Ransomware Actors Keep Finding Success, Why?

La amenaza del ransomware sigue siendo, lamentablemente, una realidad cotidiana para los expertos en tecnología y los profesionales de la seguridad. Sin embargo, antes de caer en el pesimismo, deberíamos reconocer lo mucho que ha avanzado el sector. Yo diría que, en un pasado no muy lejano, la mayoría de las empresas eran vulnerables a lo que consideraríamos un ataque de ransomware relativamente poco sofisticado. Abrir un correo electrónico → Malware → Propagación por la red → Ransomware →

Gracias a los avances, sobre todo en el ámbito de los dispositivos finales, a la implantación del teletrabajo desde cualquier lugar y a los principios de «confianza cero», el sector ha logrado avances significativos en la protección frente a este tipo de ataques.

Aun así, cada semana vemos nuevos artículos sobre ataques de ransomware que han tenido éxito. De hecho, muchos portales de seguimiento de casos de ransomware muestran un repunte en 2023. Por ejemplo, el informe de Black Fog titulado «The»Informe sobre la situación del ransomwaremuestra un aumento del 8 % respecto al año anterior. Además, observamos que los atacantes están empezando a centrarse en sistemas de almacenamiento de datos que no suelen ser objeto de ataques, como el almacenamiento en la nube y las bases de datos en la nube.

«Si realmente hemos logrado avances en la lucha contra el ransomware, ¿por qué ha aumentado el número de ataques que han tenido éxito?»

Todo es cuestión de prioridades

Al analizar estos ataques que han tenido éxito, he identificado dos categorías principales en las que el sistema falla, lo que permite a los actores maliciosos llevar a cabo con éxito ataques de tipo «rescate».

1. La falta de inversión en un programa de seguridad de la información. A primera vista, esto parece obvio, y lo es. Se obtiene lo que se paga. Las organizaciones que cuentan con equipos de seguridad con un presupuesto elevado sufren menos ataques de ransomware (con la excepción que se comenta en la siguiente categoría). Es fácil ponerse en plan cascarrabias y decir: «¡Bueno, la gente solo tiene que tomarse esto más en serio y gastar más en seguridad!». La realidad es que la mayoría de los ataques que vemos en las noticias y que se deben a una falta de inversión se dirigen contra los servicios públicos. Muchas de estas organizaciones simplemente no cuentan con los recursos económicos necesarios para invertir en personal, tiempo y tecnologías «de vanguardia» capaces de detener los ataques. Voy a dejar aquí esta reflexión, ya que se trata de un tema para otro blog sobre política, políticas públicas y unificación. El gasto público no es un tema que se pueda pasar por alto. Sin embargo, la siguiente categoría es algo que, como sector, podemos abordar más fácilmente.
2. Tenemos las anteojeras puestas. Entiendo que es una afirmación rotunda, pero cuando se aborda el tema de forma adecuada, a menudo oigo que se está totalmente de acuerdo en que así es.
   Cuando digo que tenemos las anteojeras puestas, me refiero a que no estamos analizando en profundidad el modelo de riesgo del ransomware. Estamos demasiado centrados en cómo han tenido éxito los ataques más habituales como para detectar dónde tenemos lagunas en nuestros programas de seguridad. Nos centramos en la protección de los terminales, los servidores y las tecnologías tradicionales de almacenamiento de datos (SAN, NAS, etc.) y, en consecuencia, conseguimos proteger esos activos frente a los ataques.

«Al fin y al cabo, un atacante que quiera exigir un rescate a cambio de los datos solo tiene que llevar a cabo una tarea: impedir el acceso a los datos críticos de la empresa».

Muchas empresas se centran más en los controles destinados a prevenir ataques que en implementar una estrategia integral para proteger la disponibilidad. En otras palabras, no hay que centrarse únicamente en los ataques de ransomware, sino en una estrategia más general de protección de la disponibilidad que incluya el «cifrado de datos para causar impacto» (ID de ATT&CK T1486).

Por ejemplo, muchos guiones de ransomware se centran en la idea de que un atacante podría ejecutar una carga útil binaria y cifrar datos. Sin embargo, si se dispone de acceso suficiente, se podría lograr el mismo efecto simplemente intercambiando las claves de cifrado de una base de datos crítica. El grado de dificultad para que un atacante lo consiga varía enormemente, pero para muchas organizaciones se trata de una vía de ataque válida. No te apresures a señalar que las copias de seguridad nativas de la base de datos, el control de versiones, etc., pueden resolver esto. No es incorrecto en absoluto, pero la realidad es que, debido al impacto en el rendimiento de las grandes bases de datos, estos controles suelen estar desactivados y es posible que se te informe o no de ello. Además, la gestión de estos métodos de protección suele realizarse con las mismas credenciales privilegiadas que se utilizan para la actividad administrativa habitual, que son precisamente las credenciales a las que apuntan los actores maliciosos.

Vale… pero ¿qué significa eso…?

En definitiva, esto significa que deberías revisar tu plan de actuación frente al ransomware y plantearte elaborar un plan de disponibilidad de alto nivel si aún no dispones de uno (si ya lo tienes, revísalo desde la perspectiva del ransomware). Este debería ser un esfuerzo interdepartamental. El equipo de seguridad debería dar los primeros pasos y, a continuación, reunirse con los responsables de los datos, los equipos de infraestructura y los equipos de Recovery ante desastres (DR) y continuidad del negocio (BC) para debatir cuáles son los métodos de protección y Recovery más realistas. Muchos métodos de protección y Recovery conllevan un compromiso en cuanto al rendimiento. El equipo de seguridad no puede ignorar esta realidad, y el equipo de TI no puede ignorar la seguridad en favor del rendimiento. No existe una solución única válida para todos los casos.

Lo siguiente puede servir como punto de partida orientativo sobre qué aspectos hay que tener en cuenta en esta iniciativa:

1. Conocer todos los almacenes de datos críticos para el negocio, entre los que se incluyen:
   • Almacenes de datos gestionados «privados», NAS, SAN
   • Dispositivos de los empleados
   • Bases de datos (tanto locales como en la nube tradicional y «como servicio»)
   • Almacenamiento en la nube
2. Elabora una lista de tácticas, técnicas y procedimientos que puedan utilizarse para afectar a la disponibilidad de tus almacenes de datos críticos y asóyalos al marco MITRE ATT&CK.; (https://attack.mitre.org/tactics/TA0040/)
   • Ej. 1: Cifrado masivo de dispositivos finales
   • Ejemplo 2: Robo y eliminación de almacenes de datos críticos (en la nube y en las instalaciones)
3. Asigna las tácticas a las fuentes de datos y clasifícalas según la probabilidad de que se produzcan.
   • Establecer prioridades en función del riesgo jurídico, operativo y estratégico
4. Evaluar los controles y los procesos
   • Identificar oportunidades para implementar controles de prevención, detección, respuesta y Recovery por fuente de datos.
   • Identificar las deficiencias
   • Crear nuevos procesos y controles
5. Actualiza tu manual de respuesta ante ataques de ransomware con métodos de respuesta para todas las técnicas, basándote en tus procedimientos de respuesta y Recovery del paso 4.
6. Llevar a cabo simultáneamente un ejercicio de simulación (TTX) y un ejercicio de recuperación ante desastres (DR).
   • Esto supone un auténtico reto. Combinar ambos elementos para llevar a cabo un ejercicio de simulación (TTX) «a libro abierto» con algunas situaciones aleatorias pondrá de manifiesto cómo trabajan los equipos bajo la presión de un incidente real de ransomware.

Resumen

Los autores de amenazas siguen evolucionando para mantenerse al día y proteger sus ingresos. Aunque, como sector, nos hemos vuelto bastante eficaces a la hora de protegernos contra las amenazas tradicionales de ransomware, es probable que todas las organizaciones tengan algunos puntos ciegos.

• Los ataques de ransomware siguen teniendo éxito.
• A medida que mejoramos nuestra capacidad para detener los ataques tradicionales, los autores de las amenazas cambian sus tácticas para seguir teniendo éxito
• Los ciberdelincuentes están atacando repositorios de datos, como bases de datos y servicios de almacenamiento en la nube
• Actualiza tu manual de respuesta con opciones de detección, prevención, respuesta y Recovery para restablecer la disponibilidad de forma no tradicional.
• Implementa soluciones de copia de seguridad inmutables y de alto rendimiento para bases de datos y activos en la nube.

Cómo ayuda Clumio

ClumioSe centra en ayudar a los clientes a dotar de resiliencia a sus aplicaciones y datos en la nube. En lo que respecta al ransomware, la recuperación es un resorte clave para mantener la disponibilidad de las aplicaciones de tu empresa. Con las opciones de copia de seguridad de Clumio para bases de datos como Amazon RDS, MS-SQL en EC2 y DynamoDB, así como para Amazon S3, EC2, EBS y Microsoft 365, puedes crear estrategias de recuperación eficaces que satisfagan tanto a los equipos de infraestructura como a los de seguridad.