Identificar la variante de ataque, ubicar las copias de seguridad y activar un plan de respuesta a incidentes se encuentran entre las acciones recomendadas por Fortinet.
Los ataques de ransomware son cada vez más frecuentes, han aumentado, transformándose y evolucionando a lo largo del tiempo. Según un reciente informe del panorama global de amenazas del laboratorio de inteligencia de amenazas de Fortinet, FortiGuard Labs, los ataques de ransomware se multiplicaron por siete en la última mitad de 2020 y se volvieron aún más efectivos al atacar a casi todos los sectores y en todo el mundo.
Las tácticas de los cibercriminales continúan cambiando y ya no basta con tener las estrategias defensivas adecuadas, es necesario evaluar continuamente las políticas de seguridad para garantizar que las redes tengan respuestas actualizadas frente a este tipo de ataques.
Teniendo esto en cuenta, Fortinet ha preparado una lista de verificación para ayudar a las organizaciones a lidiar con un ataque de ransomware cuando éste ocurre:
-
• No entre en pánico, ejecute un plan de respuesta: Mantenga la calma y comience a ejecutar su plan de respuesta a incidentes (IR), si lo tiene. Si no tiene un plan de respuesta a incidentes, los pasos que se indican a continuación pueden ayudarle. Solicite ayuda a su proveedor de seguridad o busque el asesoramiento de expertos. Muchas organizaciones utilizan servicios de respuesta a incidentes como el equipo de respuestas de FortiGuard. Considere el impacto potencial que puede tener el incidente de seguridad.
• Aísle sus sistemas y detenga la propagación: Existen múltiples técnicas para aislar la amenaza y evitar que se propague. En primer lugar, identifique el alcance del ataque. Si ya sabe que el incidente se ha extendido, aplique bloqueos a nivel de red como el aislamiento del tráfico en el conmutador o en el borde del firewall o considere la posibilidad de interrumpir temporalmente la conexión a Internet. Si está disponible, la tecnología de detección y respuesta para endpoint (EDR, por sus siglas en inglés) puede bloquear el ataque a nivel de proceso, lo que sería la mejor opción inmediata con una interrupción mínima del negocio. La mayoría de los atacantes de ransomware encuentran una vulnerabilidad para entrar en su organización como un RDP expuesto, correos electrónicos de suplantación de identidad u otro método que los atacantes utilizan para introducirse en su entorno.
• Identificar la variante de ransomware: Muchas de las tácticas, técnicas y procedimientos (TTP) de cada variante de ransomware están documentadas públicamente. Determinar con qué cepa se está tratando puede dar pistas sobre la ubicación de la amenaza y cómo se está propagando. Dependiendo de la variante, algunas herramientas de descifrado pueden estar disponibles para descifrar los archivos.
• Identificar el acceso inicial: Determinar el punto de acceso inicial, o paciente cero, ayudará a identificar y cerrar el agujero en su seguridad. Los vectores de acceso inicial más comunes son el phishing, los exploits en sus servicios de borde (como los servicios de Escritorio Remoto) y el uso no autorizado de credenciales. Determinar el punto de acceso inicial es a veces difícil y puede requerir la experiencia de equipos forenses digitales y expertos en IR.
• Identificar todos los sistemas y cuentas infectadas (alcance): Identificar cualquier malware activo o restos persistentes en los sistemas que aún se comunican con el servidor de comando y control (C2). Las técnicas de persistencia más comunes incluyen la creación de nuevos procesos que ejecutan la carga útil maliciosa, el uso de claves de registro de ejecución o la creación de nuevas tareas programadas.
• Localice sus copias de seguridad y determine su integridad: Un ataque de ransomware intentará borrar sus copias de seguridad en línea y las instantáneas de volumen para disminuir las posibilidades de recuperación de los datos. Por ello, asegúrese de que su tecnología de copias de seguridad no se ha visto afectada por el incidente y sigue siendo operativa. Con muchos ataques de ransomware, los atacantes suelen haber estado en su red durante días, hasta semanas, antes de decidirse a cifrar sus archivos. Esto significa que puede tener copias de seguridad que contengan cargas útiles maliciosas que no quiera restaurar en un sistema limpio. Analice sus copias de seguridad para determinar su integridad.
• Sanear los sistemas o crear nuevas construcciones: Si confía en su capacidad para identificar todo el malware activo y los incidentes de persistencia en sus sistemas, entonces puede ahorrar algo de tiempo al no reconstruir. Sin embargo, puede ser más fácil y seguro crear sistemas nuevos y limpios. Incluso puede considerar la posibilidad de crear un entorno limpio completamente separado al que pueda migrar. Esto no debería llevar demasiado tiempo si está ejecutando un entorno virtual. Cuando reconstruya o sanee su red, asegúrese de que se han instalado los controles de seguridad adecuados y que se siguen las mejores prácticas para garantizar que los dispositivos no se vuelvan a infectar.
• Informar del incidente: Es importante informar del incidente. También debe determinar si es necesario y obligatorio informar a las fuerzas del orden. Su equipo legal puede ayudar a abordar cualquier obligación legal en torno a los datos regulados, como PCI, HIPAA, etc. Si el ataque es grave y su empresa se extiende por varias regiones geográficas, es posible que tenga que ponerse en contacto con los servicios policiales nacionales en lugar de con una agencia policial local o regional.
• ¿Pagar el rescate?: Las fuerzas del orden aconsejan no pagar el rescate, sin embargo, si lo está considerando, debería contratar a una empresa de seguridad con conocimientos especializados para que le ayude. Además, pagar el rescate no va a remediar las vulnerabilidades que los atacantes explotaron, así que asegúrese de haber identificado el acceso inicial y parchear las vulnerabilidades.
• Realice una revisión posterior al incidente: Revise su respuesta a los incidentes para comprender lo que ha ido bien y para documentar las oportunidades de mejora. Esto asegura la mejora continua de sus capacidades de respuesta y recuperación para el futuro. Considere la posibilidad de simular los detalles técnicos y no técnicos del ataque para poder revisar sus opciones.
Cuando se produce un ataque de ransomware es esencial tomar las medidas adecuadas para minimizar el impacto en usted, su equipo y su organización. Una vez que se produce un ataque, el pánico puede extenderse por la organización y sólo crear problemas mayores. Los CISO saben que sobrevivir a un ataque de ransomware requiere un plan de respuesta a incidentes, pero el reto es el tiempo para documentar un plan completo y tener los recursos adecuados para implementarlo cuando sea necesario.