6 etapas de la anatomía de un ataque de ransomware

A nivel básico, el proceso del ransomware es el siguiente: el ciberdelincuente invade un ordenador y copia los datos a un servidor externo protegido mediante cifrado, dejando los archivos de la víctima inaccesibles. Estos archivos aparecen en su computadora, pero no se pueden abrir. En ese momento, el delincuente exige un rescate para enviar el código que desbloqueará los archivos.

Si no se paga el rescate, la víctima pierde el acceso a los archivos y su confidencialidad, haciendo posible que toda la información sea publicada. Afecta a todos, a empresas de distintos tamaños, de distintos ámbitos e incluso a los propios consumidores.

Para comprender mejor cómo funcionan, a continuación le mostramos la anatomía de una invasión de ransomware en 6 pasos.

FASE 1 – Distribución

La forma más común de propagación del malware es a través del phishing. Normalmente, en el contexto de la ingeniería social, donde el delincuente busca identificar páginas o información que podría engañar a la víctima para que acceda al enlace fraudulento, al archivo adjunto del correo electrónico o al archivo descargable que contiene el virus.

No ocurre sólo a través del correo electrónico, hay muchos anuncios en sitios web, aplicaciones y software para descargar y, en casos extremos, pendrives que los delincuentes dejan en lugares estratégicos o llevan a empresas con alguna excusa para que alguien los abra.

Aunque ya es bien conocida por todos, esta técnica es eficaz porque utiliza la curiosidad y la credulidad de las personas como cebo. Una de cada cuatro personas abre mensajes de phishing y una de cada diez, además de abrirlos, sigue accediendo a los enlaces, archivos adjuntos y archivos infectados presentes.

FASE 2 – Infección

A partir de este momento, cuando se accede al archivo o enlace infectado, se inserta en el ordenador un código que contiene malware, iniciando procesos obligatorios para completar tareas maliciosas. Este es el paso que varía según el malware que se esté ejecutando, lo que puede ocurrir al actualizar o apagar la máquina, al abrir un programa específico en la computadora o bajo cualquier otra circunstancia.

Es a partir de esta acción que el código se activa, inhabilitando copias y sistemas de reparación y recuperación de errores, programas de defensa y otros.

FASE 3 – Comunicación

Una vez activo, el malware comienza a comunicarse con los servidores de claves de cifrado, obteniendo la clave pública que le permite cifrar los datos de la víctima. Es en estos servidores donde se almacenan los códigos para modificar archivos. Empiezan a funcionar desde el momento en que se conecta el malware.

PASO 4 – Buscar archivos

El ransomware escanea sistemáticamente la computadora de la víctima en busca de archivos de sistema específicos que sean importantes para el usuario y que no puedan replicarse fácilmente, como archivos con la extensión .jpg, .docx, .xlsx, .pptx y .pdf.

PASO 5 – Cifrado

Es en esta etapa donde se realiza el proceso de mover y renombrar los archivos identificados en el paso anterior, mezclando la información para que el sistema informático del usuario ya no pueda brindar acceso al usuario, siendo ahora necesario descifrarlos para recuperarlos.

PASO 6 – Demanda de rescate

Normalmente, primero aparece una advertencia en la pantalla de la computadora infectada. Así, el hacker advierte que se ha apoderado de los datos y que sólo los devolverá si el usuario paga un rescate. Una vez realizado el pago, el ciberdelincuente envía a la víctima la clave de cifrado que desbloqueará el ordenador.

Pero, ¿por qué no se detecta a los ciberdelincuentes que lanzan ataques de ransomware?

Hay dos motivos principales que impiden que los hackers sean castigados e identificados: la IP utilizada en el ataque y el método de pago elegido.

Enmascaramiento de IP: Los piratas informáticos responsables de los ataques de ransomware pueden cambiar su IP, es decir, su ubicación, confundiendo a las autoridades y haciendo casi imposible identificar de dónde provienen los mensajes que exigen un rescate.

Método de pago: Los rescates por ataques de ransomware se exigen en bitcoin, que es una moneda virtual, lo que dificulta rastrear al destinatario del pago.

Debido a la aparente simplicidad de la anatomía de los ataques y a la gran dificultad para encontrar y castigar a los delincuentes, todas las empresas y todos los usuarios deben permanecer atentos a la seguridad de sus redes