Hace unos días, la empresa norteamericana Backblaze publicó su reciente experiencia de ransomware. Anteriormente en el artículo ¿Qué es el ransomware? mencionamos que se trata de un mecanismo digital de extorsión, generalmente mediante el cifrado de la información.
En la publicación de Backblaze se detalla cómo una de sus empleadas del departamento de contabilidad al abrir un archivo adjunto en un correo electrónico (aparentemente del correo de voz), desencadenó una infección por ransomware en su sistema. Así, mientras “Elli” terminaba de empacar sus cosas para irse a casa, cada uno de los archivos en su PC fueron codificados. Un momento después, notó algo extraño, la imagen de fondo en el escritorio había desaparecido, sustituyéndola una imagen genérica de un campo de flores. Abrió una carpeta, lo que esperaba ver era lo siguiente:
Pero esto es lo que realmente vio:
Al no comprenderlo, “Elli” llamó al departamento de TI. Después de revisar el equipo, el encargado preguntó acerca de las acciones más recientes en el equipo, por lo que ella le indica el correo electrónico abierto en la esquina de la pantalla. El encargado preguntó acerca del archivo adjunto, cuando ella le confirma que lo abrió, le informa que el equipo ha sido atacado por un ransomware, así que lo desconecta de la red inalámbrica, desconecta el cable de red, apaga el equipo y desconecta el disco duro. Posteriormente la unidad infectada fue puesta en una sandbox como medida de seguridad para evitar que otros equipos en la red fueran infectados.
Cuando el ransomware procesa los archivos del equipo, incluye algunos archivos “de ayuda”. En los que se dan las indicaciones para que el usuario pueda recuperar sus archivos mediante el pago del rescate.
“Elli” no pagó el rescate, debido a que sus archivos se recuperaron de una copia de seguridad. Sin embargo, es importante mencionar que las diferentes versiones de ransomware pueden complicar el proceso de recuperación de datos. Algunos ataques retrasan su inicio, esperando un periodo de tiempo hasta una fecha específica antes de iniciar el proceso de cifrado. En ese caso, la copia de seguridad tendría que ser capaz de retroceder hasta una fecha previa a la infección para hacer la recuperación de archivos. Algunos ataques intentarán cifrar otras unidades a las que se tenga acceso, por ejemplo la unidad de copia de seguridad local. Por esta razón, es importante una copia de seguridad interna y una externa.
Ingeniería social
Usualmente los atacantes utilizan la ingeniería social para lograr sus objetivos. La ingeniería social se puede definir como la «manipulación psicológica para la realización de acciones o divulgación de información confidencial». En este caso hubo varios trucos:
- El correo electrónico tenía en el destinatario el nombre completo de la empleada.
- Era normal en su oficina recibir mensajes de correo electrónico con archivos adjuntos desde el sistema de correo de voz.
- Era normal en su oficina recibir mensajes desde QuickBooks (software de contabilidad).
Es difícil saber si ella fue solo una de las millones de personas atacadas por ransomware o, como es más probable, “Elli” fue víctima de un ataque dirigido. Los ataques dirigidos, también conocidos como spear phishing, requieren que el atacante obtenga información detallada sobre el blanco para que el correo electrónico parezca lo más auténtico posible. Encontrar la información necesaria para crear un correo electrónico creíble es tan fácil como ingresar al sitio web de la empresa y hacer un poco de investigación en sitios sociales como Facebook, LinkedIn, Google +, entre otros.
Sería fácil culpar a “Elli” por permitir que el sistema se infectara, pero hubo varios errores. Ella estaba usando un navegador para acceder a su correo electrónico en la nube, pero el sistema de correo no bloqueó el mensaje que contenía el malware. Ni el navegador, ni el sistema de correo le advirtieron que el archivo ZIP adjunto contenía un archivo ejecutable. Por último, tampoco el antivirus no detectó nada al descargar y descomprimir el archivo de malware.
El número de ataques ransomware se incrementa de manera constante, también el uso de la ingeniería social por parte de los atacantes es cada vez más frecuente, con lo cual la posibilidad de convertirse en víctima de un ataque será mayor. Además de las medidas de seguridad preventivas, es necesario tomar acciones para identificar y responder cuanto antes a un ataque para evitar sus terribles consecuencias.
