Ransomware - Cómo se propaga y cómo detenerlo

Lectura de 2 min aprox.

El ransomware es un tipo de malware que cifra los archivos de un equipo infectado para dejarlos inutilizables y exige un rescate (ransom) a cambio de su recuperación. Ataca a una amplia gama de víctimas, desde particulares hasta grandes empresas, instituciones médicas y organismos gubernamentales, y el daño puede detener la propia actividad. Desde la década de 2020, los ataques de doble extorsión (que, además de cifrar los datos, amenazan con publicar los datos robados) son la forma predominante, y la dificultad está en que la presión de ver los datos expuestos persiste incluso cuando los archivos se pueden restaurar desde copias de seguridad.

Antecedentes históricos

Se considera que el primer ransomware fue el "AIDS Trojan" de 1989, que se distribuía en disquetes. Sin embargo, no se convirtió en una amenaza seria hasta CryptoLocker en 2013. La difusión de criptomonedas como Bitcoin facilitó recibir rescates de forma anónima, lo que impulsó un fuerte aumento de los ataques. El ataque WannaCry de 2017 se propagó casi simultáneamente por muchas partes del mundo y dio a conocer ampliamente la amenaza del ransomware al público general. En la década de 2020 se ha consolidado un modelo de negocio llamado RaaS (Ransomware as a Service), que crea una situación en la que incluso delincuentes sin conocimientos técnicos pueden llevar a cabo ataques de ransomware.

Vías de infección

La vía de infección más común son los archivos adjuntos o los enlaces de los correos de phishing. Se utilizan documentos de Office con macros y archivos ejecutables que se hacen pasar por software legítimo. También son frecuentes las intrusiones que explotan vulnerabilidades del Protocolo de Escritorio Remoto (RDP). Se han notificado asimismo infecciones a través de kits de exploits que abusan de vulnerabilidades de software y mediante ataques a la cadena de suministro.

Casos de uso reales

El ransomware suele detectarse de noche o en fin de semana, justo cuando no está disponible todo el personal que puede decidir. Lo primero es desconectar de la red el equipo del que se sospecha: desenchufar el cable de red y desactivar la conexión inalámbrica. Si hay carpetas compartidas o almacenamiento en la nube sincronizando, los archivos cifrados sobrescribirán las copias sanas, así que hay que detener la sincronización al mismo tiempo. Apagar o no el equipo depende del plan de recuperación, por lo que conviene no reiniciar ni formatear por decisión propia y registrar antes lo que se ve (el texto del rescate en pantalla, el cambio de extensiones, la hora en que se detectó). Las únicas copias de seguridad útiles para la recuperación son las que estaban desconectadas de la red, así que saber de antemano hasta qué fecha permiten volver indica de inmediato si la recuperación es posible.

Flujo de infección

Prevención y contramedidas prácticas

Los aspectos básicos de la prevención son mantener siempre actualizados el sistema operativo y el software, no abrir archivos adjuntos sospechosos del correo y hacer copias de seguridad periódicas. Es importante guardar las copias de seguridad en un almacenamiento sin conexión, desconectado de la red. Un error común es esperar que «si pagas el rescate, recuperarás tus datos», pero se han notificado muchos casos en los que los datos no se recuperaron ni siquiera tras el pago, o en los que la víctima fue atacada de nuevo. Al proteger las cuentas de RDP y de los servicios en la nube con contraseñas aleatorias robustas y habilitar la autenticación de dos factores, se puede reducir considerablemente el riesgo de intrusión inicial.