El ransomware sigue siendo una amenaza significativa para la seguridad informática. Aunque tradicionalmente se ha centrado en los sistemas operativos Windows, las tácticas de los ciberdelincuentes están evolucionando y ahora incluyen ataques a servidores Linux y sistemas de virtualización. Estos entornos son cada vez más objetivo de ataque debido al crecimiento de la popularidad del código abierto y la virtualización.
Aumento de ataques contra servidores Linux
Según el análisis de Trend Micro, los servidores Linux están «cada vez más bajo el fuego» de los ataques de ransomware. Se registró un aumento del 75 % en las detecciones durante el último año de 2022. Los ciberdelincuentes buscan expandir sus ataques más allá de los sistemas operativos Windows, aprovechando la creciente adopción de servidores Linux y sistemas de virtualización.
Ataques específicos a VMware ESXi
En febrero del 2023, muchos propietarios de servidores VMware ESXi se vieron afectados por el brote de ransomware ESXiArgs. Este malware aprovechó la vulnerabilidad CVE-2021-21974 para deshabilitar las máquinas virtuales y cifrar archivos como .vmxf, .vmx, .vmdk, .vmsd y .nvram.
Adaptación de ransomware a Linux
El grupo Clop fue detectado en diciembre del 2022 usando una versión para Linux de su ransomware. Esta versión se diferencia significativamente de la versión para Windows, ya que carece de algunas optimizaciones y trucos defensivos, pero se adapta a los permisos y tipos de usuarios de Linux. Se dirige específicamente a las carpetas de bases de datos de Oracle.
Ataques con BlackBasta
Una nueva versión del ransomware BlackBasta está diseñada especialmente para ataques a hipervisores ESXi. La estrategia de cifrado utiliza el algoritmo ChaCha20 en el modo de múltiples subprocesos, lo que permite una rápida cifración en entornos multiprocesador.
Actividad del grupo Conti
Poco antes de su desintegración, el grupo de ciberdelincuentes Conti también se armó con un ransomware que tenía a ESXi como objetivo. El ransomware BlackCat, escrito en Rust, puede deshabilitar y eliminar máquinas virtuales ESXi. En otros aspectos, el código malicioso difiere ligeramente de la versión de Windows.
Expansión del ransomware a Linux
El ransomware Luna, detectado en 2022, era originalmente multiplataforma y podía ejecutarse en sistemas Windows, Linux y ESXi. El grupo LockBit también comenzó a ofrecer versiones para ESXi de su malware a los afiliados.
Ataques anteriores
Las campañas RansomEXX y QNAPCrypt afectaron en gran medida a los servidores Linux. Estos ataques demostraron la vulnerabilidad de estos sistemas frente al ransomware.
Medidas de seguridad recomendadas
- Reparar las vulnerabilidades de inmediato.
- Minimizar la cantidad de conexiones y puertos abiertos a Internet.
- Implementar herramientas de seguridad especializadas en servidores para proteger tanto el propio sistema operativo como las máquinas virtuales y los contenedores alojados en el servidor.