Una publicación del sitio PCMag revela que el pago del rescate por ataques de ransomware de las variantes más comúnes, genera ‘decenas de millones’ de dólares en ingresos para los criminales.

El ransomware se ha convertido en un negocio ilícito multimillonario. Según un estudio realizado por Google, la empresa de seguridad Bitcoin Chainalysis, la Universidad de California en San Diego y la Universidad de Nueva York.

El ecosistema del ransomware está actualmente dominado por unos cuantos, como Locky y Cerber.

Locky, el primer ransomware con ganacias mayores al millón de dólares por mes, ha recaudado aproximadamente $7.8 millones.

Cerber, que introdujo el ascenso del ransomware como servicio, acumula alrededor de 200,000 dólares por mes durante más de un año, 6.9 millones de dólares hasta la fecha.

CryptoLocker, CryptXXX, SamSam, CryptoWall, AlNamrood, TorrentLocker, Spora, CoinVault, y WannaCry también continúan acumulando ganancias.

El estudio también señala que solo el 37% de los usuarios respaldan sus datos. Complicando cada vez más el escenario.

El mes pasado, el ciberataque generado por Petya mantuvo luchando por recuperar sus sistemas y datos a agencias gubernamentales, y empresas privadas en todo el mundo.

Dicho ataque se produjo después de que en mayo cientos de miles de equipos fueron atacados por WannaCry.

A finales del año pasado, Malwarebytes analizó cerca de medio millón de incidentes de ransomware para identificar las 10 ciudades estadounidenses más atacadas por el malware.

Las Vegas encabeza la lista con el mayor número de detecciones de ransomware en general.

“Los atacantes mejoran constantemente su táctica, ejecución y modelo de negocio para evadir la detección. Ahora, con los millones de dólares entregados a los ciberdelincuentes, el ransomware sólo aumentará”, indicó Adam Kujawa de Malwarebytes.

Debido a ello, los expertos en ciberseguridad recomiendan a las víctimas no realizar el pago del rescate.

Los expertos de Kaspersky Lab han llamado ExPetr a la nueva variedad de malware cifrador. Responsable del reciente ataque a nivel global.

Otros lo identifican como PetrWrap, Petya, entre otros nombres.

La diferencia principal con este nuevo ransomware es que los delincuentes han escogido sus objetivos con gran precisión. Muchas de las víctimas son empresas, no consumidores.

Instalaciones con infraestructura crítica están entre las víctimas de este malware. Por ejemplo, se ha informado que algunos vuelos del aeropuerto de Kiev Boryspil han sufrido retrasos a causa del ataque.

También se indicó que el sistema de monitorización de radiación de la planta nuclear de Chernobyl se vio afectado temporalmente por la misma razón.

Al igual que con WannaCry, tenemos dos problemas: la penetración inicial del malware en la infraestructura de una empresa y su proliferación en ella. Ambos problemas deben solucionarse separadamente.

Los expertos indican algunos caminos por los que el malware se infiltra en la red. En algunos casos, hizo uso de sitios web maliciosos.

En otros, los usuarios recibieron el malware como si se tratara de una actualización del sistema. También, como actualizaciones de software de terceros (por ejemplo mediante el software ucraniano M.E.Doc).

Es decir, no existe un único punto de entrada predecible que proteger.

No obstante, existen algunas recomendaciones para prevenir que el malware penetre en la infraestructura:

• Instruir a los usuarios para no abrir archivos adjuntos sospechosos. Ni tampoco dar clic en los enlaces incluidos en los correos electrónicos.
• Asegurarse que todos los sistemas conectados a Internet estén equipados con soluciones de seguridad actualizadas que incorporen componentes de análisis de comportamiento.
• Comprobar que los componentes importantes de las soluciones de seguridad están activos (en los productos de Kaspersky Lab, tanto la red Kaspersky Security Network como el motor de comportamiento System Watcher).
• Actualizar las soluciones de seguridad regularmente.
• Emplear herramientas para administrar y monitorear las soluciones de seguridad desde una única consola administrativa y verificar que los usuarios no tienen permitido modificar los ajustes.

Una vez que logra introducirse en un solo sistema, ExPetr se propagará mucho más rápido que WannaCry en una red local. Debido a que dispone de capacidades extensas para ese objetivo en concreto.

En primer lugar, utiliza, al menos, dos exploits: un EternalBlue modificado (también usado por WannaCry) y EternalRomance (otro exploit del puerto TCP 445).

En segundo lugar, cuando infecta un sistema en el que un usuario tiene privilegios de administrador, empieza a distribuirse mediante la herramienta de control remoto de sistemas PsExec.

Para prevenir que el malware acceda a la red, se puede considerar lo siguiente:

• Aislar los sistemas que requieren una conexión activa de Internet en otro segmento de red.
• Dividir la red sobrante en subredes o subredes virtuales con conexiones restringidas. Y conectar solo los sistemas que la requieran para procesos tecnológicos.
• Asegurarse que las actualizaciones de seguridad críticas de Windows están instaladas. Muy importante ya que la MS17-010 cierra las vulnerabilidades que utiliza EternalBlue y EternalRomance.
• Utilizar servidores de respaldo aislados del resto de la red. Y evitar la conexión con unidades remotas en los servidores de respaldo.
• Prohibir la ejecución del archivo llamado perfc.dat mediante el Control de Aplicaciones de Kaspersky Endpoint Security for Business o mediante Windows AppLocker.
• En sistemas que contengan múltiples sistemas integrados, utilizar soluciones de seguridad especializadas como Kaspersky Embedded Security Systems.
• Configura el modo de denegación por defecto como medida de protección adicional en los sistemas que sea posible (por ejemplo, en equipos con software que rara vez se modifique). Lo que se puede realizar mediante el Control de aplicaciones incluido en Kaspersky Endpoint Security for Business.

En Adaptix Networks destacamos la importancia de implementar soluciones de seguridad integrales, con software y dispositivos para la protección de la red empresarial y la generación de respaldos y copias de seguridad.

También puede consultar:

• Ataque masivo por ransomware WannaCry
• Se detiene ataque por ransomware WannaCry, pero en realidad no ha terminado
• Medidas ante ransomware