Los incidentes relacionados con el ransomware van en aumento y, tal y como hemos podido comprobar en los titulares de , ningún sector se libra de ellos.
La Agencia de Seguridad Cibernética y de Infraestructuras ( ) del Gobierno federal de EE. UU. ha instado a los responsables de organismos y empresas a protegerse mediante la aplicación de las prácticas recomendadas básicas de higiene cibernética .
Volver a los fundamentos de las operaciones y la seguridad informáticas es el primer paso para ayudar a su organización a evitar el peor de los casos.
Vea este breve webcast para obtener más información sobre los ataques de ransomware y cómo ayudar a prevenirlos.
https://youtu.be/41n5NaBgF5o
¿Qué es el ransomware?
El ransomware es un tipo de malware diseñado, en la mayoría de los casos, para cifrar datos y archivos en las redes de las víctimas. Las organizaciones afectadas por un ransomware reciben, en la práctica, un ultimátum por parte de sus atacantes: paguen y recibirán la clave de descifrado, o perderán para siempre sus datos críticos para el negocio.
Dado que muchas organizaciones siguen las recomendaciones sobre buenas prácticas y realizan copias de seguridad de los datos fuera de línea, los extorsionadores han comenzado recientemente a sustraer información confidencial antes de cifrarla. Esto les somete a una presión adicional para que paguen o, de lo contrario, se publiquen en Internet los datos personales de sus clientes y empleados o sus secretos comerciales. Algunos grupos han llegado incluso a ampliar sus tácticas de extorsión para incluir ataques DDoS y ponerse en contacto con clientes, accionistas y otras personas con el fin de aumentar aún más la presión.
El reto al que se enfrentan hoy en día las organizaciones es que el modelo de «ransomware como servicio» (RaaS) ha reducido considerablemente las barreras de entrada para los grupos de ciberdelincuentes «afiliados». Mientras las víctimas sigan pagando —a menudo con el reembolso de las pólizas de seguro cibernético—, el número de ciberdelincuentes que se sumen a esta actividad no hará más que aumentar.
¿Cómo se producen los ataques?
Aunque los distintos grupos de ciberdelincuentes tienen preferencias diferentes, un ataque típico de ransomware suele constar, a grandes rasgos, de cuatro fases clave. A saber:
- El ransomware se introduce en el entorno empresarial.
Esto suele ocurrir a través de un correo electrónico de phishing del tipo « » ( ) que logra burlar el filtro de su proveedor de acceso. Otra táctica muy utilizada consiste en buscar puertos abiertos del protocolo de escritorio remoto (RDP) y, a continuación, secuestrar servidores remotos utilizando datos de acceso que hayan sido objeto de filtraciones previas o mediante ataques de fuerza bruta contra las contraseñas.
- Se ejecuta el ransomware.
Esto suele producirse cuando un usuario abre un documento malicioso de Microsoft Office que contiene macros.
- El ransomware aprovecha las vulnerabilidades de los terminales y/o de la red con cierto nivel de permisos.
Si el usuario o el equipo objetivo no dispone de permisos suficientes para permitir un movimiento lateral amplio, esto limitará en gran medida el impacto potencial del ataque. Por eso, el autor de la amenaza suele intentar elevar sus privilegios, normalmente aprovechando una vulnerabilidad del sistema. El movimiento lateral suele llevarse a cabo utilizando herramientas legítimas y binarios «living off the land» para permanecer oculto.
- Es hora de que el departamento de seguridad informática actúe
Si un ataque ha logrado burlar la seguridad de la empresa, corresponde a los equipos de respuesta ante incidentes limitar rápidamente su impacto. Un plan de respuesta ante incidentes bien diseñado y sometido a pruebas frecuentes puede marcar una gran diferencia en este sentido.
¿Cómo puedo prevenir el ransomware?
Si su organización se ha preparado adecuadamente para los pasos anteriores, estará en condiciones de mitigar los riesgos cibernéticos derivados del ransomware. Cuanto antes se pueda detener el ataque durante la fase de ejecución, mejor.
A continuación le ofrecemos una breve lista de verificación que recoge las medidas administrativas, de procesos y técnicas que pueden mejorar la resiliencia de su organización.
- Mantenga copias de seguridad fuera de línea
- Mantenga imágenes de referencia de los sistemas críticos para que puedan reconstruirse
- Mantener y poner a prueba un plan de respuesta ante incidentes
- Actualizar periódicamente y llevar a cabo programas de sensibilización en materia de seguridad dirigidos al personal
- Realice análisis periódicos de vulnerabilidades
- Asegúrese de que sus dispositivos estén siempre actualizados y cuenten con los parches correspondientes
- Bloquee el puerto SMBv1 y utilice únicamente SMBv3+
- Bloquear las conexiones externas a los puertos SMB
- Proteger los puntos finales RDP conectados a Internet
- Implemente un antivirus actualizado en todos los sistemas
- Considere la posibilidad de utilizar una lista blanca de aplicaciones
- Gestionar a los proveedores externos mediante un programa de gestión de riesgos de proveedores
- Utilice la autenticación multifactorial (MFA) siempre que sea posible
- Utilice contraseñas seguras y únicas
- Sepa qué activos tiene y dónde se encuentran, gracias a diagramas de red actualizados
- Restrinja el uso de PowerShell; utilice la última versión (5.0)
- Proteja y aplique parches a los controladores de dominio
Cómo puede ayudarle Tanium
Según el informe « » de Verizon sobre seguridad de datos , el 2021, 10 % de las filtraciones de datos estuvieron relacionadas con el ransomware, lo que supone el doble de la cifra del año pasado. Afortunadamente, Tanium ofrece una amplia gama de funciones para mejorar la resiliencia de su organización frente a los ataques, aumentar la visibilidad y el control, y agilizar la respuesta ante incidentes. A continuación le explicamos cómo hacerlo:
Gestión de activos
No se puede gestionar lo que no se ve. Basta con un solo equipo vulnerable para que los autores de ataques de ransomware dispongan de un punto de acceso a la red. Tanium le ayuda a localizar esos sistemas.
Aplicación de parches
Tanium ayuda a su organización a garantizar que los terminales de su red de acceso de confianza ( ) cuenten con los parches necesarios, lo que reduce la superficie de ataque de la empresa. Si los atacantes aprovechan nuevas vulnerabilidades, como ocurrió con el infame «ransomware» WannaCry, Tanium puede aplicar parches con rapidez y a gran escala para limitar sus posibilidades de acción.
Gestión de la configuración
El ransomware suele aprovechar los recursos compartidos abiertos o los errores de configuración. Tanium puede ayudarle de forma proactiva a identificar y solucionar estos problemas, mientras que Tanium Enforce puede limitar la exposición al garantizar que los terminales estén protegidos contra los ataques y cumplan con la política corporativa.
Limitación del movimiento lateral
Tanium Impact ayuda a las organizaciones a limitar el movimiento lateral en un entorno. Los sistemas afectados, incluidos los dispositivos externos, pueden ponerse en cuarentena desde el nivel de los terminales sin necesidad de recurrir a una tecnología específica de cortafuegos. Asimismo, nos integramos con dispositivos de red para bloquear el acceso a través de Cisco ISE o Palo Alto. Tanium Enforce puede ayudar a restringir el acceso a la red mediante la configuración de los cortafuegos de los equipos.
Restricción o revelación de datos sensibles
Tanium Reveal le ayuda a identificar dónde se encuentran los datos confidenciales en su entorno, lo que le permite tomar medidas adicionales para reducir la exposición al ransomware.
Identificación
Tanium Signals puede identificar posibles actividades de ransomware y alertar a los administradores para que tomen medidas.
Prevención
Tanium Enforce puede aplicar listas de permitidos mediante AppLocker para impedir que se ejecuten archivos ejecutables no autorizados en los terminales.
Definición del alcance
Si su organización ya ha sido infectada por un ransomware, Tanium puede identificar cuántos archivos han sido cifrados y limitar los daños adicionales mediante Tanium Live Response y Tanium Index.
Solicite una evaluación gratuita de riesgos de « » en.
