Ransomware: qué es, cómo entra en la empresa y qué hace el cortafuegos para frenarlo

El ransomware es, según INCIBE, uno de los incidentes que más afecta a las empresas. Es un tipo de malware que «secuestra» los equipos, normalmente cifrando su información, y pide un rescate (ransom, en inglés) a cambio de devolverla. El mensaje suele llegar cuando el daño ya está hecho, con amenazas de destruir los datos y prisas para pagar.

Cifrar y, además, robar

La guía #StopRansomware, que publicaron en septiembre de 2023 la agencia de ciberseguridad de Estados Unidos (CISA), el FBI, la NSA y el MS-ISAC, explica cómo ha cambiado el ataque:

• Cifrado: los datos quedan inservibles y el atacante pide dinero por la clave para descifrarlos.
• Doble extorsión: antes de cifrar, se llevan una copia de los datos y amenazan con publicarla si no se paga.
• Solo extorsión: en algunos casos roban los datos y amenazan con difundirlos sin llegar a cifrar nada.

Por eso tener copias de seguridad ya no resuelve todo el problema: recuperan el trabajo, pero no evitan que los datos robados salgan a la luz.

Cómo entra

INCIBE señala como vía habitual la ingeniería social: un correo o un SMS con un adjunto o un enlace que lleva a la víctima a descargar el malware. También puede entrar por equipos vulnerables o a través de otro malware que ya estaba dentro. La guía de CISA agrupa sus recomendaciones según la vía de entrada:

Lo de los servicios expuestos no es teoría: los intentos de entrar por escritorio remoto empiezan en cuanto el puerto aparece en internet, como se cuenta en la guía del ataque de fuerza bruta.

Qué le toca al cortafuegos

INCIBE pide contar con un cortafuegos actualizado y bien configurado. Explica por qué: una vez dentro, el malware intenta conectarse con su servidor de mando y control para recibir órdenes y descargar el resto del ataque, y esa comunicación se puede cortar desde el cortafuegos. La guía de CISA añade varias medidas que caen en el mismo equipo:

• Nada de servicios publicados sin necesidad. Ni escritorio remoto ni otros servicios a la vista de internet. Para entrar desde fuera, INCIBE prefiere una VPN a los programas de escritorio remoto.
• Bloquear SMB en el perímetro. CISA recomienda cerrar en el cortafuegos de internet el puerto TCP 445, de entrada y de salida, y también los 137, 138 y 139.
• Bloquear las herramientas de control remoto. Cortar en el perímetro las conexiones de entrada y de salida de los puertos habituales de los programas de gestión remota (RMM), que los atacantes usan para quedarse dentro.
• Segmentar la red. Separar las áreas de la empresa entre sí, por ejemplo con VLAN y reglas entre ellas, para que una intrusión no llegue a todo. CISA lo enmarca en la confianza cero y avisa de que la segmentación se puede romper por un error, por ejemplo al conectar un mismo pendrive en varios segmentos.
• Vigilar la salida. Entre las señales de robo de datos, CISA cita un volumen anormal de datos saliendo por cualquier puerto, también por el 443 de HTTPS, por el que los atacantes han llegado a meter túneles.

Esto es criterio de esta web, a partir de lo anterior: el control de las conexiones de salida es donde más se nota un NGFW frente a un cortafuegos básico, porque puede reconocer aplicaciones y destinos, no solo puertos. Un IPS y los registros enviados a un SIEM ayudan a ver el movimiento raro antes del cifrado. Aun así, ningún cortafuegos para un adjunto que alguien abre ni sustituye a las copias de seguridad.

Lo que no hace el cortafuegos

INCIBE y CISA coinciden en el resto de medidas, que no dependen de la red:

• Copias de seguridad desconectadas. CISA pide copias cifradas y fuera de línea de los datos críticos, y probar con regularidad que se pueden restaurar. Insiste en lo de fuera de línea porque muchas variantes de ransomware buscan y borran o cifran las copias que encuentran.
• Todo el software actualizado, como pide INCIBE, y revisiones periódicas de vulnerabilidades, como pide CISA.
• Formación de la plantilla para reconocer la ingeniería social. INCIBE la sitúa como el primer punto de su lista.
• Un procedimiento para actuar en caso de incidente, escrito antes de que haga falta.

Si ya ha pasado

INCIBE recomienda no pagar nunca el rescate: no garantiza recuperar el acceso a la información y fomenta estos ataques. Propone estos pasos:

1. Aislar inmediatamente los equipos afectados.
2. Clonar los discos de los equipos infectados.
3. Denunciar el incidente ante las Fuerzas y Cuerpos de Seguridad del Estado.
4. Cambiar todas las contraseñas de red y de cuentas en línea que se pueda.
5. Desinfectar los equipos y recuperar los archivos cifrados.
6. Restaurar los equipos para volver a la actividad.

Para el primer paso, CISA añade que, si hay varios equipos o subredes afectados, se desconecte la red en el switch, y que, si no se puede, se desenchufen los cables o se apague la WiFi de los equipos. Apagarlos queda como último recurso, porque se pierden pruebas que están en la memoria. Al recuperar, avisa de no volver a infectar lo limpio: si se crea una VLAN para la recuperación, solo deben entrar en ella equipos limpios.

INCIBE ofrece además su servicio de respuesta a incidentes para empresas afectadas, y enlaza al proyecto colaborativo No More Ransom, que ayuda a recuperar los datos sin pagar el rescate.