Esta nota fue publicada originalmente en la edición 290 de revista USERS. Podes suscribirte a la versión impresa y/o digital aquí.
Por Emiliano Piscitelli
Todavía recuerdo hace unos años cuando un amigo me comento que se había bloqueado su notebook y no podía acceder a ella. En la pantalla podía observar un “cartelito” algo extraño que le indicaba que debería pagar la suma de U$S 300 en BitCoins para poder desbloquearla.
Luego, como si de una moda se tratase, comenzaron a llamarnos distintos clientes, algunos con casos como los de nuestro amigo y otros diciéndonos que ya no podían acceder a sus documentos. Al querer abrirlos les aparecía un “cartelito” que indicaba que para acceder a ellos deberían pagar una suma que iba desde U$S 100 hasta U$S 600. Ese fue nuestro primer acercamiento a lo que hoy se conoce como Ransomware.
Qué es y cómo funciona
Tal como lo indica su nombre (Ransom = Rescate), el Ransomware fue diseñado para secuestrar el acceso a los archivos de las computadoras y así poder pedir un rescate. La variante que cifra los archivos también es conocida como CryptoLocker. Generalmente es distribuido a través del envío de mails, páginas web previamente atacadas o a través de troyanos preinstalados en los equipos de las víctimas, afectando principalmente a los sistemas operativos Windows.
Un caso de Ransomware se presenta como un archivo comprimido (generalmente con la extensión ZIP) y al abrirlo la víctima se encuentra con archivos de formatos “supuestamente” PDF. Decimos supuestamente porque en realidad son archivos EXE (ejecutables) a los que se les agrega la extensión PDF aprovechando la funcionalidad preactivada de Windows que oculta las extensiones. Una vez que la víctima ejecuta este falso PDF, comienza todo. Como primera medida el malware se instala (generalmente en la carpeta Mis Documentos) otorgándose un nombre aleatorio, para luego crear una entrada en el registro de Windows y así poder activarse en caso que el equipo se apague. Una vez concretado lo anterior, intenta conectarse a los servidores donde se aloja su centro de control. En la mayoría de los casos son equipos previamente atacados, a los cuales los atacantes mantienen el acceso sin que sus dueños estén enterados. De esta manera mantienen el anonimato en caso de ser rastreados.
Una vez conectados se generan el par de claves “Pública” y “Privada”, utilizando para ello el algoritmo RSA de 2048 bits. La clave pública se usa para cifrar los distintos archivos de la víctima (generalmente los archivos a cifrar son extensiones DOC, PDF, XLS, imágenes, archivos CAD y cualquier otro que se presuponga de importancia para el usuario), mientras que la clave privada quedara en el equipo del cual el atacante posee el control y la misma es la única que podrá descifrar los archivos.
Figura 2. ¡Amarga sorpresa! El Ransomware Cryptolocker ha hecho de las suyas en nuestra PC.
Figura 3. Los atacantes tratan de eludir los controles tradicionales y exigen el pago mediante BitCoins.
Figura 4. Las tarjetas MoneyPak, difíciles de rastrear, es otro de los métodos de pago usuales para el Ransomware.
Figura 5. Ya pagamos, lo que puede ser doblemente malo. Probablemente no recuperemos los datos y alentamos a los malhechores virtuales.
Acto seguido se muestra un mensaje en pantalla (Figura 2) donde se indica que se han cifrado los archivos y que para poder descifrarlos se tendrá que pagar un rescate. Generalmente se da la opción de pago a través de medios que ayuden a mantener el anonimato, como BitCoins o MoneyPak (tarjetas prepagas) (Figura 3 y Figura 4). A este mal momento se suma una cuenta regresiva (generalmente de 72 horas) indicando que al término de un tiempo la clave privada se destruirá y no se podrán recuperar los datos.
Pago de rescate
En caso que la víctima acceda a pagar el rescate, se le mostrará un mensaje donde se indica que la transacción esta siendo llevada a cabo de manera manual, por lo que es posible que tarde hasta 2 días hábiles en ser concretada (Figura 4). Sin embargo, el tiempo para la destrucción de la clave privada se detendrá el tiempo que tarde el proceso de pago. Una vez realizada la transacción, comenzará el descifrado de los archivos y al final del mismo podrá observarse un aviso donde se indica que en caso que algún archivo no haya podido ser descifrado, el mismo deberá pegarse en el escritorio para reintentar descifrarlo. Si todo resultase bien se podrá hacer sobre el botón [Cancelar] e inmediatamente se desinstalará el malware. En teoría ya podremos acceder a los datos que habían sido “secuestrados”.
Como agravante, se debe sumar el dilema si pagar o no. Y en caso que así decida hacerlo, deberá confiar en la “buena voluntad” del delincuente.
Han existido muchos casos en los que se pagó el rescate y se pudo recuperar el acceso a los archivos sin mayores problemas; pero también existieron otros tantos donde no se obtuvo una respuesta por más que se haya pagado.
Desde distintos sitios oficiales pertenecientes a agencias de seguridad no se recomienda el pago del rescate, ya que de esta manera se estaría fomentando el crecimiento de este tipo de delitos.
Pocos días antes de escribir esta nota se dio a conocer un caso en el que la víctima del Ransomware fue la policía de Tewksbury en Massachusetts, EE.UU. El 7 de Diciembre pasado los equipos de la red del departamento de policía fueron víctima de un ataque de CryptoLocker (como es conocido el tipo de Ransomware que cifra los archivos). En cuanto se tomó conocimiento de este incidente, el departamento comenzó a trabajar en el caso con la colaboración de la Policía Estatal, el FBI y la agencia de seguridad (NSA). Pero el esfuerzo fue en vano ya que no pudieron obtener el acceso a los datos, quedándoles solo la opción de pagar U$S 500 en BitCoins para poder recuperar el acceso a sus archivos.
Luego de lo sucedido, el Jefe del departamento de Policía dijo lo siguiente: “Desde luego que no negociamos con ciberterroristas, pero esto pasó a ser la tormenta perfecta en la que sentimos que teníamos que ejercer nuestra opción del último recurso. Así fue que tuvimos que pagar el rescate corriendo el riesgo de no recibir la clave de cifrado. Como resultado de este incidente hemos hecho una serie de cambios en nuestra política de seguridad y almacenamiento y hemos hecho todo lo posible para compartir nuestra experiencia con otros departamentos de policía”.
El cibercrimen se toma una vida
Una típica pantalla de Ransomware en la que se disfraza el secuestro del equipo como una multa estatal por mirar pornografía.
Joseph Edwards, un adolecente de 13 años de la ciudad de Windsor en Berkshire, Inglaterra, tomo la decisión de quitarse la vida luego de ser víctima de un Ransomware. El joven recibió un mensaje donde se lo acusaba de haber visitado y descargado contenido de páginas pornográficas, por lo que debía pagar 100 Libras (el equivalente a U$S 230) o en caso contrario la policía iniciaría una investigación en su contra.
Jacqueline Edwards (madre de Joseph) lo encontró colgado en su casa y luego supo que horas antes le había llegado el mensaje a su hijo. Joseph sufría de autismo y según su madre parecía estar progresando en sus relaciones sociales. Al parecer, la enfermedad que sufría no lo dejó distinguir si el mensaje era verídico o se trataba de un engaño, lo que desencadenó este final trágico.
Ransomware ayer y hoy
Desde sus inicios el Ransomware tuvo como único objetivo obtener el mayor número de víctimas posibles sin realizar segmentación alguna. Para ello se enviaban campañas de phishing masivas a distintas cuentas de mails con dominios públicos (Hotmail, Gmail, Yahoo!, etc). Las direcciones se obtenían a través de fuentes públicas (foros, listas de mails, etc.), como también recurriendo a la compra ilegal de bases de datos.
Una de las primeras acciones que realizaban este tipos de ataques era el bloquear los equipos de sus víctimas dejándolas sin acceso. Tiempo después pudo observarse una variante que actuaba cifrando archivos vitales para el usuario, haciéndoles llegar a las víctimas mensajes con supuesta procedencia del FBI u otras agencias federales (dependiendo del país). Generalmente se acusaba a las personas de infringir distintas leyes al visitar sitios de pornografía y tener almacenadas imágenes y videos de igual clasificación.
Hoy en día se está observando un aumento notable y una clara segmentación, donde el objetivo ya deja de ser el “usuario común” para pasar a ser empresas y gobiernos. Así, las campañas de phishing son dirigidas a dominios gubernamentales y corporativos (@policia.com, @gobierno.com, @empresa.com, etc.).
Algo muy alarmante también son los crecientes ataques a la plataforma móvil Android . Allí los ciberdelincuentes aprovechan el “descuido” de la gran mayoría de los usuarios para poder obtener el control de los dispositivos y de esa manera replicar las técnicas que utilizaban sobre las PCs de escritorio y notebooks.
Cómo prevenirlo
A continuación veremos una serie de pasos y consejos a seguir para evitar ser víctima del Ransomware:
* Mantener todo el software del equipo actualizado.
* Asegurarse que las actualizaciones automáticas estén activas para poder de esta manera recibir los últimos parches de seguridad de Microsoft.
* Mantener activado el firewall.
* Usar un bloqueador de ventanas emergentes.
* Los archivos maliciosos ocultan su verdadera naturaleza utilizando distintas técnicas. Para tener visibilidad en todo momento del tipo de extensión real del archivo se recomienda deshabilitar la opción de [Ocultar las extensiones de archivo para tipos de archivo conocidos], en las [Opciones de Carpeta] del Explorador de archivos de Windows.
* Tener contraseñas seguras y no utilizar la misma contraseña para todo.
* Tener siempre copias de seguridad actualizadas, tanto de los datos locales como de unidades de almacenamiento en dispositivos externos.
* No abramos mensajes de correo electrónico no deseado ni hagamos clic en enlaces de sitios web sospechosos, por más que hayan sido enviados por un contacto nuestro. Evaluemos el contexto antes de tomar cualquier acción.
* Sólo descarguemos software de confianza. El malware también puede venir en los juegos, programas de intercambio de archivos y barras de herramientas personalizadas.
* Podemos usar Microsoft Security Essentials (herramienta gratuita) o cualquier otro programa antivirus/anti-malware de buena reputación.
* Utilice las mismas precauciones en su teléfono móvil como lo haría en su Notebook o WorkStation.
* Anti Ransom: hace un tiempo Yago Jesús (www.securitybydefault.com) publicó una herramienta llamada Anti Ransom (al momento de escribir esta nota se encontraba en la versión 2.0). Este software ayuda a evitar el malware en forma proactiva.
¿Y si ya lo tengo?
Es posible que ya hayamos sido afectados por el Ransomware o pensemos que lo estemos. Pues bien, hay una serie de acciones para verificar si realmente nuestro equipo se encuentra comprometido. También podemos aminorar los daños en caso que esto se confirme.
Si dudamos si nuestro equipo ha sido afectado, podemos realizar un escaneo con nuestros programas normales de antivirus y anti-spyware (también tengamos en cuenta a Safety Scanner de Microsoft (www.redusers.com/u/4s3). Si los programas de protección se encuentran actualizados es muy probable que detecten el Ransomware.
En caso de haber confirmado que su equipo fue afectado es recomendable seguir los siguientes pasos:
1) Apagar inmediatamente el equipo tras detectar la infección y aislarlo de la red.
2) Desconectar todos los dispositivos de almacenamiento USB o unidades compartidas de red. Desactivar cualquier servicio de copia de seguridad en la nube que esté utilizando (Dropbox, Office 365, etc.)
3) Entrar en modo seguro al sistema y proceder a recuperar las Volume Shadow Copies.
4) Proceder a la restauración de las copias de seguridad.
5) Intentar recuperar los archivos con herramientas forenses.
Conclusiones
Como ya pudimos observar, los ataques de Ransomware son muy difícil de mitigar y representan una prueba contundente de que una de las tareas mas importantes dentro de la seguridad informática es la de concientizar a los usuarios en el uso de las diferentes tecnologías, evitando de esta manera llegar a comprometer los distintos datos y sistemas.
En el caso concreto de las empresas y el gobierno, es necesario implementar un buen plan de concientización, unas políticas claras tanto en el resguardo de los archivos como en la administración y mantenimiento de los diferentes programas y sistemas operativos. Todo esto ayuda a mantener un umbral respetable de seguridad, pudiendo de esta manera evitar (o mitigar los efectos) distintos tipos de ataques.
En el caso de ser un usuario hogareño se podrá seguir las recomendaciones que hemos enumerado. Pero más importante aun es estar atentos (no paranoicos) y evaluar el contexto antes de abrir un mail, evitar la visita a páginas sospechosas, etc.
Enlaces de interés
* Criptografía RSA: http://es.wikipedia.org/wiki/RSA
* Anti Cryptolocker: www.decryptcryptolocker.com
* Utilidades varias: http://support.kaspersky.com/viruses/utility
* Microsoft Safety Scanner: www.redusers.com/u/4s3
* Anti Ransom: www.security-projects.com/?Anti_Ransom
[…] “Ransomware, qué es y cómo funciona el secuestro digital“ […]
Es por una cuestión estetica que existe… Idea de algun iluminado hace ya varios años atras.
Jajaja leo las precauciones y me da risa porque por más antivirues, firewall etc etc. Todo empieza primero por el usuario, sino queres cosas raras en la pc no abras cualquier huevada que te llega. En el 99% de los casos de “contagio” es la falta de sentido común del usuario. Mil veces he visto gente donde el antivirus les alerta “pepe, es virus no abras” pero pepe insiste desactiva el AV, “quiero ver las fotos de la cris en tanga” y sorpresaaaa. Luego pepe anda lloriendo por aca y por alla.
[…] entrada Ransomware: Qué es y cómo funciona el secuestro digital aparece primero en […]
Desde hace unos 10 años que usamos Debian (una distribución de GNU/Linux) jamás hemos tenido un incidente de seguridad, ni nosotros con tres servidores más varias terminales y notebooks, ni nuestros clientes que lo adoptaron también hace algunos años. Desde entonces nos dedicamos a trabajar y no ha “limpiar” nuestros equipos. Jamás usaré otra cosa que no sea Linux en nuestro entorno.
[…] Fuente: https://www.redusers.com/ […]
no existe metodo algunos para obtener la clave generada por el algoritmo RSA-2048, si llegas a encontrar una web que diga eso es mentira. en algunas web sobre dicho algoritmo se dice que se necesitaria un ordenador cuantico para poder encontrar la clave generado por dicho algoritmo y en caso de que alguien la encuentre se ganaria 200000 verdes
Es al día de hoy que no entiendo esa maldita función de ocultar las extensiones a los archivos en Windows. ¿Qué beneficio trae? Incluso aunque esté apuntada a usuarios menos experimentados… ¡De hecho debería ser lo contrario!, ¡venir por defecto que se vean las extensiones! ¡O no existir!
Realmente es una función que le facilita la vida a los ciberchorros.
Siempre hay que saber la extensión real de un archivo, SIEMPRE. No conozco ventaja de no conocer la extensión. Y es al día de hoy que no entiendo con todos los problemas que surgieron que Microsoft no haya puesto por defecto que se vean las extensiones.
Es una de las primeras medidas que tomo con una instalación nueva de Windows…
Yo soy profesional y trabajo con Windows no Linux, la diferencia que a Linux lo atacan menos porque no lo utiliza practicamente nadie. Todo pasa por la cultura del usuario y los sistemas que utiliza para no descargar cosas irresponsablemente.
linux no esta libre de esto tampoco, ya fue noticia que equipos del fbi fueron infectados por este tipo de malware en distros de linux
el problema que una vez que encripta todo que un antivirus sin tener la clave que genero el malware nunca va a poder descifrar la clave RSA.
como dice la wiki el cifrado rsa “La seguridad del criptosistema RSA está basado en dos problemas matemáticos: el problema de factorizar números grandes y el problema RSA. El descifrado completo de un texto cifrado con RSA es computacionalmente intratable, no se ha encontrado un algoritmo eficiente todavía para ambos problemas. Proveyendo la seguridad contra el descifrado parcial podría requerir la adición de una seguridad padding scheme.”
en resumen ningun antivirus tiene cura contra este problema una vez que infecto el sistema, la unica forma de mitigarlo es con copias de seguridad, el antivirus ayuda pero mas ayuda no abrir todo lo que llega por mail o entrar a paginas de cracks. termina siendo mas económico comprar soft legal que uno con crack en algunos casos
Que lio con este malware, interesante este articulo descriptivo del problema y una puerta a decir que NO HAY una solucion concreta de los antimalware para este ataque; de mi experiencia quedan 2 temas a la vista: la cultura de uso de tecnologias informatica es basica y descuidada por muchos usuarios y en el caso de las empresas la inversion en seguridad sigue siendo baja; pero lo que mas me preocupa es la falta de respuesta de los antimalware a nivel empresas; no todos lo detectaron al principio o se les pasa, y hubo que hacer herramientas especificas para removerlo y bloquearlo fuera del antimalware que muchos tenian instalados; pero mas aun NO son parte de la solucion de recuperacion de los archivos infectados. Ante el primer caso visto hace un tiempo, evalue los 25 software antimalware que rankeaban en ese momento, probe sus herramientas y muy pocos lo detectaban y casi ninguno lo sacaba, pero hablando con sus soportes MENOS podriamos pretender que lo CURARAN a los archivos infectados, me quede con una respuesta comun de los antimalware que me sorprendio “nosotros hacemos productos para prevenir la infeccion no para curar una infeccion”; sin lugar a dudas EL NEGOCIO de los ANTIMALWARE CAMBIO y hoy muchas MARCAS son mas COMERCIALES que EFECTIVAS COMO PRODUCTO, un Antivirus antiguamente tenia la doble funcion de prevencion y deseinfeccion o cura, SIN EMBARGO HOY DEBERIAMOS PONER A PRUEBA NUESTROS ANTIMALWARE para ver cuanto nos protegen y cual es la respuesta ante una infeccion; bueno esta respuesta nos llevo a dejar el set de seguridad que veniamos recomendando y hacer una busqueda y prueba de productos de mejor rendimiento y DIALOGO con el usuario en busca de soluciones cuando los problemas NO SEAN DE MANUAL, buscar software Antimalware y de proteccion es una tarea periodica nuestra y los probamos ya que en la buena eleccion radica la seguridad de nuestros equipos; pero digamos que desde hace años siempre rankeaban en nuestras pruebas para recomendar los mismos 2 o 3, hasta que esta amenaza dejo en evidencia que muchas de las empresas antimalware SE TRANSFORMARON MAS EN COMERCIAL que en LABORATORIOS DE I+D EN BUSCA DE PROTEGERNOS MEJOR.
De esta mala experiencia, sacamos dos conclusiones que TOCAN en realidad LA CULTURA DEL USUARIO Y ACOSTUMBRARSE A BUENAS PRACTICAS AUNQUE SEAN MOLESTAS, sabemos que muchos usuarios NO son faciles, incluso usuarios de empresas porque NO les gusta que las cosas tengan claves o les salga un cartel, pero son cosas que se deben hacer; 1) el uso de claves fuertes (de 8 a 12 caracteres donde al menos haya 1 numero, 1 letra minuscula, 1 letra mayuscula, 1 simbolo y no sea una informacion publica del usuario), 2) a pesar de esta recomendacion del punto 1 existen muchas empresas de software principalmente software en dispositivos de hardware que no soportan claves fuertes y hacen de por si vulnerables los dispositivos, pero es algo que en la medida que la cultura del usuario crezca se puede exigir 3) los backups sin empaquetar o aun empaquetados que se tiene acceso desde la PC infectada TAMBIEN ESTAN EN RIESGO con este tipo de ataques, por lo que RECOMENDAMOS EMPAQUETAR LOS BACKUPS AUTOMATICAMENTE CON CLAVE FUERTE, y esperamos que las empresas proveedores de software ANTIMALWARE se pongan las PILAS EN LA DETECCION Y DESINFECCION O CURA de este tipo de ataques, con respecto a los autores o facilitadores o cobradores del secuestro creo que SE DEBE ANALIZAR si los encargados de SEGURIDAD de estas empresas DEBEN MEJORAR ALGO Y TRABAJAR EN CONJUNTO CON AGENCIAS POLICIALES Y DE JUSTICIA Y CONDENAR A SUS ACTORES, este tipo de cosas muestran vulnerabilidades pero dañan aun mas el uso del ciberespacio y desalienta su uso como confiable.
La semana pasada me afecto!… intente todo!.. perdì TODO. Lo peor es que tenia mi unidad de resgurardo conectada… hasta esa unidad externa me encripto, despues de dias perdidos intentando encontrar una solucion, nada, el virus, sì, lo eliminas, pero te quedan los archivos encriptados; el detalle de hacer una restauraciòn de los archivos anteriores con diferentes herramientas… es si no tocaste nada en la PC (llamese, pasar limpiadores, eliminar temp, y demàs yerbas producto de la desesperacion!) en cuanto ententarse pasar otros programas, se pierde todo!
Asesorado por personas que creo que saben.. la conclusiòn es …. PERDISTE TODO. 🙁 🙁 todo esta encriptado, adios fotos y videos de toda la vida, ni hablar de los archivos de trabajo.
Me lei todo en la WEB, hasta leì que fue en cana uno de los primeros creadores, pero la amldad la continuaron otros! … y de una pagina que creo un mètodo de desincriptacion, … pero no esta activa 🙁
Por supuesto, todos las personas consultadas (profesionales ellos) son los que trabajan con Linux… se imaginan
la recomendaciòn que me dieron!.. ergo.. A partir de la semana que viene …. tendrè doble boooteo… a sumergirnos en el mundo ubuntu!
Aclaro… el error fue mio, soy un Gil!.. no cumpli todas las reglas de seguridad descriptas anteriormente, y no puedo entender en que momento, que hice para infectarme,… lo unico que me suena es que empecè a incursionar por buscadores y paginas rusas buscando informaciòn,,, fue lo unico diferente que hice la semana pasada, creo que hice algo mal 🙁
Ok, termine mi pequeña catarsis, ya resigado, usando la PC de mi hijo 🙂 … si alguien sabe algo, porfi, pasen el dato.
saludos a todos
Si el FBI no pudo evitar tal ataque no pretendan que un simple usuario hogareño si pueda hacerlo… NO ES MUY ALETADOR ESE DATO… Después piden que no se paranoiquee la gente…