FacebookXLinkedInCorreo electrónicoWhatsAppInstagram

Ransomware

Gobierno de Baltimore atacado por ransomware

2019-05-27T11:22:13+02:00mayo 27, 2019|Internet, Seguridad|

El gobierno de Baltimore fue atacado por ransomware que ha paralizado sus sistemas durante más de dos semanas.

Los atacantes exigieron un rescate de USD$100,000 en Bitcoins después de secuestrar los servidores del gobierno el 7 de mayo.

El ransomware ha bloqueado las cuentas de correo electrónico y ha desactivado los pagos en línea a los departamentos de la ciudad. Sin embargo, los funcionarios de Baltimore se han negado hasta ahora a pagar el rescate.

El alcalde, Bernard «Jack» Young, reconoció que no está claro cuándo volverán a funcionar los sistemas esta vez.

Más de 1,500 ventas de casas se han retrasado porque los piratas informáticos dejaron la ciudad sin poder notificar a las aseguradoras si los vendedores tenían algún gravamen no pagado. Esta semana se lanzó una «solución manual» para permitir que se realicen transacciones de bienes raíces durante la interrupción del servicio.

Mientras 10,000 computadoras del gobierno están bloqueadas, los ciudadanos no pueden acceder a los sitios en línea para pagar sus facturas de agua, impuestos a la propiedad y multas de estacionamiento.

Atlanta, Georgia, fue golpeada con una brecha similar en marzo de 2018. Los medios locales informaron que para recuperarse del ataque, el costo para la ciudad fue de 17 millones de dólares.

Afortunadamente para Atlanta, la ciudad tenía un ciberseguro que ayudó a pagar su recuperación digital. Baltimore no tenía tal política antes del ataque de este mes.

«Esto está impactando a las ciudades en todo el país», dijo el portavoz del alcalde de Baltimore. «No es una cuestión de si, es una cuestión de cuándo».

La brecha de Baltimore refleja un amplio aumento en los ataques de ransomware, a lo que muchas gobiernos han respondido con lentitud.

Los ataques por ransomware se incrementan rápidamente por lo cual, en Adaptix Networks destacamos la importancia de implementar soluciones de seguridad integrales, con software y dispositivos para la protección de la red empresarial, software antimalware para todos los equipos, generación de respaldos y copias de seguridad.

Fuente https://www.bbc.com/news/world-us-canada-48371476

Más información

Alcance del Ransomware en Bitcoin

2018-05-09T13:53:56+02:00mayo 9, 2018|Internet, Seguridad|

Mediante una investigación se han rastreado cuentas de pago en Bitcoin asociadas a ataques ransomware, los rescates conseguidos son cifras que ascienden a millones de dólares.

El ransomware es uno de los tipos de malware que más preocupación han generado en los últimos años. El funcionamiento de este se basa en restringir el acceso a los archivos del equipo de cómputo de un usuario hasta que se pague un rescate. Entre sus víctimas se incluyen el Servicio Nacional de Salud británico, la compañía de telecomunicaciones española Telefónica y el gigante petrolero ruso Rosneft, además de muchos otros.

Por lo general, los afectados deben pagar un rescate en Bitcoin equivalente a algunos cientos de euros para poder liberar sus archivos. A menudo el costo aumenta con el tiempo hasta llegar a una fecha límite en la que, se supone, se destruyen los archivos. Muchas compañías e individuos no han tenido más remedio que realizar el pago.

Los ciberdelincuentes usan Bitcoin porque proporciona una forma aparentemente anónima de recopilar y realizar los pagos.

Como resultado del trabajo del investigador Mauro Conti de la Universidad de Padua (Italia) y su equipo, hoy se tiene una idea de la cantidad de Bitcoin generado a causa del ransomware. Así lo informa una reciente publicación del sitio web MIT Technology Review.

El equipo de investigación ha creado una base de datos de cuentas de Bitcoin utilizadas por criminales de estos programas de secuestro y han sumado los rescates que se les han pagado. El resultado es un análisis exhaustivo de los avances logrados por los ciberdelincuentes de esta área emergente del cibercrimen.

Aunque los ataques por ransomware pueden solicitar el pago en diferentes monedas, Conti y sus colegas se han centrado solo en aquellos que solicitan el rescate en Bitcoin. Esto se debe a que las transacciones en esta criptomoneda se registran abiertamente y se pueden ver de forma gratuita. Por eso, en principio, debería ser posible calcular con exactitud cuánto recibe cada cuenta.

El equipo comenzó creando una base de datos de cuentas de Bitcoin asociadas a este tipo de actividad desde 2013. Ese fue el año en el que el ransomware Cryptolocker se convirtió en el primero en solicitar el rescate en Bitcoin.

Para cada tipo de malware, obtuvieron una visión general de la forma en que funciona y se propaga, y de su evolución a lo largo del tiempo.

No todos los pagos realizados a estas cuentas son necesariamente a los ataque por ransomware. Así que los investigadores desarrollaron una forma de distinguir este tipo de movimientos entre el resto. Para ello, buscaron los pagos que correspondían a las cantidades específicas que se exigen como rescates.

El ataque de ransomware que más beneficios consigue es CryptoWall, que comenzó a atacar a los equipos con el Sistema Operativo Windows en noviembre de 2013. El programa de secuestro cifró los archivos utilizando el algoritmo de encriptación RSA-2048 y luego exigió un pago de hasta 1,400 dólares (unos 1,137 euros) para liberarlos.

El valor total de los pagos recibidos por las direcciones de Bitcoin investigadas fue de más de 45 millones de dólares (más de 36 millones de euros). La mayoría de estas transacciones no habían sido vinculadas de manera directa con los rescates con anterioridad.

Llama la atención el caso de WannaCry, que recibió una gran cobertura mediática ya que el malware se extendió de manera muy amplia. Pero el ataque fue frustrado por el investigador de ciberseguridad Marcus Hutchins, quien descubrió y activó un interruptor integrado de emergencia, evitando que el ransomware fuera más destructivo.

El equipo también analiza otros tipos de malware que solicitaron un rescate, pero que parece que no han recibido ninguno tan sustancial. Entre ellos, TeslaCrypt, Hi Buddy! y KillDisk.

Los ataques por ransomware se incrementan rápidamente por lo cual, en Adaptix Networks destacamos la importancia de implementar soluciones de seguridad integrales, con software y dispositivos para la protección de la red empresarial, software antimalware para todos los equipos, generación de respaldos y copias de seguridad.

Fuente https://www.technologyreview.es/s/10173/el-lucrativo-alcance-de-los-ataques-ransomware-en-bitcoin

 

Más información

Ciberataque por ransomware en Atlanta

2018-04-23T18:34:32+02:00abril 23, 2018|Internet, Seguridad|

Funcionarios de Atlanta trabajaron en la restauración de sistemas críticos atacados a lo largo de nueve días, lo que provocó en la metrópoli del sureste de Estados Unidos un caos tecnológico.

Según la información publicada por Reuters, el ransomware SamSam comenzó a propagarse a través de los sistemas informáticos de la ciudad para después exigir un rescate de $51,000 USD, que no fueron pagados.

Tres concejales tuvieron que compartir una misma computadora portátil mientras trataban de reconstruir los registros. El concejal Howard Shook dijo a la agencia de noticias que la situación era ‘extraordinariamente frustrante’, en cuya oficina se perdieron 16 años de registros digitales.

Los ataques de ransomware han aumentado en los últimos años a medida que los ciberatacantes han pasado de atacar computadoras individuales a grandes organizaciones, incluidas empresas, centros médicos y agencias gubernamentales.

Aunque los funcionarios de Atlanta han declarado que no creen que la información de los ciudadanos esté en manos de los ciberdelincuentes, en realidad no se sabe con certeza. Tampoco han revelado hasta qué punto los servidores designados al respaldo de información se han corrompido o qué tipo de información creen que es irrecuperable.

El ransomware SamSam es particularmente avanzado y  se infiltra mediante la explotación de vulnerabilidades o contraseñas débiles en los sistemas. Eso significa que los atacantes no necesitan lanzar ataques de ingeniería socia para su propagación, lo hace fácilmente a través de protocolos de escritorio remoto, servidores web basados ​​en Java, servidores de transferencia de archivos y otros componentes de redes públicas.

La ciudad estaba comenzando a implementar algunas de las recomendaciones resultado de una auditoría de seguridad realizada en enero pasado, en la cual se informó de «una gran cantidad de vulnerabilidades que han existido por tanto tiempo que las organizaciones se han vuelto complacientes y han dejado de tomar las medidas necesarias». La auditoría también indicaba que «los departamentos encargados de lidiar con las miles de vulnerabilidades no tienen suficiente tiempo o las herramientas para analizar y tratar adecuadamente los sistemas».

Los ataques por ransomware se incrementan rápidamente por lo cual, en Adaptix Networks destacamos la importancia de implementar soluciones de seguridad integrales, con software y dispositivos para la protección de la red empresarial, software antimalware para todos los equipos, generación de respaldos y copias de seguridad.

Fuente https://www.reuters.com/article/us-usa-cyber-atlanta/with-paper-and-phones-atlanta-struggles-to-recover-from-cyber-attack-idUSKBN1H70R0

 

Más información

Evaluaciones posteriores a WannaCry revelan vulnerabilidades

2018-02-06T12:27:10+01:00febrero 6, 2018|Internet, Seguridad|

Durante el ataque de ransomware WannaCry registrado en mayo de 2017, algunos hospitales en Reino Unido fueron afectados, derivando en la cancelación de por lo menos 7,000 consultas médicas y con ello, la suspensión del tratamiento a pacientes.

WannaCry es un tipo de malware conocido como gusano ransomware, capaz de viajar de máquina a máquina infectando nuevas computadoras en redes corporativas. Después de infectar una nueva máquina, trabaja silenciosamente para infiltrarse dentro del sistema operativo, posteriormente inicia el proceso de cifrado de la información y el reinicio del equipo, con lo cual al usuario se le imposibilitará el acceso hasta que cuente con la clave de cifrado. A las víctimas se les exigió un rescate de USD $300 (£ 214) por dicha llave.

Posteriormente se indicó que una de las causas del ataque fue que los hospitales afectados no habían instalado los parches para el sistema operativo Windows, disponibles con anterioridad al ataque.

En una audiencia parlamentaria, funcionarios del Departamento de Salud (DoH) indican que ninguna de las 200 organizaciones sanitarias inspeccionadas cumple con los estándares nacionales de seguridad establecidos, así lo informa recientemente una publicación en The Guardian. El subdirector general del NHS (Servicio Nacional de Salud) Digital, Rob Shaw, informó que de las 200 evaluaciones, en ninguna se obtuvieron resultados que alcanzaran el nivel establecido.

La Oficina Nacional de Auditoría (NAO) indicó que no fue posible para el DoH establecer un costo por el impacto del ataque, y que probablemente nunca se sabrá la magnitud del daño.

Fuente https://www.theguardian.com/technology/2018/feb/05/every-nhs-trust-tested-for-cyber-security-has-failed-officials-admit

Más información

Cómo protegerse frente al Ransomware

2017-10-06T10:08:58+02:00octubre 6, 2017|Internet, Seguridad|

La palabra ransomware evoca imágenes de datos pérdidos, sistemas bloqueados y organizaciones enteras paralizadas, le ha ocurrido a hospitales, empresas, agencias gubernamentales, entre muchos otros, es una amenaza que no deja de crecer.

Los registros de Kaspersky Lab indican un incremento del 48.3% en el número de usuarios afectados por ransomware desde 2015. Se trata de un mercado en crecimiento para los cibercriminales que no muestra signos de ralentización. Los atacantes utilizan al ransomware para hacerse con el control del equipo de una víctima de distintas formas: cifran los archivos, bloquean la pantalla y exigen un pago, o cambian el registro de arranque maestro para interrumpir el proceso normal de inicio. Una vez que tienen el control del equipo, los cibercriminales piden un rescate a la víctima en bitcoins para recuperar su información, muchas víctimas pagan para conseguir la clave de descifrado sin ninguna garantía de que realmente obtendrán acceso a sus archivos.

Existe una mejor manera de proteger a su empresa u organización: con la solución de seguridad de varios niveles de Kaspersky Lab se obtiene protección contra ransomware tanto de sus estaciones de trabajo como de servidores.

Los productos de Kaspersky Lab ofrecen protección desde diversos ángulos, gracias a una amplia gama de sofisticadas tecnologías que permiten distinguir patrones sospechosos, bloquear actividades maliciosas y revertir acciones perjudiciales, inlcuido el cifrado de archivos.

Como la mayoría del ransomware llega a través del correo electrónico, la tecnología antiphishing de Kaspersky Lab proporciona una primera y vital línea de defensa, mediante el siguiente enfoque: comprobar la información, comparándola con una base datos local antiphishing en el dispositivo y a continuación, comprobar las direcciones URL en la amplia base de datos de sitios de phishing con la que cuenta Kaspersky Lab, que se actualiza contínuamente mediante datos recopilados a través de Kaspersky Security Network. Por último, el análisis eurístico examina docenas de síntomas de phishing y los clasifica en función de los métodos conocidos que son utilizados por los atacantes.

La tecnología System Watcher de Kaspersky Lab se integra en el núcleo de la protección contra ransomware, supervisa las aplicaciones que se ejecutan en los equipos y se basa en firmas de flujo de comportamiento, que examinan una secuencia de acciones, si se detecta una acción maliciosa, el malware se bloquea y los cambios se revierten. En el nivel del servidor, la amenaza a la que se enfrenta es muy distinta, si bien el servidor en si podría no estar infectado, el malware ejecutado en un equipo infectado podría tomar como rehén los datos del servidor, la tecnología anti-cifrado supervisa los datos almacenados en los servidores en busca de signos de información dañada y permite que la empresa esté protegida contra los efectos dañinos del ransomware.

Proporcione a su empresa la capacidad para protegerse contra los ciberataques avanzados con las soluciones de Kaspersky Lab. Le invitamos a ponerse en contacto con nosotros para proveerle más información  respecto al apoyo que Adaptix Networks puede brindar a su empresa en software de seguridad y las herramientas corporativas de Kaspersky Lab.

(Video https://www.youtube.com/watch?v=c0JtVCqRCg8)

Más información

Ransomware en América Latina

2017-09-26T12:08:12+02:00septiembre 26, 2017|Seguridad|

Los ataques por ransomware en América Latina se han incrementado anualmente alrededor de un 30% entre 2014 y 2016, de acuerdo con información revelada por Kaspersky Lab en la Séptima Cumbre Latinoamericana de Analistas de Seguridad.

Brasil encabeza la lista de los países latinoamericanos con mayor número de secuestros de datos con el 54.91% de los ataques, seguido por México con el 23.40% y Colombia con 5%.

Según los datos de Kaspersky Lab, los ataques de ransomware son dirigidos principalmente al sector salud, además de pequeñas y medianas empresas. La mayoría de estos ataques se realizan a través de acceso remoto, aprovechando contraseñas débiles o servicios configurados de forma incorrecta.

“La amenaza con mayor impacto en América Latina entre 2016 y 2017 ha sido, sin duda, el secuestro de datos. El incremento en la cantidad de ataques dirigidos ha sido notorio y no solo en la región, sino también en el resto del mundo, se ha convertido en una epidemia global que ha causado pérdidas millonarias y daños irreparables en distintas industrias y que, por ahora, no parece detenerse”, afirma Santiago Pontiroli, analista de seguridad para Kaspersky Lab en América Latina.

Algunos ejemplos emblemáticos de estos ciberataques son Petya o PetrWrap, HDD Cryptor, y el ya reconocido WannaCry que infectó más de 200 mil equipos alrededor del mundo, 98% de los cuales utilizaban sistemas Windows 7. En América Latina, la mayor propagación de WannaCry se dio en México y Brasil, seguido por Chile, Ecuador y Colombia.

“El uso de exploits como EternalBlue y backdoors como DoublePulsar ayudaron a la propagación automática de WannaCry en redes internas, lo que permitió a los cibercriminales recaudar cerca de $100 mil dólares, pero cuyos daños superaron con creces esa cifra al interior de las empresas afectadas”, explica Pontiroli.

Algo parecido ocurrió con Schroedinger’s Pet(ya) un ransomware con fines de sabotaje que afectó principalmente a Ucrania, Rusia y otros países de Europa Oriental, y que fue distribuido a través de un software legítimo comprometido, así como sitios de noticias ucranianos. Este malware destruyó archivos sin posibilidad de recuperación y fue propagado dentro de redes internas mediante exploits como EternalBlue y EternalRomance.

En Adaptix Networks recomendamos las soluciones de Kaspersky Lab para la protección antimalware. Le invitamos a ponerse en contacto con nosotros para proveerle más información al respecto, así como los casos de éxito con nuestros clientes.

 

Más información

Ransomware, crimen multimillonario

2017-08-07T17:08:44+02:00agosto 7, 2017|Internet, Seguridad|

Una publicación del sitio PCMag revela que el pago del rescate por ataques de ransomware de las variantes más comúnes, genera ‘decenas de millones’ de dólares en ingresos para los criminales.

El ransomware se ha convertido en un negocio ilícito multimillonario, según un estudio realizado por Google, la empresa de seguridad Bitcoin Chainalysis, la Universidad de California en San Diego y la Universidad de Nueva York.

El ecosistema del ransomware está actualmente dominado por unos cuantos, como Locky y Cerber. Locky, el primer ransomware con ganacias mayores al millón de dólares por mes, ha recaudado aproximadamente$ 7.8 millones. Cerber, que introdujo el ascenso del ransomware como servicio, acumula alrededor de 200,000 dólares por mes durante más de un año, 6.9 millones de dólares hasta la fecha.

CryptoLocker, CryptXXX, SamSam, CryptoWall, AlNamrood, TorrentLocker, Spora, CoinVault, y WannaCry también continúan acumulando ganancias.

El estudio también señala que sólo el 37% de los usuarios respaldan sus datos, lo que complica cada vez más el escenario.

El mes pasado, el ciberataque generado por Petya mantuvo luchando por recuperar sus sistemas y sus datos a agencias gubernamentales y empresas privadas en todo el mundo. Dicho ataque se produjo después de que en mayo cientos de miles de equipos fueron atacados por WannaCry.

A finales del año pasado, Malwarebytes analizó cerca de medio millón de incidentes de ransomware para identificar las 10 ciudades estadounidenses más atacadas por el malware. Las Vegas encabeza la lista con el mayor número de detecciones de ransomware en general.

«Los atacantes mejoran constantemente su táctica, la ejecución y el modelo de negocio para evadir la detección. Y ahora, con los millones de dólares que han sido entregados a los ciberdelincuentes, el ransomware sólo aumentará», indicó Adam Kujawa de Malwarebytes. Es por ello que la mayoría de expertos en ciberseguridad recomiendan a las víctimas no realizar el pago del rescate.

Más información

Evitar amenazas con VMware NSX

2017-07-18T18:48:35+02:00julio 18, 2017|Internet, Seguridad, Virtualización|

Una publicación reciente en LinkedIn de Octavio Duré, Systems Engeneering Senior Manager VMware South Latam, proporciona información sobre cómo evitar las amenazas de seguridad utilizando VMware NSX.

A continuación, la información incluida en dicha publicación:

Recientes ataques informáticos masivos y simultáneos comprometieron los datos en decenas de miles de computadores de importantes compañías en todo el mundo, aprovechando una vulnerabilidad del sistema operativo Windows. El comportamiento fue similar al de otros ransomware: con una vulnerabilidad en la red o en el sistema operativo, el ataque trata de obtener datos personales o corporativos sensibles. Una vez obtenidos (y eventualmente secuestrados mediante un encriptado, como en el caso de WannaCry), la amenaza trata de propagarse explotando la misma vulnerabilidad en computadores al azar en Internet y lateralmente en la red de área local (LAN) dentro de la empresa. Lo mismo hizo recientemente Petya, atacando además iOS.

Últimamente ha tomado mucha fuerza la estrategia en ambientes de seguridad de “Confianza Cero”. Estos esquemas, si bien no eliminan completamente la amenaza, limitarán el impacto aislando el ataque y conteniéndolo en un pequeño subconjunto de los sistemas. Aquí es donde la microsegmentación que permite implementar VMware NSX se vuelve una herramienta fundamental para limitar el movimiento lateral, manteniendo la infección en un “microperímetro”, el cual es esencialmente una virtual NIC.

Es importante recalcar que este tipo de ransomware no es simplemente otro malware cualquiera, sino que se trata de una herramienta utilizada por un modelo de negocio criminal contra el cual estaremos combatiendo de aquí en más. Como tal, requiere de una estrategia de defensa global corporativa, y no solo la utilización de una u otra herramienta de manera aislada.

Hoy existen componentes open-source que le permiten a cualquier novato crear variantes de un ransomware, también existen mecanismos de pago anónimo como Bitcoin, que hacen difícil el seguimiento de las transacciones hasta los criminales, finalmente, se trata de amenazas polimórficas por naturaleza, por lo que son difícilmente detectables por herramientas de protección basadas en firmas, tales como los antivirus tradicionales.

Ante tales premisas, debemos adoptar medidas coordinadas para combatir este tipo de amenazas, y VMware, como socio estratégico, está en condiciones de aportar la tecnología necesaria:

  • Asegúrese de contar con un sólido Plan de Respaldo y Recuperación ante Desastres. Aproveche herramientas de orquestación para recuperación, tales como VMware Site Recovery Manager (SRM) para definir planes de recuperación ante diferentes escenarios (migración planeada, recuperación ante desastre, evasión de desastre, etc.). Este plan puede involucrar a todas sus aplicaciones y datos o a un subconjunto crítico. La posibilidad de recrear redes en un sitio de contingencia que hoy nos brinda la virtualización de redes, con NSX, baja notablemente los tiempos de recuperación (RPO) si un ataque logra su objetivo.
  • Asimismo, este tipo de herramientas pueden ser utilizadas como parte de su Estrategia de Patching. En estos esquemas, usted puede implementar una agenda de patching muy agresiva, ya que es posible llevar las aplicaciones de producción –mientras se ejecutan- a una red aislada de testeo, y aplicar los patches a estos sistemas asegurándose de que no tengan efectos laterales no deseados, sin afectar los ambientes de producción.
  • Aproveche las ventajas de la microsegmentación con NSX para todas las cargas de trabajo dentro del centro de datos. Esta estrategia consiste en crear un entorno que llamamos de Confianza Cero, en el cual cada computador no solo se protege del mundo exterior, sino además de los computadores que tiene a su alrededor. Las tecnologías tradicionales son insuficientes para implementar esta microsegmentación de manera operativamente viable. Un firewall al lado de cada servidor no parece una solución barata ni fácil de mantener. Sin embargo, con la virtualización de redes, VMware permite esquemas de seguridad antes impensados. Al mover funcionalidad de red al software, incluyendo reglas de seguridad, cada ‘computador’ -en el caso de ambientes virtualizados cada máquina virtual– pasa a contar con su propio firewall (distribuido). Esta protección con reglas de acceso y tráfico acompaña a la máquina virtual durante toda su vida productiva, vaya al servidor físico que vaya, y las reglas desaparecen cuando la máquina es retirada de servicio. De esto modo, cada máquina virtual cuenta con su propia protección, lo cual impide el traslado lateral de amenazas como WannaCry dentro del Centro de Datos.
  • Implemente Monitoreo Avanzado de la Red, con herramientas como vRealize Network Insight, entienda exactamente cuál es su perfil de tráfico completo, incluyendo el tráfico este-oeste de VM a VM, y modele de esta forma sus políticas de seguridad.
  • Para los sistemas con los datos más críticos, considere también capas de Firewalls de Próxima Generación (Next Gen Virtual Firewalling) tales como Palo Alto Networks VM series sobre NSX.
  • Implemente herramientas que aseguren que binarios de fuentes no confiables no puedan ser ejecutados en un sistema.

Como mencionábamos antes, todo esto debe ser parte de una estrategia global; y si bien no existe una única herramienta que pueda ser considerada suficiente como para estar a salvo, estas tecnologías constituyen sin dudas componentes fundamentales a la hora de minimizar el riesgo y reducir la exposición.

Un esquema de Cero Confianza que incluya microsegmentación es la única estrategia, por otro lado, que puede ayudar a las organizaciones a mantenerse proactivas en un ambiente de amenazas crecientes.

Más información

Ciberataques a gran escala

2017-07-03T17:02:03+02:00julio 3, 2017|Internet, Seguridad|

En la nueva economía digital las organizaciones dependen de sus datos como un recurso crítico y una fuente esencial de ingresos. A lo largo del último año los delincuentes han incrementado el número y perfil de los ciberataques, como es el caso de Mirai, WannaCry y Petya, lanzados uno detrás del otro.

Ataques como Mirai, lograron secuestrar decenas de miles de dispositivos IoT usando las contraseñas por defecto instaladas por sus fabricantes. Recientemente, el primo menos conocido de Mirai, Hajime, aumentó la apuesta añadiendo funcionalidad multiplataforma, un kit de herramientas con tareas automatizadas, listas de contraseñas actualizables y el uso de umbrales para imitar el comportamiento humano.

WannaCry fue pionera en un nuevo tipo de ransomware, que Fortinet llama ransomworm, cuyo fin es utilizar un exploit de Microsoft creado por la NSA y publicado por un grupo conocido como Shadow Brokers. En lugar del método habitual de seleccionar un objetivo específico, la funcionalidad de gusano de Wannacry le permitió propagarse rápidamente por todo el mundo, atacando miles de dispositivos y organizaciones. En este caso, el daño fue reducido rápidamente debido al kill switch encontrado.

Hace una semana vimos el surgimiento de un nuevo ransomworm llamado ExPetr/PetWrap/Petya. Este nuevo malware utiliza el mismo enfoque basado en WannaCry, incluso explota la misma vulnerabilidad, pero esta vez con una carga útil mucho más potente que puede borrar datos de un sistema y modificar el registro de arranque principal de un dispositivo (MBR), volviendo el dispositivo inutilizable. Este ataque estuvo más centrado en la toma de equipos fuera de línea que en la monetización a través del rescate.

Se cree que los ataques de Wannacry y ExPetr eran simples ensayos de una nueva estrategia oportunista para explotar las vulnerabilidades recién descubiertas mediante ataques masivos globales y cargas útiles que cada vez ocasionan más daño. Esto podría ser sólo la punta del iceberg y potencialmente el comienzo de una nueva ola de ataques en forma de ransomworms.

A continuación, algunas consideraciones para evitar ser víctima de alguno de estos ataques:

1. Parches y reemplazos. WannaCry explotó las vulnerabilidades que Microsoft había solventado un par de meses atrás. Y pese a su impacto en todo el mundo, ExPetr utilizó la vulnerabilidad EXACT SAME un mes después, comprometiendo a miles de organizaciones. De hecho, los ataques cibernéticos más exitosos apuntan a vulnerabilidades que tienen un promedio de cinco años.

La respuesta, por supuesto, es establecer un hábito de instalación de las actualizaciones y parchess. Los dispositivos que son demasiado viejos para las actualizaciones deberán ser reemplazados.

2. Dispositivos en la red. Es necesario invertir el tiempo y la tecnología para identificar cada dispositivo en la red, determinar cuál es su función, qué tráfico pasa, el sistema operativo y las actualizaciones que se están ejecutando, quién y qué dispositivos tienen acceso a él.

3. Estructura de seguridad. Algunos de estos ataques se dirigen a dispositivos IoT que simplemente no pueden ser actualizados. Es por eso que es necesario implementar herramientas de seguridad eficaces que puedan identificar y detener las amenazas más recientes. Las herramientas de Fortinet, por ejemplo, lograron detectar y detener exitosamente todos estos ataques.

Debido a que ahora nuestras redes abarcan una amplia gama de dispositivos, usuarios y aplicaciones desplegadas en múltiples ecosistemas en red, las herramientas aisladas que monitorean el tráfico de un solo punto ya no son adecuadas…

4. ¡Segmente la red!

En Adaptix Networks destacamos la importancia de implementar soluciones de seguridad integrales para disminuir de manera importante el riesgo de sufrir algún ataque. Le invitamos a ponerse en contacto con nosotros para proveerle más información respecto a la implementación de nuestras soluciones Fortinet, así como los casos de éxito con nuestros clientes.

Más información

Petya, PetrWrap, ExPetr contra empresas

2017-06-30T13:12:21+02:00junio 30, 2017|Internet, Seguridad|

Los expertos de Kaspersky Lab han llamado ExPetr a la nueva variedad de malware cifrador responsable del reciente ataque a nivel global. Otros lo identifican como PetrWrap, Petya, etc. La diferencia principal con este nuevo ransomware es que los delincuentes han escogido sus objetivos con gran precisión y muchas de las víctimas son empresas, no consumidores.

Muchas instalaciones con infraestructura crítica están entre las víctimas de este malware. Por ejemplo, se ha informado de que algunos vuelos del aeropuerto de Kiev Boryspil han sufrido retrasos a causa del ataque, también se indicó que el sistema de monitorización de radiación de la planta nuclear de Chernobyl se vio afectado temporalmente por la misma razón.

Al igual que con WannaCry, tenemos dos problemas: la penetración inicial del malware en la infraestructura de una empresa y su proliferación en ella. Ambos problemas deben solucionarse separadamente.

Penetración inicial

Los expertos indican algunos caminos por los que el malware se infiltra en la red. En algunos casos, hizo uso de sitios web maliciosos, en otros los usuarios recibieron el malware como si se tratara de una actualización del sistema o de actualizaciones de software de terceros (por ejemplo mediante el software ucraniano M.E.Doc). Es decir, no existe un único punto de entrada predecible que proteger.

No obstante, existen algunas recomendaciones para prevenir que el malware penetre en la infraestructura:

  • Instruir a los usuarios para no abrir archivos adjuntos sospechosos, ni tampoco dar clic en los enlaces incluidos en los correos electrónicos.
  • Asegurarse que todos los sistemas conectados a Internet estén equipados con soluciones de seguridad actualizadas que incorporen componentes de análisis de comportamiento.
  • Comprobar que los componentes importantes de las soluciones de seguridad están activos (en los productos de Kaspersky Lab, tanto la red Kaspersky Security Network como el motor de comportamiento System Watcher).
  • Actualizar las soluciones de seguridad regularmente.
  • Emplear herramientas para administrar y monitorear las soluciones de seguridad desde una única consola administrativa y verificar que los usuarios no tienen permitido modificar los ajustes.

Propagación en la red

Una vez que logra introducirse en un solo sistema, ExPetr se propagará mucho más rápido que WannaCry en una red local porque dispone de capacidades extensas para ese objetivo en concreto. En primer lugar, utiliza, al menos, dos exploits: un EternalBlue modificado (también usado por WannaCry) y EternalRomance (otro exploit del puerto TCP 445). En segundo lugar, cuando infecta un sistema en el que un usuario tiene privilegios de administrador, empieza a distribuirse mediante la herramienta de control remoto de sistemas PsExec.

Para prevenir que el malware acceda a la red, se puede considerar lo siguiente:

  • Aislar los sistemas que requieren una conexión activa de Internet en otro segmento de red.
  • Dividir la red sobrante en subredes o subredes virtuales con conexiones restringidas y conectar solo los sistemas que la requieran para procesos tecnológicos.
  • Asegurarse que las actualizaciones de seguridad críticas de Windows están instaladas. Muy importante ya que la MS17-010 cierra las vulnerabilidades que utiliza EternalBlue y EternalRomance.
  • Utilizar servidores de respaldo aislados del resto de la red y evitar la conexión con unidades remotas en los servidores de respaldo.
  • Prohibir la ejecución del archivo llamado perfc.dat mediante el Control de Aplicaciones de Kaspersky Endpoint Security for Business o mediante Windows AppLocker.
  • En sistemas que contengan múltiples sistemas integrados, utilizar soluciones de seguridad especializadas como Kaspersky Embedded Security Systems.
  • Configura el modo de denegación por defecto como medida de protección adicional en los sistemas que sea posible (por ejemplo, en equipos con software que rara vez se modifique), lo que se puede realizar mediante el Control de aplicaciones incluido en Kaspersky Endpoint Security for Business.

En Adaptix Networks destacamos la importancia de implementar soluciones de seguridad integrales, con software y dispositivos para la protección de la red empresarial, software de seguridad para todos los equipos, generación de respaldos y copias de seguridad.

También puede consultar:

 

Más información
Aceptamos
Oficina

Av. Jean Claude Combaldieu s/n
Distrito Digital, Edificio 1 Oficina S102
Alicante 03008
España

email

info@adaptixnetworks.es

Teléfono

+34 911 868 030

Servicios
Información
Suscríbete a nuestro Newsletter

© Copyright 2024 | Adaptix Networks, S.L.

Ir a Arriba