Etapas de un ataque de ransomware: desde el acceso inicial hasta la extorsión

Etapas de un ataque de ransomware: cómo operan los ciberdelincuentes

 

Las etapas de un ataque de ransomware permiten entender cómo operan los grupos criminales desde el acceso inicial a un sistema hasta la extorsión final a la víctima. En los últimos años, este tipo de malware se consolidó como una de las principales amenazas para organizaciones de todo el mundo, ya que no solo cifra la información crítica, sino que también roba datos sensibles para presionar el pago del rescate. Conocer cada fase del ataque es clave para detectar señales tempranas y aplicar medidas de prevención efectivas.

 

Acceso inicial: El comienzo del ataque

La etapa de acceso inicial es el primer paso en un ataque de ransomware. En esta fase, los atacantes buscan una forma de entrar en el sistema de la víctima. Pueden hacerlo mediante diversas técnicas, como el phishing, la explotación de vulnerabilidades o el uso de contraseñas débiles.

En el caso del phishing los atacantes envían correos electrónicos maliciosos que parecen provenir de una fuente confiable, como una organización legítima o entidad gubernamental. Estos correos electrónicos a menudo contienen un archivo adjunto o un enlace que, cuando se abre o se hace clic, descarga el ransomware en el sistema de la víctima.

En segundo lugar, la explotación de vulnerabilidades implica encontrar una debilidad en el sistema de la víctima, como un software desactualizado o una configuración de red insegura, que permita a los atacantes ingresar al sistema sin ser detectados. Una vez que los atacantes han encontrado una vulnerabilidad, pueden usar herramientas automatizadas para escanear la red y buscar más sistemas vulnerables.

Finalmente, los atacantes también pueden usar contraseñas débiles para acceder al sistema de la víctima. A menudo, las personas utilizan contraseñas que son fáciles de adivinar, como “123456” o “contraseña”. Los atacantes pueden probar estas contraseñas comunes o utilizar herramientas automatizadas para adivinar la contraseña correcta.

 

 

Tareas de reconocimiento. Las horas, días o semanas posteriores al acceso inicial

 

Durante la etapa de reconocimiento, los atacantes recopilan información sobre la red de la víctima. Buscan sistemas vulnerables y posibles puntos de acceso. Para ello, utilizan escaneos de red, análisis de tráfico e ingeniería social.

Con esa información, avanzan al movimiento lateral. En esta fase se desplazan desde el equipo comprometido hacia otros sistemas de la red. El objetivo es ampliar el control y acceder a información adicional. Para lograrlo, aprovechan accesos remotos, credenciales robadas y herramientas especializadas para explotar nuevas vulnerabilidades.

El movimiento lateral continúa hasta alcanzar sistemas de alto valor, como aquellos que almacenan datos financieros o información crítica. A partir de ese momento, comienza la exfiltración de datos.

En la etapa de exfiltración, los atacantes roban información sensible antes de cifrarla. Buscan datos financieros, personales o de propiedad intelectual. Utilizan técnicas como backdoors, malware especializado y herramientas de acceso remoto. En algunos casos, también recurren al phishing para obtener credenciales.

Luego, los datos robados se envían a servidores controlados por los atacantes. Esta información se usa como elemento de presión. Si la víctima no paga, los criminales amenazan con hacer públicos los datos, lo que puede generar daños reputacionales y consecuencias legales.

Finalmente, los atacantes ejecutan la etapa de despliegue del ransomware. El malware cifra los archivos y cambia sus extensiones. Esto impide el acceso a la información. Además, suele dejar una nota de rescate con instrucciones de pago. En algunos casos, el ransomware elimina copias de seguridad y se propaga a otros sistemas.

 

Extorsión: en los días, semanas o meses siguientes

La etapa final de un ataque de ransomware es la extorsión. En este punto, los cibercriminales buscan obtener un beneficio económico.

Para recuperar los archivos cifrados, exigen el pago de un rescate en criptomonedas. Sin embargo, no es la única forma de presión. También amenazan con publicar la información robada.

La filtración de datos se volvió una práctica común desde 2019. Los atacantes sustraen información sensible, como datos financieros, personales o de propiedad intelectual. Luego, la publican en sitios de filtraciones utilizados por grupos de ransomware. Esta acción puede dañar la reputación de la víctima y generar consecuencias legales.

Si la víctima no paga, los atacantes intensifican la presión. En muchos casos, venden la información robada en mercados clandestinos. Estos datos pueden usarse para nuevos ataques o para el robo de identidad. Además, la venta a compradores anónimos dificulta la identificación de los responsables.

 

Recomendaciones

Algunos consejos para evitar un ataque de ransomware —o detenerlo en caso de que esté desarrollando— son:

• •   Mantener el software actualizado: Es importante que las organizaciones y usuarios mantengan actualizado el software de sus sistemas operativos y aplicaciones, ya que las actualizaciones pueden incluir parches de seguridad que corrijan vulnerabilidades que pueden ser aprovechadas por cibercriminales.
• •   Usar soluciones de seguridad confiables: Es fundamental tener instalado software antivirus, firewall y otras soluciones de seguridad confiables para protegerse contra el ransomware y otros ataques de malware.
• •   Realizar copias de seguridad (backup) de forma regular: Tanto usuarios hogareños como organizaciones deben realizar copias de seguridad de forma regular de todos sus datos y sistemas críticos. Es importante almacenar las copias de seguridad en un lugar seguro y fuera del equipo del cual se realizó la copia, así se mantiene lejos del alcance de los ciberdelincuentes.
• •   Educar a las personas: En el caso de las organizaciones, quienes las integran deben ser conscientes de los riesgos de ser afectado por un ransomware o por alguna otra amenaza informática. Las organizaciones deben proporcionar formación y educación a quienes trabajan internamente para sepan cómo reconocer correos electrónicos de phishing y otras técnicas utilizadas por los ciberdelincuentes para distribuir ransomware.
• •   Implementar políticas de seguridad sólidas: Las organizaciones deben implementar políticas de seguridad sólidas, incluyendo el uso de contraseñas seguras y la limitación del acceso a datos y sistemas críticos.
• •   Establecer un plan de respuesta a incidentes: Las organizaciones deben tener un plan de respuesta a incidentes en su lugar para estar preparados en caso de un ataque de ransomware. El plan debe incluir los pasos a seguir para minimizar los daños y recuperar los datos de forma segura y rápida.
• •   Verificar la procedencia de los archivos adjuntos y enlaces: Tanto colaboradores de organizaciones como usuarios hogareños deben verificar la procedencia de los archivos adjuntos y enlaces antes de abrirlos o hacer clic en ellos, ya que pueden ser utilizados por los ciberdelincuentes para distribuir el ransomware.

 

 

Martina López
ESET WeLive Security