De dónde vienen los ataques de ransomware: 3 orígenes mundiales

De dónde vienen los ataques de ransomware: 3 orígenes mundiales es perfilado por BTW Media porque la evidencia publicada lo vincula a la infraestructura de internet, la gobernanza, las dependencias operativas o la visibilidad del mercado.

• Los 5 principales objetivos de ransomware por sector en 2024 incluyen educación, construcción e inmobiliario, gobierno central y federal, medios de comunicación, ocio y entretenimiento, y gobierno local y estatal.
• Tres orígenes de las nuevas cepas de ransomware son los actores respaldados por Estados, las organizaciones criminales y los investigadores de seguridad que no siempre piensan en las consecuencias.
• Los ataques a la cadena de suministro, la triple extorsión y el ransomware como servicio (RaaS) son las principales tendencias del ransomware en los últimos años.

Aunque elransomwareno es un riesgo de ciberseguridad nuevo, los principales gobiernos de todo el mundo continúan vigilando de cerca este peligro. La capacidad de las personas para hacer sus compras, cargar combustible en sus vehículos y recibir atención médica se ha visto afectada por los ataques de ransomware.

En los últimos años, los efectos financieros del ransomware también se han vuelto más notorios. Los ataques a las cadenas de suministro causan daños más extensos que los ataques contra una sola persona. Para frenar la propagación de los ataques de ransomware, los gobiernos y las empresas tecnológicas también han intensificado su respuesta.

Historial de los ataques de ransomware

El ransomware se remonta a1989, cuando el "virus del SIDA"fue utilizado para extorsionar fondos de los destinatarios del ransomware. Los pagos de este ataque se enviaban por correo a Panamá, tras lo cual se devolvía al usuario una clave de descifrado.

En 1996, Moti Yung y Adam Young de la Universidad de Columbia introdujeron un ransomware conocido como «extorsión criptoviral». Esta idea, nacida en el ámbito académico, ilustró la progresión, la potencia y la creación de herramientas criptográficas modernas. Young y Yung presentaron el primer ataque de criptovirología en la conferencia IEEE Security and Privacy de 1996. Su virus contenía la clave pública del atacante y cifraba los archivos de la víctima. El software malicioso luego invitaba a la víctima a enviar un texto cifrado asimétrico al atacante para descifrarlo y devolverle la clave de descifrado, a cambio de una tarifa.

Sectores objetivo

Los ataques de ransomware generalmente tienen como objetivo instituciones y organizaciones críticas, como la atención médica, las finanzas, la fabricación y las organizaciones gubernamentales. En algunos casos, además de otros impactos, los ataques de ransomware conllevan tasas de mortalidad más altas en los centros de salud. Dado que el sector manufacturero abarca diversos tipos de producción, como productos metálicos, automoción y equipos industriales, también es un sector muy atacado por el ransomware. Las instituciones financieras también son blanco frecuente. En este caso, los atacantes siempre buscan robar dinero y una enorme cantidad de datos de usuario sensibles. Hasta mayo de 2024, según las estadísticas deCamparitech, había un total de 4013 ataques con un rescate promedio de 408.044 $. Los 5 principales objetivos de ransomware por sector en 2024 son: educación, construcción e inmobiliario, gobierno central y federal, medios de comunicación, ocio y entretenimiento, y gobierno local y estatal.

De dónde provienen la mayoría de los ataques de ransomware

La mayoría del ransomware no es propagado por un individuo; más bien, ciertos grupos maliciosos desarrollan, perfeccionan y distribuyen el software de ransomware. Según elInforme de defensa digital de Microsoft, una buena mitad de estos grupos provienen de Rusia. Irán y Corea del Norte son otros focos comunes de grupos de ransomware, siendo Estados Unidos el objetivo más frecuente.

Conocer los orígenes comunes de las nuevas cepas de ransomware puede ayudar a las organizaciones a defenderse contra un ataque. Estos son los actores respaldados por Estados, las organizaciones criminales y los investigadores de seguridad que no siempre piensan en las consecuencias.

1. Actores respaldados por Estados

En este escenario, los actores maliciosos reciben apoyo monetario, técnico y de otro tipo por parte de un organismo gubernamental para crear una nueva amenaza de ransomware. Estos actores luego utilizan el ransomware para llevar a cabo un ataque que sirve a los intereses del organismo gubernamental. Dado que el organismo gubernamental no lanzó el ataque él mismo, puede intentar aprovechar este hecho para una negación plausible, aumentando así los costos políticos si otro Estado desea tomar represalias.

En mayo de 2021,The Hacker Newsinformó que investigadores de seguridad habían detectado una campaña de ransomware respaldada por el Estado, dirigida por el Cuerpo de Guardianes de la Revolución Islámica de Irán (IRGC). Quienes detectaron la campaña sospechaban que el IRGC la utilizaba como técnica de subterfugio para imitar las tácticas, técnicas y procedimientos (TTP) de los grupos de ransomware con motivación financiera, dificultando así la atribución.

2. Organizaciones criminales digitales

No todas las operaciones de ransomware reciben apoyo directo de una agencia gubernamental. Pero el apoyo puede adoptar muchas formas. Estos "corsarios", como señalaThreatpost, actúan según sus propias agendas financieras mientras se benefician de ciertas protecciones por parte de los organismos gubernamentales.

SegúnThe Washington Post, los desarrolladores de REvil parecen estar basados en Rusia, un país que históricamente ha hecho la vista gorda ante los grupos de ciberdelincuencia que operan dentro de sus fronteras. Los creadores del ransomware utilizaron esta protección para establecer un sistema de RaaS en el que se llevaban el 20-30% del pago del rescate, mientras que los afiliados se quedaban con el resto por llevar a cabo los ataques, robar los datos y desplegar el malware de cifrado. Gracias a este acuerdo, la banda REvil llegó a ganar 100 millones de dólares en dos años.

3. Investigadores de seguridad que no piensan en las consecuencias

A lo largo de los años, los investigadores de seguridad a veces han desarrollado programas de tipo ransomware con "fines educativos". Este fue el caso deHidden Tear. En el momento de su aparición en agosto de 2015, su creador advertía a los usuarios que "no lo usaran como ransomware", señalando que "irían a prisión por obstrucción a la justicia con solo ejecutar hidden tear, incluso si son inocentes".

Tendencias del ransomware que continuarán en 2024

Algunas tendencias clave en ransomware han surgido en los últimos años y probablemente continuarán en 2024 y más adelante. Estas son algunas de las principales tendencias del ransomware en los últimos años:

Ataques a la cadena de suministro: en lugar de atacar a una sola víctima, los ataques a la cadena de suministro amplían el alcance. Un ejemplo fue la explotación del softwareMoveit Transferde Progress Software, que provocó ataques de ransomware a gran escala por parte de la banda de ransomware Clop. En los últimos años, ha habido varios incidentes de este tipo, incluido el ataque aKaseya, que afectó al menos a 1.500 de sus clientes proveedores de servicios gestionados, y el hackeo deSolarWinds.

Triple extorsión: en el pasado, el ransomware consistía en que los atacantes cifraban la información encontrada en un sistema y luego exigían un rescate a cambio de una clave de descifrado. Con la doble extorsión, los atacantes también extraen los datos a una ubicación separada. Con el ransomware de triple extorsión, los atacantes también amenazan con divulgar los datos si no se les paga. La triple extorsión ha sido utilizada por varios actores de amenazas, incluida Vice Society en un ataque al sistema de tránsito rápido del Área de la Bahía de San Francisco.

Ransomware como servicio (RaaS): se acabaron los días en que cada atacante tenía que escribir su propio código de ransomware y ejecutar un conjunto único de actividades. El RaaS es un malware de alquiler. Permite a los atacantes utilizar una plataforma que proporciona el código de ransomware y la infraestructura operativa necesaria para lanzar y mantener una campaña de ransomware.

El ransomware es un tipo de software malicioso que puede cifrar todos sus datos o impedirle acceder a su computadora. El ransomware tampoco va a desaparecer pronto. Probablemente seguirá evolucionando de diferentes maneras. La mejor manera de defenderse contra el ransomware es reconocer y evitar los intentos de phishing, instalar software antivirus en su computadora y hacer copias de seguridad de todos sus archivos.