Durante los primeros diez meses de 2022, los usuarios atacados con ransomware dirigido se han duplicado en comparación con el mismo periodo de 2021. Un crecimiento sorprendente que indica que los grupos dedicados a lanzar ransomware han continuado con sus técnicas. El último informe de Crimeware de Kaspersky descubre nuevas actividades del notorio ‘LockBit’ y el recién llegado ‘Play’, que usa técnicas de autopropagación.
De acuerdo con las soluciones de seguridad de Kaspersky, la cantidad de usuarios afectados por ransomware dirigido representó el 0,026% del total de los incidentes por malware en 2022, frente al 0,016% de 2021. El gráfico que se ofrece a continuación muestra cómo los cibercriminales están continuamente buscando oportunidades para realizar ataques con ransomware de precisión para lograr sus objetivos.
Las recientes investigaciones reflejan que los grupos dedicados al ransomware continúan mejorando sus técnicas. El ransomware ‘Lockbit’ sigue siendo uno de los más populares, innovadores y de rápido desarrollo utilizados en la actualidad. Dificulta la labor de los especialistas en seguridad cibernética al incorporar nuevas opciones y la práctica del dumping de credenciales. Esta técnica permite hacerse con el dominio del equipo infectado y crear un canal para restablecer las credenciales del sistema operativo.
Además, hay nuevas variantes de ransomware que emergen. A lo largo de 2022 han detectado más de 21.400 cepas.
Kaspersky ha descubierto recientemente ‘Play’, una variante de ransomware que dificulta el análisis. Su código no se parece a otras muestras de ransomware, pero afortunadamente ‘Play’ se encuentra en las primeras etapas de su desarrollo. Cuando se llevó a cabo la investigación no se pudo detectar el punto de fuga. El ransomware solicita a las víctimas, a través de la nota de rescate, que contacten con los ciberdelincuentes a través de una dirección de correo electrónico. Lo que llamó la atención de los analistas fue que ‘Play’ contiene una funcionalidad encontrada recientemente en otras variantes avanzadas de ransomware: la autopropagación. Los atacantes encuentran un bloque de mensajes de servidor (SMB) y realizan una conexión. A renglón seguido, ‘Play’ intenta montar el SMB mencionado anteriormente y distribuir y ejecutar el ransomware en el sistema remoto.
“Los desarrolladores de ransomware vigilan de cerca lo que hacen sus competidores. Si uno realiza una implementación de una determinada funcionalidad con éxito, existe una gran probabilidad de que otros lo repliquen. Esto hace que el ransomware sea más interesante para quienes lo utilizan. La autopropagación de ransomware es un claro ejemplo de esto. Cada vez más y más grupos de ransomware inventan técnicas que hacen los ataques más dirigidos y destructivos -y este año las estadísticas son una buena prueba de ello-. Otra cosa que no podemos dejar de recordar es la necesidad de hacer copias de seguridad periódicas y almacenarlas offline”, asegura Jornt van der Wiel, experto en seguridad de Kaspersky.
Para protegerse de los ataques de ransomware recomiendan:
- No usar servicios de escritorio remoto (como RDP) en redes públicas a no ser que sea estrictamente necesario. Utilizar siempre contraseñas fuertes.
- Instalar tan pronto como sea posible los parches disponibles para soluciones VPN comerciales que dan acceso en remoto a los empleados y actúan como puertas de enlace a la red.
- Centrar la estrategia defensiva en detectar movimientos laterales y la filtración de datos en internet. Prestar especial atención al tráfico saliente para detectar conexiones de ciberdelincuentes.
- Realizar copias de seguridad con regularidad, así como disponer de un acceso rápido a las mismas en caso de emergencia. ·
- Usar la última información de inteligencia frente a amenazas para estar al tanto de las Tácticas, Técnicas y Procedimientos (TTP) utilizados.
