El mundo de antivirus

viernes 4 de diciembre de 2020

Según informó la edición en Internet Bleeping Computer, con el cifrador Trojan.Encoder.33222 (o Egregor) fue atacado el minorista Cencosud que funciona en el territorio de la mitad de los países de América Latina y tenía ganancias de 15 mil millones USD. Como resultado del ataque, el funcionamiento ordinario de las tiendas fue paralizado y múltiples dispositivos de toda la red estaban bloqueados. Básicamente, fueron afectados los servicios digitales, incluidos pagos digitales etc. Así mismo, las impresores de la red víctima empezaron a imprimir la así llamada ransom note – una demanda de rescate. Se puede suponer que eso se hacía para publicitar el software de extorsión usado.

El algoritmo de las acciones de los ciberdelincuentes es estándar: si no se recibe el pago, los mismos prometen publicar la información muy importante para la empresa durante 3 días, lo cual supuestamente causará daños financieros superiores al pago del rescate. El importe del rescate no se menciona.

No es el único caso de ataques de los extorsionistas a las grandes empresas hoy día. En el año 2020 se contempla un crecimiento del número de incidentes similares. Por ejemplo, por culpa de Egregor, activo desde septiembre de este año, ya sufrieron las empresas – desarrolladores de juegos Crytek y Ubisoft, así como la librería minorista norteamericana Barnes and Noble.

Las empresas responden a los ataques de varias formas, pero lamentablemente muchos realmente sufren pérdidas importantes que como mínimo incluyen los gastos para corregir las consecuencias de la infección y los vinculados a los periodos de inactividad forzosos. Si los hackers realmente consiguen robar la información de valor, Cencosud sufrirá más pérdidas.

Como averiguaron los analistas de nuestra empresa, Trojan.Encoder.33222 mencionado más arriba usa el algoritmo de cifrado Chacha20 para cifrar archivos, así mismo, la clave se genera por el troyano in situ. Durante su evolución los troyanos cifradores fueron perfeccionados y, como resultado, pocas veces es posible recuperar los datos afectados por los mismos (en caso de Trojan.Encoder.33222 los datos no pueden ser descifrados con probabilidad de 99%), sobre todo si se trata del nuevo malware dirigido a las empresas (frecuentemente los atacantes mismos no pueden descifrar los datos). Y en la práctica cualquiera puede ser víctima de estos ataques, sobre todo a causa del desarrollo del modelo RaaS (extorsión como servicio; similar a SaaS – software como servicio). En este caso los operadores de cifradores (al igual que Egregor, al que cambian los grupos de hackers que anteriormente habían trabajado con los dueños de otro cifrador, Maze) ofrecen herramientas listas para ataques a todos los interesados, y luego el cliente seleccione el objetivo directo del ataque.

Cada mes recibimos centenares de solicitudes al soporte técnico causadas por los ataques de los extorsionistas – tanto de los usuarios ordinarios como de las empresas y entidades de varios tamaños y tipo de actividad.

Todo esto significa que cualquier empresa puede ser atacado. Y se recomienda no solamente protegerse contra la amenaza de la infección, sino también disponer de un esquema de respuesta a incidentes informáticos. Los esquemas de recuperación deben no solo referirse al trabajo interno de los servicios IT, sino también a los departamentos de Business Continuity Management, que deben encargarse de los procedimientos de respuesta y recuperación en caso de acciones de los malintencionados, vinculados así mismo al uso de los programas cifradores.

Tanto los usuarios ordinarios como las empresas deben entender cómo pueden actuar los malintencionados, qué estructuras pueden ser vulnerables y a qué amenazas, y cómo se puede y se debe protegerse uno contra las amenazas modernas.

Cabe destacar también la opición del regulador – el Banco de Rusia:

La cita mencionada significa que debemos no solamente protegerse contra los ataques, sino también tomar medidas de prevención de los ataques similares en el futuro. Para lo cual, por supuestos, debe analizarse el incidente producido al detectar sus causas reales y recibir recomendaciones de modernización del sistema de seguridad. La empresa Doctor Web puede ofrecer estos servicios.

#Trojan.Encoder #extorsión #protección_contra_la_pérdida_de_datos #cifrador