemplo la unidad de copia de seguridad local. Por esta razón, es importante una copia de seguridad interna y una externa.

Se puede definir como la “manipulación psicológica para la realización de acciones o divulgación de información confidencial”.

En este caso se identificaron varios trucos:

• El correo electrónico tenía en el destinatario el nombre completo de la empleada.
• Era normal en su oficina, recibir mensajes de correo electrónico con archivos adjuntos desde el sistema de correo de voz.
• Era normal en su oficina, recibir mensajes desde QuickBooks (software de contabilidad).

Es difícil saber si ella fue solo una de las millones de personas atacadas por ransomware o, como es más probable, “Elli” fue víctima de un ataque dirigido.

Los ataques dirigidos, también conocidos como spear phishing, requieren que el atacante obtenga información detallada sobre el blanco para que el correo electrónico parezca lo más auténtico posible.

Encontrar la información necesaria para crear un correo electrónico creíble es tan fácil como ingresar al sitio web de la empresa y hacer un poco de investigación en sitios sociales como Facebook, LinkedIn, Google +, entre otros.

Sería fácil culpar a “Elli” por permitir que el sistema se infectara, pero hubo varios errores:

• Ella estaba usando un navegador para acceder a su correo electrónico en la Nube, pero el sistema de correo no bloqueó el mensaje que contenía el malware.
• Ni el navegador, ni el sistema de correo le advirtieron que el archivo ZIP adjunto contenía un archivo ejecutable.
• Por último, tampoco el antivirus detectó algo al descargar y descomprimir el archivo de malware.

El número de ataques ransomware se incrementa de manera constante.

También, el uso de la ingeniería social por parte de los atacantes es cada vez más frecuente. Con lo cual la posibilidad de convertirse en víctima de un ataque será mayor.

Además de las medidas de seguridad preventivas, es necesario tomar acciones para identificar y responder cuanto antes a un ataque para evitar sus terribles consecuencias.