Durante los primeros diez meses de 2022, los usuarios atacados con ransomware dirigido se han duplicado en comparación con el mismo periodo de 2021. Un crecimiento sorprendente que indica que los grupos dedicados a lanzar ransomware han continuado con sus técnicas. El último informe de Crimeware de Kaspersky descubre nuevas actividades del notorio ‘LockBit’ y el recién llegado ‘Play’, que usa técnicas de autopropagación.
Muchas personas no sabrán que es el término ransomware, y por ello, antes de seguir, pasaremos a describir lo que es. Según el Instituno Nacional de Ciberseguridad (INCIBE), es una extorsión que se realiza a través de un malware que se introduce en los equipos de las empresas: ordenadores, portátiles y dispositivos móviles. Es un software que «secuestra» la información de la empresa, impidiendo el acceso a la misma, y solicitando un rescate a cambio de su liberación. Esta acción, puede suponer grandes pérdidas de dinero para las empresas, además de muchos daños.
De acuerdo con las soluciones de seguridad de Kaspersky, la cantidad de usuarios afectados por ransomware dirigido representó el 0,026% del total de los incidentes por malware en 2022, frente al 0,016% de 2021. El gráfico que se ofrece a continuación muestra cómo los cibercriminales están continuamente buscando oportunidades para realizar ataques con ransomware de precisión para lograr sus objetivos.
Las recientes investigaciones de Kaspersky reflejan que los grupos dedicados al ransomware continúan mejorando sus técnicas. El ransomware ‘Lockbit’ sigue siendo uno de los más populares, innovadores y de rápido desarrollo utilizados en la actualidad. Dificulta la labor de los especialistas en seguridad cibernética al incorporar nuevas opciones y la práctica del dumping de credenciales. Esta técnica permite hacerse con el dominio del equipo infectado y crear un canal para restablecer las credenciales del sistema operativo.
Además, hay nuevas variantes de ransomware que emergen. A lo largo de 2022, Kaspersky ha detectado más de 21.400 cepas.
Kaspersky ha descubierto recientemente ‘Play’, una variante de ransomware que dificulta el análisis. Su código no se parece a otras muestras de ransomware, pero afortunadamente ‘Play’ se encuentra en las primeras etapas de su desarrollo. Cuando se llevó a cabo la investigación no se pudo detectar el punto de fuga. El ransomware solicita a las víctimas, a través de la nota de rescate, que contacten con los ciberdelincuentes a través de una dirección de correo electrónico. Lo que llamó la atención de los analistas fue que ‘Play’ contiene una funcionalidad encontrada recientemente en otras variantes avanzadas de ransomware: la autopropagación. Los atacantes encuentran un bloque de mensajes de servidor (SMB) y realizan una conexión. A renglón seguido, ‘Play’ intenta montar el SMB mencionado anteriormente y distribuir y ejecutar el ransomware en el sistema remoto.
“Los desarrolladores de ransomware vigilan de cerca lo que hacen sus competidores. Si uno realiza una implementación de una determinada funcionalidad con éxito, existe una gran probabilidad de que otros lo repliquen. Esto hace que el ransomware sea más interesante para quienes lo utilizan. La autopropagación de ransomware es un claro ejemplo de esto. Cada vez más y más grupos de ransomware inventan técnicas que hacen los ataques más dirigidos y destructivos -y este año las estadísticas son una buena prueba de ello-. Otra cosa que no podemos dejar de recordar es la necesidad de hacer copias de seguridad periódicas y almacenarlas offline”, asegura Jornt van der Wiel, experto en seguridad de Kaspersky.
Para protegerse de los ataques de ransomware, los expertos de Kaspersky recomiendan:
-No usar servicios de escritorio remoto (como RDP) en redes públicas a no ser que sea estrictamente necesario. Utilizar siempre contraseñas fuertes.
-Instalar tan pronto como sea posible los parches disponibles para soluciones VPN comerciales que dan acceso en remoto a los empleados y actúan como puertas de enlace a la red.
-Centrar la estrategia defensiva en detectar movimientos laterales y la filtración de datos en internet. Prestar especial atención al tráfico saliente para detectar conexiones de ciberdelincuentes.
-Realizar copias de seguridad con regularidad, así como disponer de un acceso rápido a las mismas en caso de emergencia.
-Utilizar soluciones como Kaspersky Endpoint Detection and Response Expert y Kaspersky Managed Detection and Response. Son servicios que ayudan a identificar y detener los ataques en fase temprana, antes de que los atacantes logren su objetivo
-Usar la última información de inteligencia frente a amenazas para estar al tanto de las Tácticas, Técnicas y Procedimientos (TTP) utilizados. Kaspersky Threat Intelligence ofrece un único punto de acceso TI y proporciona información y datos de ataques cibernéticos recopilados por el equipo de Kaspersky durante 25 años. Para ayudar a las empresas a tener una defensa efectiva, Kaspersky otorga acceso a información continuamente actualizada y a escala mundial sobre ciberataques y amenazas en vigor, sin cargos adicionales.