Cómo los expertos en seguridad desentrañan el ransomware

Cómo los expertos en seguridad desentrañan el ransomware es perfilado por BTW Media porque la evidencia publicada lo vincula con la infraestructura de internet, la gobernanza, las dependencias operativas o la visibilidad del mercado.

• Basándose en las prácticas sin ley de los hackers, un número creciente de expertos en seguridad están trabajando con las fuerzas del orden para proporcionar herramientas de descifrado gratuitas.
• Los descifradores de ransomware desarrollan herramientas de varias formas principales: ingeniería inversa del error, colaboración con las fuerzas del orden y recopilación de claves de cifrado disponibles públicamente.

La era del hacking desenfrenado

Los hackers usanransomwarepara rastrear cada industria, cobrando tanto dinero como sea posiblepara acceder a los archivos de las víctimas. Es un negocio lucrativo. En los primeros seis meses de 2023, las bandas de ransomware defraudaron a sus objetivos por$449 millones.
Sin embargo, cada vez más, los expertos en seguridad están colaborando con las fuerzas del orden para proporcionar herramientas de descifrado gratuitas.

Lea también:¡Los hackers nunca parecen estar satisfechos con el robo de criptomonedas!

Varias soluciones comunes

Hay varias formas principales en que los descifradores de ransomware desarrollan herramientas: errores de ingeniería inversa, colaboración con las fuerzas del orden y recopilación de claves de cifrado disponibles públicamente. La duración de este proceso depende de la complejidad del código, pero generalmente requiere información sobre el archivo cifrado, la versión no cifrada del archivo y la información del servidor proporcionada por el grupo de hackers.

“Tener solo el archivo cifrado de salida generalmente es inútil. Necesitas la muestra en sí, el archivo ejecutable”, dijo Jakub Kroustek, jefe de investigación de malware en la empresa de antivirus Avast. No es fácil, pero cuando funciona, sí trae beneficios a las víctimas afectadas.

Los descifradores de ransomware usarán su conocimiento de ingeniería de software y criptografía para obtener las claves de ransomware y crear una herramienta de descifrado a partir de ahí, dijo Kroustek. Los procesos de cifrado más avanzados pueden requerir una ruptura por fuerza bruta o una suposición fundamentada basada en la información disponible. A veces, los hackers usan generadores de números pseudoaleatorios para crear claves. Un RNG verdadero sería aleatorio, pero eso significa que no es fácil de predecir.

Como explica van der Wiel, un pseudo-RNG puede basarse en un patrón existente para parecer aleatorio cuando en realidad no lo es; por ejemplo, el patrón puede basarse en el momento en que se creó. Si los investigadores conocen una parte de él, pueden probar diferentes valores de tiempo hasta inferir la clave.

Pero obtener las claves a menudo requiere trabajar con las fuerzas del orden para obtener más información sobre cómo opera un grupo de hackers. Si los investigadores pudieran obtener la dirección IP del hacker, podrían pedir a la policía local que incaute el servidor y obtenga un volcado de memoria del contenido del servidor. O, si los hackers usan servidores proxy para enmascarar su ubicación, la policía puede usar herramientas de análisis de tráfico como NetFlow para determinar a dónde va el tráfico y extraer información de él, dijo Vanderwiel.

El Convenio de Budapest sobre Ciberdelincuencia hace posible la lucha contra el crimen transfronterizo porque permite a la policía solicitar urgentemente imágenes de servidores en otro país mientras se tramita una solicitud oficial.

Lea también:$674M en criptomonedas recuperados de $2.6B robados

Trabajando con la ley

Trabajó con las fuerzas del orden para ayudar a Cisco Talos a crear una herramienta de descifrado para el ransomware Babuk tortilla. Esta versión de ransomware se dirige a la atención médica, la manufactura y la infraestructura nacional, cifrando los dispositivos de las víctimas y eliminando copias de seguridad valiosas. Avast ha creado un descifrador universal de Babuk, pero la cepa tortilla ha demostrado ser difícil de descifrar. La policía holandesa y Cisco Talos trabajaron juntos para arrestar a los responsables del virus y en el proceso obtuvieron el descifrador de la tortilla.

En general, los expertos no pueden compartir demasiada información sobre el proceso sin dar a las bandas de ransomware el beneficio de la duda. Si revelan errores comunes, los hackers pueden usarlo para mejorar fácilmente el próximo intento de ransomware. Si los investigadores nos dicen en qué archivos cifrados están trabajando, la banda sabrá que les estamos siguiendo la pista. Pero la mejor manera de evitar lo anterior es ser proactivo.