¿Qué es el ransomware CryptoLocker?

El ransomware es una industria de mil millones de dólares. La informática moderna tiene una historia tumultuosa marcada por innumerables virus y malware. En los últimos años, los ciberdelincuentes comenzaron a centrarse en la promesa de ganancias en forma de rescates. Al cifrar los datos y evitar que las víctimas accedan a ellos, estos actores se benefician de aquellos que no pueden permitirse perder datos críticos.

Las organizaciones sin protección contra ransomware son las más vulnerables a esta industria criminal en crecimiento. El Informe de tendencias de protección de datos 2023 de Veeam reveló que el 85 % de las organizaciones de todo el mundo habían sufrido al menos un ataque de ransomware. Lo peor es que más de la mitad de esas empresas pagaron el rescate para recuperar el acceso a los datos, una elección que una réplica segura de backup podría haber hecho innecesaria.

Muchas organizaciones simplemente no están preparadas para la creciente amenaza del ransomware. Si bien ha existido durante más de 30 años, no se convirtió en la lucrativa industria del cibercrimen que es hoy hasta hace aproximadamente una década. Uno de los más destacados es el virus CryptoLocker .

Explicación del ransomware CryptoLocker

La aparición de CryptoLocker en 2013 marcó el comienzo del flagelo del ransomware. Una vez infectado con CryptoLocker, el ransomware cifra los archivos de la víctima y luego exige el pago por la clave de descifrado, que a menudo asciende a cientos o incluso miles de dólares.

CryptoLocker se hizo tristemente célebre prácticamente de la noche a la mañana, en parte debido a su poderoso algoritmo de cifrado que hacía casi imposible la recuperación de datos sin la clave de descifrado original. Además, los atacantes detrás del ransomware amenazaban con borrar los datos de la víctima si no se pagaba el rescate dentro de un plazo determinado. Debido a su agresividad e impactos costosos, CryptoLocker sigue siendo una alerta de CISA. Aunque los sistemas modernos no son vulnerables al antiguo ransomware CryptoLocker, este fue pionero en el planteamiento de herramientas y estrategias que muchos ciberdelincuentes emplean en la actualidad.

¿Cómo funciona?

En la mayoría de los casos, CryptoLocker se entrega a través de correos electrónicos de phishing que intentan engañar a las víctimas para que descarguen y ejecuten el ransomware. Cuando apareció por primera vez, los atacantes de CryptoLocker utilizaban correos electrónicos diseñados para parecerse a avisos de seguimiento de UPS y FedEx. Una vez que la víctima descargaba y ejecutaba el ransomware, éste comenzaba a cifrar los archivos del sistema infectado.

CryptoLocker también intentaría propagarse a otras computadoras al hacerlo a través de los sistemas de archivos. En sistemas vulnerables, puede propagarse a unidades USB externas, memorias USB y almacenamiento en red, incluidas unidades asignadas y plataformas de almacenamiento en la nube.

El ransomware se dirigió específicamente a los sistemas Microsoft Windows, muchos de los cuales siguen siendo vulnerables, incluidos:

• Windows XP
• Windows Vista
• Windows 7
• Windows 8

Una vez que CryptoLocker comienza a infectar uno de estos sistemas y a propagarse, bloquea los archivos utilizando cifrado de clave pública RSA. Este enfoque utiliza dos conjuntos de cifrados para cifrar y descifrar datos, lo que es mucho más seguro que un método de clave única al compartir y transmitir datos. En ese momento, el cifrado asimétrico era menos común para el uso legítimo, y mucho menos para el ransomware.

Cuando las víctimas descubren un archivo cifrado, CryptoLocker exige el pago por las claves de descifrado necesarias para los datos. El malware también afirma que si el rescate no se paga en un plazo de tres días, los datos de la víctima serán eliminados sin posibilidad de recuperación. Por cierto, muchas víctimas de CryptoLocker pagaron el rescate y nunca recibieron las claves necesarias para desbloquear sus datos. Por este motivo, las autoridades y los expertos en ciberseguridad declaran que no se deben pagar las demandas del ransomware.

Historia

Cuando surgió en septiembre de 2013, CryptoLocker causó daños significativos, afectando sistemas y datos en todo el mundo. Sin que hubiera precedentes en cuanto a su efectividad y altas demandas de dinero, CryptoLocker se hizo infame de la noche a la mañana. Los actores detrás de esta nueva amenaza fueron la pandilla GameOver ZeuS, una banda de ciberdelincuentes conocida por utilizar el troyano ZeuS para robar credenciales bancarias.

En ese momento, CryptoLocker se convirtió en una de las formas más efectivas y nefastas de ransomware, emblemática en este caso de estudio de la historia del ransomware. El método llamó la atención de las autoridades por su capacidad para cifrar los datos de una víctima utilizando métodos de cifrado fuertes, algo inaudito para el ransomware en ese momento. Las extorsiones también fueron mucho más altas que las demandas convencionales de ransomware, y ascendieron a cientos o incluso miles de dólares. Para empeorar las cosas, parte de la estrategia de CryptoLocker era amenazar con la eliminación de archivos si no se pagaban los rescates.

En cuestión de meses, CryptoLocker causó graves interrupciones a empresas y agencias gubernamentales, muchas de las cuales se vieron obligadas a pagar rescates para recuperar el acceso a los datos. No fue hasta junio de 2014 que una operación multinacional liderada por Estados Unidos derrocó la botnet GameOver ZeuS. Conocida como Operación Tovar, la represión internacional se produjo simultáneamente en varios países.

CryptoLocker podría haber sido el incidente que puso al ransomware en el punto de mira, atrayendo efectivamente la atención de los cibercriminales en todo el mundo.

¿CryptoLocker sigue siendo una amenaza?

Aunque la Operación Tovar neutralizó a los atacantes responsables del ransomware original de CryptoLocker y redujo significativamente el número de ataques, en los años siguientes han surgido nuevas variantes. Las personas y organizaciones que no han implementado las medidas adecuadas para mitigar o contrarrestar los ataques de ransomware siguen siendo vulnerables.

Hoy en día, los descendientes de CryptoLocker son más perturbadores y dañinos. Muchos dependen de nuevos métodos de distribución y técnicas de cifrado, lo que hace cada vez más difícil detectar y prevenir los ataques que los utilizan. En muchos casos, los atacantes detrás de estos ataques exigen pagos de rescate mucho más altos acompañados de amenazas más intensas. Locky, WannaCry y Petya son algunas de las variantes más recientes.

También es común que estos ataques exijan el pago en Bitcoin y otras criptomonedas, que fue otro movimiento pionero de CryptoLocker. El auge de las criptomonedas ha facilitado la solicitud y recepción de pagos de rescate de forma anónima, lo que aumenta el atractivo de los ataques de ransomware para los ciberdelincuentes.

Cómo mitigar CryptoLocker

El ransomware representa una amenaza significativa para cualquier sistema que acceda o almacene datos críticos. Sin backups seguros, los datos están continuamente en riesgo, ya que el ransomware suele ser difícil de detectar hasta que es demasiado tarde. Lo mismo ocurre con CryptoLocker, que es difícil de detectar para la mayoría de las herramientas hasta que ya ha cifrado los datos.

Las organizaciones pueden mitigar la amenaza de CryptoLocker asegurándose de que todos los sistemas utilicen los sistemas operativos más recientes, aunque esto no necesariamente protegerá de las variantes más recientes de CryptoLocker. Las empresas necesitan un enfoque multifacético que incluya estrategias que abarquen la seguridad de la red, la gestión de cuentas y la supervisión continua. Y lo que es más importante, necesitan una estrategia de backup fiable y segura en caso de infección.

Detección

El primer paso para mitigar CryptoLocker es detectar cualquier signo de ataque lo antes posible. Estas son algunas de las formas de supervisión en busca de signos de amenazas de ransomware como CryptoLocker:

• Estrecha supervisión del tráfico de red en busca de transferencias sospechosas
• Revisar los registros del sistema con regularidad en busca de procesos o actividades inusuales
• Usar software de seguridad para detectar y bloquear procesos relacionados con el ransomware

Mientras tanto, la mayoría de los atacantes intentan infectar a las víctimas con ransomware a través de correos electrónicos de phishing, por lo que un correo electrónico extraño o sospechoso con un archivo adjunto podría indicar un ataque. Por esta razón, la vigilancia en la administración del correo electrónico es la defensa más confiable contra el ransomware.

Prevención

El primer paso, y quizás el más importante, para mitigar CryptoLocker es garantizar que los sistemas se mantengan actualizados con los últimos parches, correcciones y actualizaciones, incluido el sistema operativo, las aplicaciones y el software de seguridad. Las organizaciones deben centrarse en medidas preventivas como:

• Implementar fuertes controles de acceso y permisos de usuario para limitar el impacto de las vulnerabilidades
• Usar políticas de correo electrónico y sistemas de seguridad sólidos para bloquear correos maliciosos y filtrar archivos adjuntos sospechosos
• Formar a los empleados para que reconozcan y eviten los ataques de phishing más comunes

Por último, la forma más eficaz de protegerse frente a la pérdida de datos debido al ransomware es mediante la implementación de una estrategia sólida de backup. Incluso los sistemas y redes más seguros se ven comprometidos por los ataques de ransomware. En este sentido, la única prevención real es evitar la posibilidad de pérdida de datos.

Eliminación

Si se produce un ataque CryptoLocker, es importante evitar la propagación del ransomware desconectando completamente el sistema infectado de cualquier red y dispositivo de almacenamiento compartido. La eliminación rápida del malware es primordial para evitar cualquier cifrado adicional.

Los pasos para eliminar CryptoLocker incluyen:

• Aísle los sistemas infectados para evitar la propagación del malware, incluyendo cualquier sistema que pudiera haberse visto afectado
• Elimine de forma segura el malware del sistema con herramientas de seguridad de buena reputación
• Efectuar escaneado exhaustivos de los sistemas dentro de la esfera de impacto
• Restaure los archivos afectados desde un backup seguro
• Denuncie el incidente al Centro de Denuncias de Delitos en Internet (IC3, por sus siglas en inglés), una división del FBI

Detectar CryptoLocker en una etapa temprana del proceso de cifrado puede mitigar cualquier daño a los datos que cause, y la eliminación del malware en sí es relativamente fácil. Pero vale la pena señalar que los archivos que se cifraron antes de la detección no se pueden recuperar.

recuperación

Descifrar y recuperar archivos infectados de CryptoLocker u otros tipos de ransomware es extremadamente difícil. Las víctimas no tienen acceso a la clave necesaria para acceder a los datos cifrados. Dado que este tipo de malware utiliza claves de cifrado seguras, romper el cifrado es casi imposible. En algunos casos, es posible utilizar herramientas desarrolladas por empresas de ciberseguridad para descifrar archivos. Estas herramientas explotan las vulnerabilidades del algoritmo de cifrado y proporcionan claves de descifrado que las víctimas pueden utilizar para descifrar los datos.

El único método fiable para recuperarse por completo de un ataque de ransomware, con independencia de la variante usada, es un backup seguro. Al establecer una rutina de backup segura, si ocurre lo peor, la recuperación es completa y oportuna.

Cómo puede ayudarle Veeam

Desde el primer día, la solución de ransomware más efectiva es una estrategia de backup de datos. Las herramientas de backup y recuperación seguras de Veeam están diseñadas pensando en esto, para ayudar a las empresas y a las personas a proteger datos valiosos y críticos de las amenazas de ransomware de cualquier tipo.

Usar las soluciones poderosas y seguras de Veeam garantiza que los datos estén siempre seguros, independientemente de la eficacia de los ataques que surjan del submundo del cibercrimen. Las soluciones de Veeam ofrecen una protección integral, ya que brindan herramientas sólidas de backup y cifrado en múltiples plataformas, incluidos los entornos en las instalaciones, híbridos y en la nube, lo que garantiza que sus datos estén seguros y disponibles, sin importar dónde los almacene.