La Agencia de Transporte Municipal de San Francisco no fue simplemente pirateada. Lo retuvieron para pedir rescate.
En noviembre, los atacantes se apoderaron de una parte de la red de la agencia. Para el Día de Acción de Gracias, los quioscos de venta de boletos en el tren ligero se apagaron. Las pantallas de la agencia no mostraban códigos de error ni avisos de mantenimiento. Mostraron un mensaje escalofriante: “Usted pirateó, TODOS los datos cifrados. Contacto para obtener la clave ([email protected]) ID: 681, ingrese”.
La demanda era enorme. 100 bitcoins. Aproximadamente 73.000 dólares en ese momento. ¿Fecha límite? Martes.
Suena como el titular de una novela distópica. Sin embargo, lo más sorprendente de la violación de la SFMTA no es el caos. Así de inevitable se siente. Tratamos estos incidentes como anomalías. No lo son. Son la nueva base para la seguridad digital.
Зміст
La economía del ransomware
El ransomware ha pasado de ser una molestia a una principal fuente de ingresos para los ciberdelincuentes. Andrew Howard, CTO de Kudelski Security, lo expresa sin rodeos: los atacantes han promovido esta técnica de una de muchas opciones a una de las herramientas más efectivas en su caja de herramientas.
¿Por qué el cambio?
Todavía existe otro malware. Troyanos. Software espía. Pero carecen de la recompensa financiera directa. El ransomware cambia las reglas del juego eliminando al intermediario.
Joe Opacki, vicepresidente de investigación de amenazas de PhishLabs, destaca la simplicidad. “En lugar de tener que robar datos y venderlos o alquilar botnets… el ransomware ofrece pago directo”.
Infectar la máquina. Bloquea los archivos. Pide dinero en efectivo. Sin blanqueo de datos. No hay traficantes en el mercado negro. Sólo una transacción directa, generalmente en Bitcoin o MoneyPak, que son más difíciles de rastrear que la moneda física.
El volumen es asombroso. El Departamento de Seguridad Nacional de EE. UU. estimó un promedio de 4.000 ataques de ransomware por día en 2016. Eso es un aumento del 300 por ciento respecto al año anterior.
¿Quién paga?
Se podría pensar que las corporaciones son el objetivo principal. Ellos son. Pero los usuarios domésticos se ven afectados de manera desproporcionada.
Un estudio de 2016 realizado por Kaspersky Labs encontró que de los 2,3 millones de usuarios que encontraron ransomware entre abril de 2015 y marzo de 2016, casi el 87 por ciento estaban en casa. ¿Los rescates? A menudo, sólo unos pocos cientos de dólares.
Los ingresos totales solo durante los primeros tres meses de 2016 se estimaron en 209 millones de dólares. No sabemos exactamente cuántas personas pagaron. Pero cuando el costo de recuperación es cero si pagas y alto si no lo haces, las matemáticas funcionan para el atacante.
A mayor escala, el impacto es físico. En febrero de 2016, el Centro Médico Presbiteriano de Hollywood en Los Ángeles resistió durante casi dos semanas antes de pagar 40 bitcoins (alrededor de 17.000 dólares) para desbloquear sus sistemas.
No perdieron los registros de los pacientes. Los piratas informáticos nunca accedieron a ellos. Pero el personal se vio obligado a completar formularios y actualizar registros con lápiz y papel durante 13 días. La atención disminuyó. La confusión creció. El hospital pagó para volver a la normalidad.
Por qué fallan las defensas
Nolen Scaife, estudiante de doctorado de la Universidad de Florida, describe el ransomware como un “duro adversario”.
Defenderse de ello es difícil. Cada ataque varía ligeramente. Parece una actividad normal de administración del sistema hasta que es demasiado tarde. El cifrado ocurre rápidamente.
El equipo de Scaife desarrolló CryptoDrop, un programa de detección diseñado para detectar el proceso de cifrado y detenerlo. El objetivo es simple: cuantos menos datos cifre el malware, más rápido podrá restaurarlos a partir de una copia de seguridad.
¿Pero revertir el cifrado? Eso es casi imposible con las criptomonedas modernas.
“La confiabilidad de una buena criptografía realizada correctamente y el auge de las criptomonedas han creado una tormenta perfecta para el ransomware”, escribe Scaife. Si el ransomware está bien diseñado y no tiene copias de seguridad, pagar suele ser la única forma de recuperar sus archivos.
Este no es un concepto nuevo. El troyano SIDA de 1989 utilizaba disquetes infectados enviados por correo postal. Cifraba el directorio raíz de una PC. Fue derrotado rápidamente. Pero décadas de refinamiento han hecho que los mecanismos de entrega sean invisibles y el cifrado inquebrantable.
La víctima perfecta
Los hospitales son objetivos ideales. Jérôme Segura, un experto en seguridad, dijo a CBC News que sus sistemas a menudo están desactualizados, contienen datos confidenciales y no pueden permitirse tiempos de inactividad. Si los archivos de los pacientes se bloquean, no pueden simplemente ignorarlo.
La aplicación de la ley no es más segura. En 2015, cinco departamentos de policía de Maine fueron víctimas de ransomware. Al menos uno ejecutaba DOS, un sistema operativo obsoleto.
Los departamentos de policía son objetivos populares. Y pagan.
Un jefe de policía de New Hampshire tuvo un momento de brillantez. Pagó el rescate, obtuvo la llave y canceló el pago. Cuando su departamento volvió a ser atacado dos días después, no intentó el truco. Acaba de desembolsar los 500 dólares.
La ironía no se le escapa a nadie. Las instituciones encargadas de hacer cumplir las leyes están subcontratando su seguridad a los delincuentes.
Nos quedamos con un sistema donde el cifrado se utiliza como arma contra quienes más lo necesitan. El hackeo de la SFMTA no fue un caso atípico. Fue un adelanto. Y todavía estamos esperando que el resto del país se ponga al día.
El elemento humano es el eslabón más débil
A principios de 2016, el costo financiero del ransomware ya estaba aumentando. Un distrito escolar de Carolina del Sur emitió un cheque de 8.500 dólares en febrero. La Universidad de Calgary perdió 16.000 dólares en junio, citando la necesidad de proteger investigaciones de talla mundial almacenadas en sus redes. En noviembre, apenas unas semanas antes del ataque a la Agencia de Transporte Municipal de San Francisco (SFMTA), un condado de Indiana pagó 21.000 dólares para desbloquear sistemas para sus departamentos de policía y bomberos.
El incidente de la SFMTA parecía diferente. Los informes sugieren que el ransomware se lanzó desde dentro. Según el investigador Opacki, el atacante aprovechó una vulnerabilidad conocida en el software WebLogic de Oracle. Probablemente estaban escaneando Internet en busca de esta falla específica y tropezaron con el sistema de SFMTA por casualidad.
Pero la mayoría de los ataques no se basan en errores de software. La vulnerabilidad suele estar en las personas.
Opacki señala que constantemente sobreestimamos nuestra capacidad para detectar una estafa de phishing. Un estudio de 2016 mostró que el 30% de las personas abren correos electrónicos de phishing y el 13% hace clic en el enlace o archivo adjunto malicioso. Muchos todavía asumen que los correos electrónicos de phishing son spam mal diseñados y con un inglés deficiente. Caen en las hojas de cálculo de “nómina de empleados” enviadas por el supuesto personal de recursos humanos. El phishing ha evolucionado más allá de los príncipes nigerianos. Los correos electrónicos ahora son personalizados y utilizan detalles reales extraídos de las redes sociales.
Andrew Howard, de Kudelski Group, afirma que incluso en organizaciones muy preocupadas por la seguridad, entre el 3% y el 5% de los empleados caen en estafas mal diseñadas. En entornos menos vigilados, la tasa de fracaso es mucho mayor.
“Es bastante desalentador”, admite.
Hackeo para idiotas
El aumento del ransomware no se debe sólo a la credulidad o al malware sofisticado. Se trata de facilidad. Ejecutar una estafa de ransomware es tan complejo como asaltar a alguien en la calle, pero con mucho menos riesgo.
Nolen Scaife sostiene que los hackers no necesitan mucha habilidad. El software no es sofisticado. Es rápido de crear e implementar. Más importante aún, los piratas informáticos no necesitan crearlo ellos mismos. Lo compran en la web oscura.
Los mercados de malware venden innumerables variantes. A menudo vienen como aplicaciones todo en uno. Los vendedores brindan servicio al cliente y soporte técnico para ayudar a los operadores sin experiencia a realizar estafas sin problemas. Dan Turkel de Business Insider destaca este sistema de apoyo. Algunos productos incluso ofrecen garantías de devolución de dinero. Muchos incluyen servicios de llamadas o correo electrónico para guiar a las víctimas a través de los pagos. Al menos una familia de ransomware ofrece servicio de atención al cliente mediante chat en vivo.
Los desarrolladores incluso utilizan distribuidores para vender sus productos. El mercado es robusto.
Esto no augura nada bueno para nadie que esté ejecutando la estafa. Los expertos en ciberseguridad coinciden en una solución: hacer una copia de seguridad de sus datos. Sin copias de seguridad, pagar el rescate podría ser la única forma de recuperar sus archivos.
Incluso entonces, es posible que no recupere sus datos. Un estudio de Trend Micro encontró que el 20% de las empresas del Reino Unido que pagaron rescates en 2016 nunca recibieron una clave de descifrado.
SFMTA no pagó. Un portavoz dijo a Fortune que la agencia nunca lo consideró. Los sistemas se restauraron a partir de copias de seguridad. La mayoría volvió a estar en línea en dos días. Los habitantes de San Francisco viajaron gratis en el tren ligero durante ese tiempo.
Dos días después, los piratas informáticos piratearon la cuenta de correo electrónico del pirata informático del tren ligero. Esto reveló un estimado de $100,000 en pagos de ransomware desde agosto.
Ahora eso es conveniente
Algunos piratas informáticos de ransomware aceptan tarjetas de regalo de Amazon.
