Cómo los expertos en seguridad desentrañan el ransomware

Cómo los expertos en seguridad desentrañan el ransomware es perfilado por BTW Media porque las pruebas publicadas lo vinculan con la infraestructura de internet, la gobernanza, las dependencias operativas o la visibilidad del mercado.

• Basándose en las prácticas ilegales de los hackers, un número creciente de expertos en seguridad están trabajando con las fuerzas del orden para proporcionar herramientas de descifrado gratuitas.
• Los descifradores de ransomware desarrollan herramientas de varias maneras principales: ingeniería inversa del error, colaboración con las fuerzas del orden y recopilación de claves de cifrado disponibles públicamente.

La era del hackeo desenfrenado

Los hackers usanransomwarepara rastrear cada industria, cobrando la mayor cantidad de dinero posiblepara acceder a los archivos de las víctimas. Es un negocio lucrativo. En los primeros seis meses de 2023, las bandas de ransomware estafaron a sus objetivos449 millones de dólares.
Cada vez más, sin embargo, los expertos en seguridad se asocian con las fuerzas del orden para proporcionar herramientas de descifrado gratuitas.

Lea también:¡Los hackers nunca parecen estar satisfechos con el robo de criptomonedas!

Varias soluciones comunes

Hay varias formas principales en que los descifradores de ransomware desarrollan herramientas: ingeniería inversa de errores, colaboración con las fuerzas del orden y recopilación de claves de cifrado disponibles públicamente. La duración de este proceso depende de la complejidad del código, pero generalmente requiere información sobre el archivo cifrado, la versión no cifrada del archivo y la información del servidor proporcionada por el grupo de hackers.

«Solo tener el archivo cifrado de salida generalmente es inútil. Necesitas la muestra en sí, el archivo ejecutable», dijo Jakub Kroustek, jefe de investigación de malware en la empresa de antivirus Avast. No es fácil, pero cuando funciona, beneficia a las víctimas afectadas.

Los descifradores de ransomware utilizarán su conocimiento de ingeniería de software y criptografía para obtener las claves de ransomware y crear una herramienta de descifrado a partir de ahí, dijo Kroustek. Los procesos de cifrado más avanzados pueden requerir un descifrado por fuerza bruta o una suposición educada basada en la información disponible. A veces, los hackers usan generadores de números pseudoaleatorios para crear claves. Un RNG verdadero sería aleatorio, pero eso significa que no es fácil de predecir.

Como explica van der Wiel, un pseudo-RNG puede depender de un patrón existente para parecer aleatorio cuando en realidad no lo es; por ejemplo, el patrón puede basarse en el momento en que se creó. Si los investigadores conocen una parte de él, pueden probar diferentes valores de tiempo hasta inferir la clave.

Pero obtener las claves a menudo requiere trabajar con las fuerzas del orden para obtener más información sobre cómo opera un grupo de hackers. Si los investigadores pudieran obtener la dirección IP del hacker, podrían pedir a la policía local que incaute el servidor y obtenga un volcado de memoria del contenido del servidor. O, si los hackers usan servidores proxy para enmascarar su ubicación, la policía puede usar herramientas de análisis de tráfico como NetFlow para determinar a dónde va el tráfico y extraer información de él, dijo Vanderwiel.

La Convención de Budapest sobre la Ciberdelincuencia hace posible el delito transfronterizo porque permite a la policía solicitar urgentemente imágenes de servidores en otro país mientras se espera que se tramite una solicitud oficial.

Lea también:$674 millones de criptomonedas recuperados de $2.6 mil millones robados

Trabajando con la ley

Colaboraron con las autoridades para ayudar a Cisco Talos a crear una herramienta de descifrado para el ransomware Babuk tortilla. Esta versión de ransomware se dirige a la atención médica, la fabricación y la infraestructura nacional, cifrando los dispositivos de las víctimas y eliminando copias de seguridad valiosas. Avast ha creado un descifrador universal de Babuk, pero la cepa tortilla ha demostrado ser difícil de descifrar. La policía holandesa y Cisco Talos trabajaron juntos para arrestar a los responsables del virus y en el proceso obtuvieron el descifrador de la tortilla.

En general, los expertos no pueden compartir demasiada información sobre el proceso sin dar a las bandas de ransomware el beneficio de la duda. Si revelan errores comunes, los hackers pueden usarlo para mejorar fácilmente el próximo intento de ransomware. Si los investigadores nos dicen en qué archivos cifrados están trabajando, la banda sabrá que les están siguiendo la pista. Pero la mejor manera de evitar lo anterior es ser proactivo.