Ransomware para empresas

leer  

¿Qué es el ransomware?

Según la FTC, el ransomware es una forma de software malicioso que se infiltra en los sistemas o redes informáticas y utiliza herramientas como la encriptación para denegar el acceso o mantener los datos como "rehenes" hasta que la víctima pague un rescate, exigiendo frecuentemente el pago en Bitcoin. Según el FBI, tras la infección inicial, el ransomware intenta extenderse a las unidades de almacenamiento compartidas y a otros sistemas accesibles. Si no se cumplen las exigencias, el sistema o los datos cifrados siguen sin estar disponibles, los datos pueden ser borrados o filtrados en línea como forma de extorsión. 

¿Cómo se distribuye el ransomware?

Según la FTC, el ransomware suele llegar a través de campañas de phishing por correo electrónico, que suelen requerir que el usuario realice una acción como hacer clic en un enlace o descargar un archivo adjunto malicioso. Otras campañas utilizan las descargas "drive-by", en las que un usuario visita un sitio web malicioso o un sitio que ha sido comprometido, y el acto de cargar el sitio hace que el ransomware se descargue automáticamente en el ordenador del usuario. Además, el ransomware se distribuye a través de campañas de "malvertising", en las que se oculta un código malicioso en un anuncio online que infecta el ordenador del usuario. Estos ataques pueden producirse incluso en sitios web de confianza a través de redes publicitarias de terceros que redirigen al usuario a un servidor infectado.

• Correos electrónicos fraudulentos con enlaces y archivos adjuntos que ponen en riesgo sus datos y su red. Estos correos electrónicos de phishing constituyen la mayoría de los ataques de ransomware.
• Server vulnerabilities that can be exploited by hackers.
• Sitios web infectados que descargan automáticamente software malicioso en su ordenador.
• Anuncios en línea que contienen código malicioso, incluso en sitios web que conoce y en los que confía.

Respuesta al ransomware

Se recomienda que las organizaciones hagan lo siguiente para responder al ransomware.

• Determine which systems were impacted, and isolate the infected computer immediately, and remove infected systems from the network as soon as possible to prevent ransomware from attacking the network or share drives.
• Si varios sistemas o subredes parecen afectados, desconecte la red a nivel de conmutadores. Puede que no sea factible desconectar sistemas individuales durante un incidente. 
• Si no es posible desconectar temporalmente la red, localice el cable de red (por ejemplo, Ethernet) y desconecte los dispositivos afectados de la red o retírelos de la red Wi-Fi para contener la infección. 
• After an initial compromise, malicious actors may monitor your organization’s activity or communications to understand if their actions have been detected. Be sure to isolate systems in a coordinated manner and use out-of-band communication methods such as phone calls or other means to avoid tipping off actors that they have been discovered and that mitigation actions are being undertaken. Not doing so could cause actors to move laterally to preserve their access—already a common tactic—or deploy ransomware widely prior to networks being taken offline. Only in the event, you are unable to disconnect devices from the network, power them down to avoid further spread of the ransomware infection.   Please Note: Powering off a device will prevent you from maintaining ransomware infection artifacts and potential evidence stored in volatile memory. It should be carried out only if it is not possible to temporarily shut down the network or disconnect affected hosts from the network using other means. 
• Identificar y priorizar los sistemas críticos para su restauración y confirmar la naturaleza de los datos alojados en los sistemas afectados. 
• Priorizar el restablecimiento y la recuperación basándose en una lista predefinida de activos críticos que incluya los sistemas de información fundamentales para la salud y la seguridad, la generación de ingresos u otros servicios críticos, así como los sistemas de los que dependen. 
• Mantenga un registro de los sistemas y dispositivos que no se perciben como afectados para que puedan ser despriorizados para su restauración y recuperación. Esto permite a su organización volver a la actividad de una manera más eficiente.
• Consulte con su equipo de respuesta a incidentes para desarrollar y documentar un entendimiento inicial de lo que ha ocurrido basado en el análisis inicial. 
• Involucre a sus equipos internos y externos y a las partes interesadas para que sepan qué pueden aportar para ayudarle a mitigar, responder y recuperarse del incidente. 
• Comparta la información de que dispone para recibir la ayuda más oportuna y pertinente. Mantenga a la dirección y a los altos cargos informados mediante actualizaciones periódicas a medida que evolucione la situación. Las partes interesadas pertinentes pueden ser su departamento de TI, los proveedores de servicios de seguridad gestionados, la compañía de seguros cibernéticos, los accionistas, los inversores, los proveedores y los líderes departamentales o elegidos.
• Asegure inmediatamente los datos o sistemas de copia de seguridad desconectándolos, y asegúrese de que las copias de seguridad están libres de malware.
• Póngase en contacto con las fuerzas del orden inmediatamente.
• Recoger y asegurar las partes parciales de los datos rescatados que puedan existir si están disponibles.
• Cambie todas las contraseñas de las cuentas en línea y las contraseñas de la red después de retirar el sistema de la red, si es posible, y cambie todas las contraseñas del sistema una vez que se haya eliminado el malware del sistema.
• Elimine los valores del registro y los archivos para impedir que el programa se cargue.
• Aplicar planes de respuesta a incidentes de seguridad y de continuidad de la actividad.
• Realice una revisión de la respuesta al incidente después del mismo y evalúe los puntos fuertes y débiles del plan de respuesta al incidente. 

¿Cómo se debe denunciar el ransomware a las fuerzas de seguridad?

El FBI solicita a las víctimas que se pongan en contacto con su oficina local del FBI y/o presenten una denuncia ante el Centro de Denuncias de Delitos en Internet con los siguientes detalles de la infección por ransomware (según corresponda).

• Fecha de la infección
• Variante de ransomware (identificada en la página del rescate o por la extensión del archivo cifrado)
• Información de la empresa víctima (tipo de industria, tamaño de la empresa, etc.)
• Cómo se produjo la infección (enlace en el correo electrónico, navegación por Internet, etc.)
• Cantidad de rescate solicitada
• Dirección del monedero Bitcoin del actor (puede aparecer en la página del rescate)
• Importe del rescate pagado (si lo hay)
• Pérdidas totales asociadas a una infección de ransomware (incluyendo el importe del rescate)
• Declaración de impacto de la víctima 

¿Deben las organizaciones pagar el rescate?

El FBI no apoya el pago de un rescate al adversario porque no garantiza que la víctima recupere el acceso a sus datos. De hecho, algunas personas u organizaciones nunca reciben las claves de descifrado después de pagar un rescate. Pagar un rescate envalentona al adversario para dirigirse a otras víctimas con fines lucrativos y podría incentivar a otros delincuentes a participar en actividades ilícitas similares para obtener beneficios económicos. Aunque el FBI no apoya el pago de un rescate, reconoce que los ejecutivos, cuando se enfrentan a problemas de inoperabilidad, evaluarán todas las opciones para proteger a sus accionistas, empleados y clientes.

Hay que tener en cuenta graves riesgos antes de pagar el rescate. USG no anima a pagar un rescate a los actores criminales. Sin embargo, después de que los sistemas se hayan visto comprometidos, pagar o no un rescate es una decisión seria, que requiere la evaluación de todas las opciones para proteger a los accionistas, empleados y clientes. Las víctimas querrán evaluar la viabilidad técnica, la oportunidad y el coste de reiniciar los sistemas desde las copias de seguridad. Las víctimas del ransomware también pueden querer considerar los siguientes factores:

• El pago de un rescate no garantiza que una organización recupere el acceso a sus datos; de hecho, algunas personas u organizaciones nunca recibieron las claves de descifrado después de pagar un rescate.
• Algunas de las víctimas que pagaron la demanda volvieron a ser objetivo de los ciberagentes.
• Después de pagar el rescate originalmente exigido, a algunas víctimas se les pidió que pagaran más para obtener la clave de descifrado prometida.
• Pagar podría fomentar inadvertidamente este modelo de negocio criminal. 

¿Qué medidas de prevención y continuidad existen?

• Invierta en resiliencia. Participe en ejercicios de ransomware para crear la memoria muscular en su organización para responder rápidamente y considerar las decisiones comunes asociadas con un ataque de ransomware. Mejore los conocimientos de sus equipos (no solo los de seguridad, sino todos los que deban participar en caso de ataque) para que puedan anticiparse, comunicarse, responder e identificar cualquier laguna en sus procesos o comunicaciones.
• Proteja sus datos. Los atacantes de ransomware más astutos entran en su sistema y eliminan la copia de seguridad antes de enviar las notas de rescate y cifrar los datos. Asegúrese de que sus datos críticos se archiven en una bóveda fuera de línea que esté separada del resto de sus sistemas. Si sus copias de seguridad permanecen en línea, asegúrese de separarlas de los sistemas de producción y utilice credenciales únicas para el acceso. 
• Proteja sus puntos finales. Dado que el ransomware se dirige a los puntos finales, centrarse en ellos reduce la probabilidad de compromiso inicial, promueve la detección temprana y minimiza la propagación. 
• Implantar un escaneo de disco y procesos/ejecución (EDR) basado en agentes para identificar y bloquear el software y los comportamientos maliciosos conocidos. 
• Implemente un IPS basado en la red que pueda identificar y eliminar el tráfico de red malicioso, así como bloquear dominios e IPs maliciosos conocidos. 
• Utilice el filtrado DNS para evitar el acceso a los dominios recién registrados y no verificados. 
• Limite el acceso administrativo remoto (RDP) y aplique la MFA. 
• Exija ejecutables y scripts firmados para evitar que se ejecuten ejecutables no autorizados o maliciosos en su entorno.
• Realice una gestión continua de parches priorizando la corrección de los sistemas públicos, remotos y de la joya de la corona.