Ransomware

El cifrado es la última hora de una operación que ha durado días o semanas. Describir el ransomware como un malware que cifra ficheros pone la atención en el paso más ruidoso y menos reversible, y se la quita a todos los pasos donde se podía haber parado.

La secuencia real empieza con el acceso, y el acceso suele comprarse. Los initial access brokers comprometen organizaciones a escala y venden el punto de apoyo a quien lo quiera: credenciales válidas de un portal de acceso remoto sin segundo factor, un token de sesión sacado de un registro de infostealer, o un servicio expuesto. El comprador es un afiliado: el propio ransomware es un servicio, con unos operadores que ponen el cifrador, la infraestructura de negociación y el sitio de filtraciones, y un afiliado que hace la intrusión a cambio de una parte. Esa división del trabajo es el dato estructural más importante de la amenaza actual, porque significa que quien está en tu red no es la persona cuyo nombre lleva el malware.

Una vez dentro, el trabajo es una intrusión corriente. Encontrar el dominio, escalar, moverse a los sistemas que importan. Después, antes de cifrar nada, pasan tres cosas: se localizan las copias de seguridad y se destruyen o se cifran, se desactivan las herramientas de seguridad desde una cuenta privilegiada, y se exfiltran los datos. Solo entonces se ejecuta el cifrado, normalmente de noche o en un puente, empujado por el mismo canal de gestión con el que la organización despliega software.

La extorsión va por capas. Pagar por descifrar, pagar por evitar la publicación, y en algunos casos presión a través de clientes, reguladores o prensa. Cuando una operación calcula que la segunda capa basta, se salta la primera: sin cifrado, sin caída, sin estropicio forense, solo los datos y una fecha límite.

El fallo que decide el desenlace son casi siempre las copias de seguridad, y es un fallo de diseño más que de operación. Las copias existen. Se alcanzan desde el dominio de producción con credenciales que a esas alturas tiene el atacante, o el aparato de copias está unido al mismo directorio, o las copias están en línea por comodidad de restauración. El atacante las borra primero, porque un cliente que puede restaurar no paga. En un proyecto, llegar a la infraestructura de copias es un objetivo específico justo por eso, y llegamos más veces de las que no.

El segundo fallo es que el acceso inicial es aburrido. Un portal de acceso remoto sin segundo factor, una cuenta cuyas credenciales aparecieron en un registro de infostealer dos meses antes, una conexión de proveedor con acceso permanente. Casi nunca hay nada sofisticado en el punto de entrada, y la organización sabría nombrar el hueco si se le preguntara antes del incidente.

El tercero es que el tiempo de permanencia no se aprovecha. El intruso está dentro días, haciendo reconocimiento, tocando cientos de máquinas, desactivando protección y sacando datos. Todo eso es visible en telemetría que la mayoría de las víctimas ya estaba recogiendo. Lo que faltaba era alguien mirando, y autoridad para actuar a las tres de la mañana.

El cuarto es la decisión que nadie ensayó. Si se paga, quién decide, quién habla con el regulador, cuál es la obligación de notificar y cuándo empezó el reloj, si el ciberseguro exige algo concreto en las primeras horas. Tomar esas decisiones durante el incidente, con los sistemas caídos, es así como un problema técnico se convierte en uno corporativo.

Los dos modelos los ejecuta la misma clase de grupo y exigen respuestas muy distintas.

La fila que cambia la planificación es la segunda. Un suceso de cifrado se anuncia solo; un suceso de solo exfiltración se descubre cuando el atacante decide contártelo, que pueden ser semanas después de que los datos salieran. Una organización cuyo plan entero se apoya en restaurar de una copia no tiene plan para la segunda columna, y esa columna está creciendo.

Tratarlo como un problema de endpoint. Cuando el cifrador se ejecuta, el atacante ya tiene credenciales privilegiadas y ha desactivado el agente. Los controles que importan están antes: identidad, acceso remoto y segmentación.

Creer que con las copias de seguridad basta. Atienden la caída y no hacen nada contra la publicación. Además tienen que sobrevivir a un atacante con privilegios de dominio, cosa que la mayoría no hace.

Probar las restauraciones probando el trabajo de copia. Un trabajo con éxito no es una restauración con éxito. La pregunta es si el negocio puede volver a funcionar, y cuánto tarda, medido haciéndolo.

Dar por hecho que pagar lo termina. Compra un descifrador de calidad variable y una promesa sobre unos datos que no puedes verificar. Tampoco restaura los sistemas: descifrar un parque grande lleva días.

Planificar el incidente sin legal y sin comunicación. Los deberes de notificación, las condiciones del seguro y la comunicación a clientes se deciden bajo presión de tiempo. Eso es un problema de ensayo, no técnico.

Cierra la entrada. Todas las vías de acceso remoto con un segundo factor ligado al origen, sin excepciones para cuentas de servicio y sin ningún protocolo antiguo activado. Vigila si tus propias credenciales aparecen en registros de infostealer y en corpus de filtraciones, y fuerza un cambio cuando lo hagan. Esas dos medidas atienden al sitio por donde empieza la gran mayoría de estas intrusiones.

Haz que las copias sobrevivan. Al menos una copia inmutable y fuera de la frontera de identidad de producción, para que los privilegios de dominio no impliquen privilegios de copia. Después prueba una restauración de un sistema que el negocio necesite de verdad, de punta a punta, y anota cuánto tardó. Ese número es tu capacidad de recuperación; todo lo demás es una suposición.

Reduce el radio de daño con segmentación de red y retirando las credenciales de administrador local compartidas, porque el cifrador se despliega usando los mismos caminos que usa un ejercicio de movimiento lateral. Si un atacante no puede llegar a todas las máquinas desde una, tampoco puede cifrarlas todas desde una.

Y después ensaya la decisión. Quién declara un incidente, quién puede aislar una sede sin una petición de cambio, quién habla con el regulador, cuál es el reloj de notificación y cuál es la postura sobre pagar, acordado de antemano y por escrito. Hazlo como ejercicio con el equipo directivo presente, porque es el grupo cuya ausencia provoca los retrasos.

Para la detección, las señales de más valor en los días previos al cifrado son: el borrado masivo de copias de seguridad o de instantáneas, agentes de seguridad desinstalados o puestos en modo pasivo desde una cuenta privilegiada, transferencias grandes hacia servicios de compartición de ficheros, y herramientas de reconocimiento tocando cientos de máquinas. Cada una es ruidosa y cada una precede al cifrado con margen suficiente para que importe.

Nosotros no desplegamos ransomware. Lo que establece un proyecto es si se dan las condiciones previas: si podemos llegar a la infraestructura de copias, si podemos obtener los privilegios que necesitaría el cifrador, si podemos desactivar o esquivar la protección del endpoint desde esa posición, y si podríamos sacar datos sin que nadie diera la voz de alarma.

El informe responde a esas cuatro preguntas con evidencia y con tiempos, y el hallazgo se escribe como un attack path con el paso concreto que lo rompería identificado. Cuando hemos llegado al entorno de copias describimos cómo, porque suele ser el párrafo con más consecuencias del documento.

La severidad aquí no es una puntuación sobre una técnica. Es una afirmación sobre si la organización sobreviviría a la operación, y se escribe para que un consejo la pueda leer sin traducción.

Saber si tus credenciales están ya a la venta, y si tu organización aparece en un sitio de filtraciones o en el anuncio de un broker de accesos, es para lo que sirve la vigilancia continua de los mercados criminales. Es observación y no protección, y muchas veces es el aviso más temprano disponible.

¿Deberíamos pagar un rescate? Esa es una decisión de negocio y jurídica más que técnica, y conviene tomarla antes de un incidente y no durante. Lo que merece la pena saber técnicamente es que un descifrador funciona de forma imperfecta, que la recuperación sigue llevando días, y que pagar no da ninguna garantía verificable sobre las copias de tus datos.

¿Las copias de seguridad nos protegen del ransomware? Protegen de la caída, siempre que al menos una copia sea inmutable, esté fuera de la frontera de identidad de producción y se haya probado con una restauración de verdad. No dan ninguna protección frente a la publicación de los datos que se llevaron antes del cifrado.

¿Por qué se dice que el ransomware es un servicio? Porque así está organizado el mercado. Un grupo construye y mantiene el cifrador y la infraestructura de filtración, los afiliados ejecutan las intrusiones, y los brokers de accesos venden el punto de apoyo inicial. El nombre del malware te dice muy poco sobre quién está en tu red.

¿Qué es la doble extorsión? Cobrar dos veces por la misma intrusión: una por la clave de descifrado y otra por no publicar los datos que se robaron antes. Se hizo estándar porque las copias de seguridad hicieron negociable la primera exigencia, y es la razón de que un buen proceso de restauración ya no termine el incidente.