El caso de Ransomware

El primer incidente analizado, inicialmente parecía tratarse de un caso de

Ransomware, que es un tipo de malware del que desgraciadamente hemos oído
hablar, y mucho en los últimos meses debido al aumento del número de denuncias
de este tipo de fraude. Para los que no conozcáis de qué se trata, diré que es una
forma extorsión mediante la cual el ciberdelincuente se introduce en el sistema
informático y tras cifrar ficheros o el disco completo del sistema, se pide un rescate
para entregar la clave que descifre la información.

En este caso el cliente se puso en contacto con el perito para que le recuperase la
información de un equipo informático que había dejado de funcionar, y en el que
el atacante había dejado un mensaje en el escritorio, avisando de que los datos
sensibles del disco duro del ordenador habían sido cifrados en un contenedor
Truecrypt y borrados posteriormente. Para recuperarlos, el delincuente
solicitaba un rescate. En principio el cliente sospechaba de un empleado de la
compañía como autor del incidente; aunque más tarde el análisis forense
demostró otra cosa.

El perito tras un meticulosa recolección de evidencias, identificó tres posibles

atacantes que fue estudiando uno a uno. El primero se trató del virus Jetswap
Safesurf que atacaba desde Rusia y ejecutaba navegaciones web desde el
ordenador atacado. El segundo era una bot (liulangbao) que provocaba la
navegación de sus víctimas hacia una web para aumentar su seo (posicionamiento
web). Y el tercero, también procedente de Rusia, fue el que dio la cara por cifrar y
eliminar los ficheros, a cambio de una recompensa.

Los dos primeros atacantes trabajaban silenciosos usando el ancho de banda de la

víctima, el tercero imposibilitó la actividad del servidor mediante el cifrado del
disco con la herramienta freeware TrueCrypt.

Según pudo confirmar el perito, la causa de que el equipo estuviera tan infectado
es que el cliente tenía una política de seguridad muy mala. Estaban empleando
malas prácticas como por ejemplo contraseñas débiles, usuario administrador sin
clave, o tener abierto el puerto de acceso remoto al servidor, en el Router. Por otro
lado, si el incidente ocurrió en 2013, yo añadiría también que es posible que
tuvieran el antivirus desactualizado porque el virus Jetswap Safesurf es conocido
desde 2012.

Este caso corrobora la importancia de las políticas de seguridad, y de la necesidad

de un responsable de seguridad en cualquier empresa por muy pequeña que sea.
Hoy en día no es necesario disponer de un especialista de seguridad informática
en plantilla, sino que existen empresas que ofrecen este tipo de servicios mediante
monitorización de los sistemas y auditorias de seguridad periódicas.