El ransomware sigue siendo una amenaza significativa para las organizaciones, con efectos que van más allá del cifrado de datos. A menudo se subestima la complejidad de los ataques, ya que no solo se trata de bloquear información, sino también de exfiltrarla y venderla como parte de un modelo de negocio cada vez más sofisticado.
Ransomware 101
El ransomware no implica únicamente el cifrado de datos. Es probable que los atacantes vendan el acceso a la red, expongan los datos y realicen una extorsión. Este modelo se adapta constantemente a las respuestas de los defensores, lo cual complica aún más su detección y prevención.
La mejor estrategia para evitar este tipo de ataques es no ser vulnerado desde el principio. La prevención proactiva debe ser la prioridad, ya que muchas veces las cadenas de infección se originan en puntos de entrada mal configurados o sin protección adecuada.
Acceso inicial
Las rutas de acceso inicial típicas del ransomware incluyen ataques a servicios de acceso remoto expuestos, como RDP. Estos servicios suelen estar configurados inadecuadamente, sin MFA ni monitoreo activo. Según Coveware, el ataque mediante RDP representa aproximadamente el 50% de los vectores de acceso inicial históricamente, aunque esta cifra disminuyó en el cuarto trimestre de 2020.
Otras rutas incluyen vulnerabilidades de ejecución remota de código (RCE) en servicios expuestos. Estas pueden afectar a servidores de intercambio, VPN de pulso, VMware, Citrix y varios productos de firewall yVPN. Aunque el phishing ha ganado terreno como vector principal, las rutas tradicionales siguen siendo relevantes.
El phishing puede conducir al acceso remoto mediante la recolección de credenciales o la ejecución de malware en dispositivos de destino. También se utilizan herramientas como TeamViewer para facilitar el acceso remoto asistido por el usuario, lo cual representa un riesgo significativo.
Para identificar y prevenir estos accesos, es fundamental implementar una lista de verificación que incluya:
- Auditar la superficie de ataque frente a Internet.
- Configurar servicios de acceso remoto con seguridad reforzada.
- Implementar controles de autenticación sólidos, como MFA.
- Deshabilitar macros y extensiones de archivos no seguras.
- Restringir el tráfico de salida riesgoso.
- Asegurar que los registros de eventos se supervisen.
- Utilizar herramientas antimalware/EDR.
- Deshabilitar RDP si no es necesario.
- Parchear vulnerabilidades conocidas en dispositivos de acceso remoto.
- Administrar dispositivos de forma centralizada para limitar la ejecución de aplicaciones no autorizadas.
- Proporcionar educación y capacitación sobre seguridad a los empleados. \n
Además, se recomienda deshabilitar entornos de secuencias de comandos y macros. También es importante restringir el uso de medios extraíbles USB si no son necesarios.
Para obtener más orientación sobre la mitigación del ransomware, se puede consultar la guía del NCSC (National Cyber Security Centre) de Reino Unido.