El ransomware ha evolucionado desde ataques aleatorios hasta sofisticadas campañas orquestadas por cibercriminales que explotan vulnerabilidades de día cero para maximizar ganancias. Estos ataques ahora apuntan a industrias críticas con diversas técnicas de extorsión, al tiempo que aprovechan el ransomware como servicio (RaaS) para amplificar su impacto.
El ransomware es una de las mayores amenazas para la seguridad de una organización. Inicialmente, los ataques eran llevados a cabo por entidades aisladas que desarrollaban y distribuían automáticamente grandes cantidades de cargas útiles maliciosas a víctimas seleccionadas al azar y cobraban pequeñas cantidades de dinero por cada ataque «exitoso».
Hoy en día, estos ataques están evolucionando, se están industrializando al tiempo que son supervisados por entidades maliciosas movilizadas durante varias semanas.
El término ransomware, tal como se utiliza hoy en día, no solo se refiere al cifrado de datos.Se utiliza para describir ciberataques en los que un protagonista, motivado por intereses financieros, obtiene el control de los activos de una víctima y ejerce presión para extorsionarla.
Los atacantes han perfeccionado sus estrategias.Los ataques de ransomware se aprovecharon de las vulnerabilidades de día cero y enriquecieron el ransomware como servicio (RaaS) con nuevas tácticas de extorsión. Los objetivos de alto perfil están cada vez más en la mira, de ahí la necesidad de contar con mecanismos de defensa sólidos. El ransomware sigue siendo una preocupación importante, ya que los cibercriminales no solo están motivados por el beneficio económico, sino también por el deseo de notoriedad.
Vulnerabilidades de día cero
Los exploits de día cero son muy buscados y constituyen un mercado en crecimiento. En 2023, varios ataques importantes de ransomware explotaron vulnerabilidades de día cero. ¿La ganancia financiera de un ataque de ransomware contra múltiples víctimas justifica el costo del exploit de día cero necesario para llevarlo a cabo?
Durante el año pasado, Se ha observado un marcado aumento de ciberataques de ransomware a gran escala que afectan a un gran número de víctimasAlgunos de estos incidentes afectaron a cientos o incluso miles de empresas. Por ejemplo, el grupo RaaS CL0P aprovechó una vulnerabilidad de día cero en GoAnywhere, una herramienta de transferencia segura de archivos. Más de 130 empresas se vieron afectadas.
En 2023, CL0P explotó una vulnerabilidad de día cero y obtuvo acceso al software de transferencia de archivos MOVEitEste ataque supuso la vulneración de más de 2.600 empresas. CL0P ya había llevado a cabo un ataque similar en 2021 explotando vulnerabilidades de día cero en el software File Transfer Appliance de Accellion para acceder a las bases de datos de varios clientes. Todos estos ataques se seleccionaron cuidadosamente en función de la gran cantidad de clientes, la calidad de los datos y el potencial de crear víctimas adicionales.
CL0P decidió no cifrar los datos de las víctimas, pero sí Amenazó con exponerlos o venderlosEste tipo de extorsión puede tener consecuencias graves, incluso para las víctimas que realizan copias de seguridad con regularidad y utilizan procedimientos para restaurar sus datos. También reduce el riesgo de detección durante la fase de cifrado “ruidoso” de un ataque y evita que los cibercriminales tengan que gestionar claves de descifrado y las responsabilidades de “atención al cliente” asociadas con el descifrado de varios archivos.
El precio de estos exploits de día cero depende del sistema al que se dirigen y de la naturaleza de las vulnerabilidades. Puede oscilar entre unos pocos miles de dólares y 2,5 millones de dólares (en plataformas móviles). Los precios que se muestran públicamente en plataformas oficiales como Zerodium reflejan lo que sucede en los mercados clandestinos de delitos informáticos. La credibilidad de los vendedores en estos mercados depende de la reputación que hayan adquirido a través de transacciones anteriores y de los fondos depositados como garantía. Para obtener una comparación de precios, es posible comprar vulnerabilidades de Windows LPE en Zerodium por $80,000.
Las vulnerabilidades de día cero tienen una vida útil limitada. Cuanto más se las explota, más posibilidades hay de que se las detecte y se las solucione. A diferencia de añadir características a un malware, cualquier inversión en una vulnerabilidad de día cero, ya sea comprándola o desarrollándola, implica un coste recurrente que debe financiarse para cada campaña. Por tanto, este coste debe cubrirse con los ingresos generados por un ataque que tiene una vida útil relativamente corta.
Para que la explotación de día cero se convierta en una práctica común, el beneficio directo de cada ataque debe valer la pena. Según algunas estimaciones, CL0P podría ganar entre 75 y 100 millones de dólares solo con el ataque a MOVEitCalcular con precisión la cantidad de rescates pagados puede ser difícil, pero es razonable suponer que, al menos en algunos casos, los rescates superan con creces el coste de explotar una vulnerabilidad de día cero. Otros grupos con ánimo de lucro, como DarkCasino, han aprovechado la vulnerabilidad de WinRAR (CVE-2023-38831) para estafar a los comerciantes online. Zerodium ofrece un premio de 80.000 dólares por explotar una vulnerabilidad de día cero.
Tras el ataque a MOVEit, los ataques de ransomware continuaron explotando vulnerabilidades de día cero. Se observó que los actores de amenazas asociados con CL0P explotaban una vulnerabilidad de este tipo en el software de soporte de TI de SysAid. Más de 5000 clientes podrían verse afectados por esta vulnerabilidad.
Sitios de vergüenza
Ataques de ransomware, que explotan vulnerabilidades de día cero y utilizan “ sitios de vergüenza «La práctica de exponer públicamente a sus víctimas se ha convertido en algo habitual. Esta tendencia ha convertido al ransomware en una especie de competición entre cibercriminales. Las repercusiones de estos ataques van mucho más allá del simple pago del rescate: las empresas han tenido que asumir costes considerables para restaurar sus sistemas.
En 2023, los datos extraídos de casi 200 «sitios de la vergüenza» de ransomware fueron explotados por grupos que practicaban la doble extorsión68 de ellos han publicado los nombres y la información de las víctimas desde 2023. Los ciberdelincuentes utilizan estos sitios para presionar a las víctimas para que no paguen el rescate de inmediato. Los datos que proporcionan estos sitios de vergüenza son tendenciosos, pero aun así proporcionan información valiosa sobre el ecosistema del ransomware.
En 2023, 68 grupos de ransomware activos informaron haber… Penetró en los sistemas de más de 5.000 víctimas y los extorsionaron públicamente. Esta cifra supone un fuerte aumento en comparación con años anteriores. Los eventos relacionados con ransomware se han intensificado durante 2023. En el segundo semestre del año se registraron más de 2.800 víctimas.En comparación con los 2200 de la primera mitad del año, Lockbit fue el más activo durante este período, ya que representó el 21 % de los incidentes denunciados, o más de 1050 casos. Por lo general, los actores de amenazas dan a las víctimas entre una y dos semanas para cumplir con sus demandas de rescate. Dado que las víctimas que pagan no quedan expuestas públicamente, es probable que el número real de víctimas sea mucho mayor.
ALPHV, también conocido como BlackCat, atacó a más de 440 víctimas en 2023 y fue el centro de una operación policial. En diciembre, una operación liderada por Estados Unidos desmanteló los sitios web del grupo y lanzó una herramienta de descifrado.
Según CISA, la Agencia de Seguridad Cibernética y de Infraestructura de Estados Unidos, desde el inicio de sus operaciones, el grupo ha causado más de 1.000 víctimas y recibido rescates por un total de casi 300 millones de dólaresDesde entonces, el grupo ha reanudado sus actividades delictivas en la Dark Web.
Además, el 45% de las empresas afectadas se encuentran en Estados Unidos, seguido del Reino Unido (7%) y Canadá, Alemania e Italia (4% respectivamente). Asimismo, los ciberataques lanzados contra entidades rusas siguen siendo relativamente raros. MalasLocker, activo en la primera parte de 2023, ha optado por un enfoque poco convencional. Las tradicionales demandas de ransomware han dado paso a solicitudes de donaciones a organizaciones benéficas.
Las zonas más atacadas
Algunos sectores de actividad se ven más afectados que otros. De hecho, son principalmente los sectores de la educación, la administración, la salud y las finanzas los que se ven afectados. El panorama de las víctimas de ransomware sugiere lo contrarioLos sectores de fabricación y venta minorista tienen el mayor número de víctimas, mientras que las entidades gubernamentales y educativas ocupan un lugar más bajo en la jerarquía de objetivos. Solo en diciembre de 2023, grupos de ransomware de doble extorsión se atribuyeron la responsabilidad de ataques de ransomware contra importantes empresas como Coca-Cola Singapur (DragonForce), Nissan Motor Australia (Akira), Kraft Heinz (Snatch) y Xerox (Inc ransom).
Esta discrepancia puede explicarse por el hecho de que los sectores de la educación y el gobierno son menos propensos a pagar rescates en comparación con los sectores manufacturero y minorista. Estos sectores son el blanco de ataques principalmente por sus datos, en particular su información personal y técnica, no por ataques de extorsión en sí.
En resumen, identificar vulnerabilidades y comprender los métodos de los actores de amenazas son fundamentales para crear programas de ciberseguridad eficaces y sostenibles que permitan a las organizaciones mantenerse un paso por delante de sus adversarios cibernéticos. Con el auge del ransomware de día cero y una época en la que la tecnología evoluciona a un ritmo rápido, es urgente que las organizaciones adapten sus prácticas de seguridad y adopten nuevas medidas de protección.
____________________________
Par Eddy SiffletGerente de canal de preventa de Check Point Software Francia
Para más información: Informe de ciberseguridad 2024
Lea también:
Reducción de la complejidad cibernética
Ransomware: mil millones de dólares disponibles para la innovación criminal
Ransomware: ¿Pueden las empresas ganar la batalla?
5 conceptos erróneos sobre el ransomware…
Cambiando el paradigma: seguridad en la era del trabajo híbrido
¿Por qué la seguridad del correo electrónico aún está en duda?
[
