# data[].attributes.attachment_link.title
Como prevenir y actuar frente al ransomware

# data[].attributes.attachment_link.description
Es especialmente importante saber cómo proteger tu información y equipos del ransomware. Estos consejos te pueden ayudar a mejorar tu seguridad online

# data[].attributes.attachment_link.readable_text
Captura de pantalla del troyano Nuclear RAT.

En informática, se denomina caballo de Troya, o troyano, a un que se presenta al usuario como un programa aparentemente legítimo e inofensivo, pero que, al ejecutarlo, le brinda a un atacante acceso remoto al equipo infectado.​​ El término troyano proviene de la historia del caballo de Troya mencionado en la de Homero.

Los troyanos pueden realizar diferentes tareas, pero, en la mayoría de los casos, crean una puerta trasera (en inglés backdoor) que permite la administración remota a un usuario no autorizado.​

Un troyano es un tipo de . Para que un malware sea un troyano solo tiene que acceder y controlar la máquina anfitriona sin ser advertido, bajo una apariencia inocua.

Hay ciertas fuentes que lo descatalogan como malware debido a que aparentemente no causa daños en los sistemas, pero causan también otra clase de perjuicios, como el robo de datos personales.

Los troyanos se concibieron como una herramienta para causar el mayor daño posible en el equipo infectado. En los últimos años y gracias al mayor uso de Internet, esta tendencia ha cambiado hacia el robo de datos bancarios o información personal.​

Desde sus orígenes, los troyanos han sido utilizados como arma de sabotaje por los servicios de inteligencia como la CIA, cuyo caso más emblemático fue el Sabotaje al Gasoducto Siberiano en 1982. La CIA instaló un troyano en el software que se ocuparía de manejar el funcionamiento del gasoducto, antes de que la URSS comprara ese software en Canadá.​

De acuerdo con un estudio de la empresa responsable del software de seguridad BitDefender desde enero hasta junio de 2009, "El número de troyanos está creciendo, representan el 83 % del malware detectado".​

Los troyanos están diseñados para permitir a un individuo el acceso remoto a un sistema. Una vez en ejecución, el atacante puede acceder al sistema de forma remota y realizar diferentes acciones sin necesitar permiso.​ Las acciones que el atacante puede realizar en el equipo remoto dependen de los privilegios que tenga el usuario atacado en ese equipo y de las características del troyano.[cita requerida]

Algunas de las operaciones más comunes son:

Utilización la máquina como parte de una (por ejemplo, para realizar ataques de denegación de servicio o envío de ).

Instalación de otros programas (incluyendo aplicaciones maliciosas).

Robo de información personal: información bancaria, contraseñas, códigos de seguridad, robo de archivos varios, etcétera.

Borrado, modificación o transferencia de archivos (descarga o subida).

Borrado completo del disco.

Ejecución o finalización de procesos.

Apagado o reiniciado del equipo.

Captura de las pulsaciones del teclado.

Capturas de pantalla.

Llenado del disco duro con archivos inútiles.

Monitorización del sistema y seguimiento de las acciones del usuario.

Captura de imágenes o videos a través de la webcam, si tiene.

Acciones inocuas desde el punto de vista de la seguridad, destinadas a sorprender al usuario, tales como expulsar la unidad de CD, cambiar la apariencia del sistema, etc.

Actualmente, y dada la popularidad de los dispositivos móviles y tabletas, son estas plataformas (especialmente aquellas con menor control en su mercado de aplicaciones) las que suscitan un creciente interés entre los desarrolladores de este tipo de malware. Dado el uso personal de estos dispositivos, las acciones que un atacante puede realizar en estos dispositivos comprende las ya descritas, más otras específicas derivadas de la naturaleza privada de la información que se almacena en estas plataformas. Algunos ejemplos son:

Captura de los mensajes entrantes y salientes de aplicaciones de mensajería.

Captura del registro de llamadas.

Acceso y modificación de contactos en la agenda.

Habilidad para efectuar llamadas y enviar mensajes de texto.

Conocimiento de la posición geográfica del dispositivo mediante GPS.

Generalmente, los caballos de troya son utilizados para robar información, en casos extremos, obtener el control remoto de la computadora, de forma que el atacante consiga acceso de lectura y escritura a los archivos y datos privados almacenados, visualizaciones de las pantallas abiertas, activación y desactivación de procesos, control de los dispositivos y la conexión a determinados sitios de Internet desde la computadora afectada como las páginas pornográficas. Los troyanos están compuestos principalmente por dos programas: un programa de administración, que envía las órdenes que se deben ejecutar en la computadora infectada y el programa residente situado en la computadora infectada, que recibe las órdenes del administrador, las ejecuta y le devuelve un resultado. Generalmente también se cuenta con un editor del programa residente, el cual sirve para modificarlo, protegerlo mediante contraseñas, unirlo a otros programas para disfrazarlo, configurar en que puerto deseamos instalar el servidor, etc. Atendiendo a la forma en la que se realiza la conexión entre el programa de administración y el residente se pueden clasificar en:

Conexión directa

El atacante se conecta directamente al PC infectado mediante su dirección IP. En este caso, el equipo atacante es el cliente y la víctima es el servidor.

Conexión indirecta (o inversa)

El equipo o víctima se conecta al atacante mediante un proceso automático en el malware instalado en su equipo, por lo que no es necesario para el atacante disponer de la dirección IP de la víctima. Para que la conexión este asegurada, el atacante puede utilizar una IP fija o un nombre de dominio. La mayoría de los troyanos modernos utilizan este sistema de conexión, donde el atacante es el servidor a la espera de la conexión y el equipo host es el cliente que envía peticiones de conexión para recibir órdenes de ejecución remotas bajo su propia demanda.

Los troyanos y otros tipos de malware, así como muchas utilidades software han evolucionado hacia el modelo de conexión inversa debido a la extensión de routers que aplican en su mayoría por defecto una capa de seguridad en la red inicial (como el propio NAT) actuando como firewall que impide bajo condiciones, conexiones entrantes hacia los clientes de la red salvo que este mecanismo se deshabilite o configure expresamente. De esta manera, es más sencillo crear herramientas que se salten esta protección ocasionando que sean los clientes los que soliciten sus órdenes remotas en lugar de permitir recibirlas.

A pesar de que los troyanos de conexión directa han caído en desuso casi totalmente frente a los de conexión inversa, dentro de los círculos de piratas informáticos se sigue utilizando la denominación de cliente para el equipo atacante y servidor para el equipo víctima, lo cual es incorrecto desde un punto de vista estricto.

La conexión inversa tiene claras ventajas sobre la conexión directa. Ésta traspasa algunos (la mayoría de los firewall no analizan los paquetes que salen de la computadora, pero que sí analizan los que entran), pueden ser usados en redes situadas detrás de un router sin problemas (no es necesario redirigir los puertos) y no es necesario conocer la dirección IP del servidor.[cita requerida]

Cabe destacar que existen otro tipo de conexiones, que no son de equipo víctima a equipo atacante, sino que utilizan un servidor intermedio, normalmente ajeno a ambos, para realizar el proceso de control. Se suelen utilizar para este propósito los protocolos IRC y el FTP, HTTP, aunque también pueden usarse otros.[cita requerida]

La mayoría de infecciones con troyanos ocurren cuando se ejecuta un programa infectado con un troyano. Estos programas pueden ser de cualquier tipo, desde instaladores hasta presentaciones de fotos. Al ejecutar el programa, este se muestra y realiza las tareas de forma normal, pero en un segundo plano y al mismo tiempo se instala el troyano. El proceso de infección no es visible para el usuario ya que no se muestran ventanas ni alertas de ningún tipo, por lo que evitar la infección de un troyano es difícil. Algunas de las formas más comunes de infección son:

Debido a que cualquier programa puede realizar acciones maliciosas en un ordenador, hay que ser cuidadoso a la hora de ejecutarlos. Estos pueden ser algunos buenos consejos para evitar infecciones:

Disponer de un programa antivirus actualizado regularmente para estar protegido contra las últimas amenazas.

Disponer de un firewall correctamente configurado. Algunos antivirus lo traen integrado.

Tener instalados los últimos parches y actualizaciones de seguridad del sistema operativo.

Descargar los programas siempre de las páginas web oficiales o de páginas web de confianza.

No abrir los datos adjuntos de un correo electrónico si no conoces al remitente.

Evitar la descarga de software de redes p2p.

Actualizar el software del equipo.

Pantalla o ventanas con mensajes poco usuales.

Sin justificación aparecen, desaparecen y se modifican archivos.

Comportamientos poco habituales en el funcionamiento de la computadora, como: modificaciones en el escritorio, refrescadores de pantalla, la unidad de CD-DVD, intercambio de las funciones de los botones del ratón, alteración del volumen del reproductor de sonido.

Se activan o desactivan ventanas en la pantalla.

Presencia de ficheros .TXT o sin extensión en el disco duro, preferiblemente en C:\.

Eliminación repentina de los archivos de la papelera.

Cambios en las propiedades de archivos que se encuentran o estuvieron en la papelera (Alteración en "fecha de creación", "fecha de eliminación" y "tipo de archivo".

Lentitud en el Sistema Operativo, bloqueos continuos o se reinicia el sistema sin que se conozcan las causas, programas que inesperadamente comienzan su ejecución o la concluyen.

El navegador de Internet accede por sí solo a determinados sitios.

El navegador de Internet o el cliente de correo no reconoce nombre y contraseña o indica que ya está siendo utilizado.

En la carpeta de enviados del cliente de correo electrónico se muestran mensajes no conocidos.

Una de las principales características de los troyanos es que no son visibles para el usuario. Un troyano puede estar ejecutándose en un ordenador durante meses sin que el usuario lo perciba. Esto hace muy difícil su detección y eliminación de forma manual. Algunos patrones para identificarlos son: un programa desconocido se ejecuta al iniciar el ordenador, se crean o borran archivos de forma automática, el ordenador funciona más lento de lo normal, errores en el sistema operativo.

Por otro lado los programas antivirus están diseñados para eliminar todo tipo de software malicioso, además de eliminarlos también previenen de nuevas infecciones actuando antes de que el sistema resulte infectado. Es muy recomendable tener siempre un antivirus instalado en el equipo y a ser posible también un firewall.

Generador de troyanos

Un Generador de troyanos o TDK (del inglés Trojan Development Kit), es una herramienta que permite crear fácilmente troyanos personalizados que suelen incluir ciertas técnicas de ocultación.​

Ejemplos de generadores de troyanos son:

Trojan Development Kit App

Se llama Trojan Development Kit App a aplicaciones móviles que permiten crear rápidamente aplicaciones móviles que son troyanos personalizados, generalmente ransomware, para ser usados en dispositivos móviles, habitualmente Android.​ Por ejemplo en 2017 se descubrió una app, en formato APK, descargable previo pago, que se anunciaba en sitios de hackers y redes sociales chinas y que permitía generar un ransomware personalizable de tipo Lockdroid. La aplicación permitía personalizar el mensaje que se presenta al usuario, el código de desbloqueo, el icono de la aplicación, operaciones para ofuscar el código y animaciones a mostrar en la pantalla del dispositivo bloqueado. .​ Al concluir esta configuración básica, la aplicación genera un archivo infectado con el ransomware.​ A partir de ese punto corresponde al usuario encontrar la forma de infectar los aparatos de sus potenciales víctimas.​ Este tipo de aplicaciones son especialmente interesantes para el mercado chino debido a que Play Store de Google está bloqueada en ese país, lo que obliga a los usuarios a descargar apps desde sitios y foros diversos.​

Un Wrapper es un programa usado para combinar dos o más ejecutables en un solo programa. Suele ser usado para adjuntar un ejecutable inofensivo, por ejemplo un juego, a la carga útil de un troyano con la intención de que el ejecutable resultante parezca un fichero inofensivo. Cuando el usuario ejecuta el fichero ejecutable resultante, primero ejecuta el programa inofensivo y después instala, en segundo plano y de forma oculta, el troyano.​

Ejemplos de este tipo de software son:

Silk Rope 2000. Posee una interfaz gráfica fácil y permite ocultar Back Orifice en el programa inofensivo que elijamos ,pudiendo seleccionar el icono del programa ejecutable resultante.​

Saran Wrap. Diseñado específicamente para trabajar con Back Orifice.​

Herramientas para aprovechar canales encubiertos

Son herramientas diseñadas para explotar canales encubiertos para permitir mantener ocultas ciertas comunicaciones.​

Backdoors

Un troyano de estas características, le permite al atacante conectarse remotamente al equipo infectado. Las conexiones remotas son comúnmente utilizadas en informática y la única diferencia entre estas y un backdoor es que en el segundo caso, la herramienta es instalada sin el consentimiento del usuario. La tecnología aplicada para acceder remotamente al equipo no posee ninguna innovación en particular ni diferente a los usos inofensivos con que son utilizadas estas mismas aplicaciones. Una vez que el atacante accede al ordenador del usuario, los usos que puede hacer del mismo son variados, según las herramientas que utilice: enviar correos masivos, eliminar o modificar archivos, ejecución de archivos, reiniciar el equipo o usos más complejos como instalar aplicaciones para uso malicioso (por ejemplo: alojamiento de sitios web de violencia o pedofilia).

Keyloggers

Los keyloggers (del inglés Key = Tecla y Log = Registro) son uno de los tipos más utilizados para obtener información sensible de los usuarios. Los troyanos de este tipo, instalan una herramienta para detectar y registrar las pulsaciones del teclado en un sistema. Pueden capturar información como contraseñas de correos, cuentas bancarias o sitios web, entre otras, y por lo tanto atentar contra información sensible del usuario. La información capturada es enviada al atacante generalmente, en archivos de texto con la información. Estos troyanos, no son una amenaza para el sistema sino para el usuario y su privacidad. Los datos recolectados, pueden ser utilizados para realizar todo tipo de ataques, con fines económicos o simplemente malignos como modificar las contraseñas de las cuentas de acceso a algún servicio.

Banker

Los troyanos bancarios tienen como principal objetivo robar datos privados de las cuentas bancarias de los usuarios. Utilizan diferentes técnicas para obtener los datos de acceso a todo tipo de entidades financieras, algunas de ellas son: reemplazar parcial o totalmente el sitio web de la entidad, enviar capturas de pantalla de la página bancaria (útiles cuando el usuarios utiliza teclados virtuales) o incluso la grabación en formato de video de las acciones del usuario mientras accede al sitio web. Los datos son enviados al atacante, por lo general, por correo electrónico o alojándolos en sitios FTP.

Downloader

Este tipo de troyanos tiene como principal función la de descargar otros archivos maliciosos. Esta clase de amenazas no hace algún daño en sí, sino que descarga otros archivos maliciosos para el ordenador. El troyano se encarga, no solo de descargar el/los archivos, sino también de ejecutarlos o preparar la máquina para su ejecución automática al inicio.

Botnets

Los troyanos botnets, son utilizados para crear redes de equipos zombis (botnets). El atacante utiliza el troyano (generalmente combinado con herramientas de backdoors) para controlar una cantidad importante de ordenadores y así poder utilizarlos para cualquier fin maligno. Pueden ser utilizados para enviar spam o para realizar ataques de denegación de servicio (DoS); estos consisten en saturar un sitio web generando más accesos y requerimientos de los que puede soportar y provocando la baja del servicio.

Proxy

Este tipo de troyanos instalan herramientas en el ordenador que le permiten al atacante utilizar la Pc infectada como un servidor proxy. Un proxy es un servidor que da acceso a otros ordenadores a Internet a través de él. En este caso, el atacante utiliza el ordenador infectado para acceder a la web a través de él, enmascarando su identidad.

Password Stealer

Los password Stealer se encargan de robar información introducida en los formularios en las páginas web. Pueden robar información de todo tipo, como direcciones de correo electrónico, logins, passwords, PINs, números de cuentas bancarias y de tarjetas de crédito. Estos datos pueden ser enviados por correo electrónico o almacenados en un servidor al que el delincuente accede para recoger la información robada. En la mayoría de sus versiones, utilizan técnicas keyloggers para su ejecución y son similares a estos.

Dialer

Los troyanos "Dialer" crean conexiones telefónicas en el ordenador del usuario, utilizando las funcionalidades del módem. Estas conexiones son creadas y ejecutadas de forma transparente a la víctima. Generalmente, se trata de llamados de alto costo a sitios relacionados con contenido adulto en Internet. Este tipo de troyanos crean un daño económico al usuario, el ordenador no se ve afectado por hacer una llamada telefónica.

Cementery

El troyano "Cementery" es una novedad en este tipo de malware, apareciendo por primera vez en 2018. Su principal propósito es el robo de información multimedia y documentos. Trabaja exclusivamente en la papelera de reciclaje, ya que es el área más vulnerable de cualquier ordenador. Su modus operandi es el siguiente: cambia las propiedades de los archivos infectados, alterando su fecha de creación, tipo de archivo o fecha de eliminación del mismo, comúnmente con fechas recientes o incluso semanas próximas, provocando que un antivirus no pueda detectarlo ya que el archivo todavía "no fue creado".

NetBus (1998)

Software malicioso para el control de una forma remota de sistemas informáticos Microsoft Windows a través de una red. Fue creado en 1998 y ha sido muy controvertido por su potencial de ser utilizado como una puerta trasera.

Historia

NetBus se escribió en Delphi por Carl-Fredrik Neikter, un programador sueco en marzo de 1998. Entró en circulación antes que Back Orifice, fue liberado en agosto de 1998. El autor afirmó que el programa estaba destinado a ser usado para bromas, no para irrumpir ilegalmente en los sistemas informáticos. Traducido del sueco, el nombre significa "NetPrank". Sin embargo, el uso de NetBus ha tenido graves consecuencias. En 1999, NetBus se utilizó para introducir pornografía infantil en el equipo de trabajo de Magnus Eriksson, un erudito en Derecho Universidad de Lund. Las 3500 imágenes fueron descubiertas por los administradores del sistema, y Eriksson se supone que lo había descargado a sabiendas.

Características

Existen dos componentes para la arquitectura cliente-servidor. El servidor debe ser instalado y ejecutado en el equipo que quiere ser controlado a distancia, el tamaño de archivo es de casi 500 KB. El nombre y el icono han variado mucho de versión a versión. Nombres comunes eran "Patch.exe" y "SysEdit.exe". Cuando se inicia por primera vez, el servidor se instala en el ordenador host, incluyendo la modificación de Windows del Registro para que se inicie automáticamente en cada inicio del sistema.

Back Orifice

Es un programa de control remoto de ordenadores que funciona bajo un servidor y un cliente. Si colocamos el servidor a otro ordenador remoto, es posible desde el cliente, gobernar cualquier función del ordenador remoto, entre los que destaca abrir y cerrar programas, controlar el CD-ROM, leer y modificar ficheros o borrar parte del disco duro.

Para ello el servidor se autoejecuta y se borra cada vez que el ordenador ajeno se enciende, nuestro cliente escanea el puerto elegido y cuando este está abierto actúa a través de él, desde un menú repleto de pestañas y opciones de control remoto. El sistema es bueno para controlar un ordenador u ordenadores dentro de nuestra red LAN, aunque dejar este puerta abierta para Windows es toda una amenaza.

Sub7(1999)

Sub7, o SubSeven, es un software de administración remota para sistemas Microsoft Windows a través del Internet, es también categorizado como troyano o Puerta trasera por ciertas características similares a las de un virus informático. Es usado para acceder y controlar de forma remota una computadora sin el consentimiento del usuario, en donde es el usuario que mantiene en su poder al Cliente del software por medio del Servidor que permite que el sistema comprometido sea controlado de forma remota.

Memz(2000)

Es un troyano que infecta a las computadoras cambiando el MBR o el motor de arranque por un dibujo del nyan cat que primero empieza con playloads de abrir el Internet Explorer sin su consentimiento del usuario, que después sigue abriendo los comandos y aplicaciones del sistema como el cmd, bloc de notas, etc. Y por último se toma capturas de pantallas, hasta que la computadora colapse.

Bifrost(2004)

Es una variante de virus informático, el cual es usado para acceder remotamente a otra pc, sin consentimiento.

# data[].attributes.attachment_link.title
Troyano (informática) - Wikipedia, la enciclopedia libre

# data[].attributes.attachment_link.description
En informática, se denomina caballo de Troya, o troyano, a un que se presenta al usuario como un programa aparentemente legítimo e inofensivo, pero que, al ejecutarlo, le brinda a un atacante acceso remoto al equipo infectado.​​ El término troyano proviene de la historia del caballo de Troya mencionado en la de Homero.

# data[].attributes.attachment_link.readable_text
Todo acerca del ransomware

¿Alguna vez se ha preguntado qué es todo este revuelo con el ransomware? Ha oído hablar de él en la oficina o leído sobre él en las noticias. Incluso puede que haya aparecido ahora mismo un mensaje emergente en la pantalla de su ordenador que le avisa de una infección con ransomware. Bueno, si tiene curiosidad por aprender todo lo que hay que saber sobre el ransomware, ha venido al lugar adecuado. Le hablaremos de las diferentes formas de ransomware, cómo puede infectarse, de dónde procede, contra quién atenta y qué puede hacer para protegerse.

¿Qué es ransomware?

El malware de rescate, o ransomware, es un tipo de malware que impide a los usuarios acceder a su sistema o a sus archivos personales y que exige el pago de un rescate para poder acceder de nuevo a ellos. Las primeras variantes de ransomware se crearon al final de la década de los 80, y el pago debía efectuarse por correo postal. Hoy en día los creadores de ransomware piden que el pago se efectúe mediante criptomonedas o tarjetas de crédito.

¿Cómo puede infectarse?

El ransomware puede infectar su ordenador de varias formas. Uno de los métodos más habituales actualmente es a través de spam malicioso, o malspam, que son mensajes no solicitados que se utilizan para enviar malware por correo electrónico. El mensaje de correo electrónico puede incluir archivos adjuntos trampa, como PDF o documentos de Word. También puede contener enlaces a sitios web maliciosos.

El malspam usa ingeniería social para engañar a la gente con el fin de que abra archivos adjuntos o haga clic en vínculos que parecen legítimos, aparentando que proceden de una institución de confianza o de un amigo. Los ciberdelincuentes emplean la ingeniería social en otros tipos de ataques de ransomware, por ejemplo presentarse como el FBI para asustar a los usuarios y obligarles a pagar una suma de dinero por desbloquear los archivos.

Otro método de infección habitual, que alcanzó su pico en 2016, es la publicidad maliciosa. La publicidad maliciosa consiste en el uso de publicidad en línea para distribuir malware con poca interacción por parte del usuario o incluso ninguna. Mientras navegan por la web, incluso por sitios legítimos, los usuarios pueden ser conducidos a servidores delictivos sin necesidad de hacer clic en un anuncio. Estos servidores clasifican los detalles de los ordenadores de las víctimas y sus ubicaciones y, a continuación, seleccionan el malware más adecuado para enviarlo. Frecuentemente, ese malware es ransomware.

La publicidad maliciosa a menudo usa un iframe infectado, o elemento invisible de una página web, para hacer su trabajo. El iframe redirige a una página de aterrizaje de un exploit y el código malicioso ataca el sistema desde esta mediante un kit de exploits. Todo esto sucede sin el conocimiento del usuario, por lo que a menudo se conoce como ataque drive-by-download (por descarga oculta).

Tipos de ransomware

Hay tres tipos principales de ransomware, cuya gravedad va desde "algo molesto" a peligro del nivel de "crisis de los misiles de Cuba". Son los siguientes:

Scareware

El scareware no resulta tan temible. Incluye programas de seguridad falsos y ofertas falsas de soporte técnico. Podría recibir un mensaje emergente que le informa de que se ha detectado malware y que la única forma de librarse de él es pagar. Si no lo hace, seguramente continuará siendo bombardeado con mensajes emergentes, pero sus archivos están básicamente a salvo.

Un programa de software legítimo de seguridad informática no se dirigiría a los clientes en esos términos. Además, si no tiene instalado un programa de esa compañía en el ordenador, esta no tiene por qué estar supervisándole para detectar una infección por ransomware. Y en caso de que tuviera ese software de seguridad, no tendría que pagar por la eliminación de la infección, puesto que ya pagó el precio del software para que este haga precisamente ese trabajo.

Bloqueadores de pantalla

Con estos la alerta pasa a naranja. Si un ransomware que bloquea la pantalla llega a su ordenador, le impedirá el uso de su PC por completo. Al encender el ordenador aparece una ventana que ocupa toda la pantalla, a menudo acompañada de un emblema de aspecto oficial del FBI o del Departamento de Justicia de los Estados Unidos, que le indica que se han detectado actividades ilegales en su ordenador y que debe pagar una multa. Sin embargo, el FBI no actuaría nunca así ni le exigiría ningún pago por la realización de una actividad ilegal. En caso de que sospecharan que usted comete piratería, o que está en posesión de pornografía infantil o por cualquier otro delito informático, el FBI seguiría los canales legales adecuados.

Ransomware de cifrado

Este es el peor de todos. Este es el que le secuestra los archivos y los cifra, exigiendo un pago para volver a descifrarlos y devolvérselos. La razón por la que este tipo de ransomware es tan peligroso es porque una vez que los ciberdelincuentes se apoderan de los archivos, no hay ningún software de seguridad ni restauración del sistema capaz de devolvérselos. A menos que pague el rescate, puede despedirse de sus archivos. E incluso si lo paga, no hay ninguna garantía de que los ciberdelincuentes le devuelvan los archivos.

Últimos ataques de ransomware

Hist. del ransomware

El primer ransomware, conocido como PC Cyborg o AIDS, fue creado a finales de los 80. PC Cyborg cifraba todos los archivos del directorio C: después de reiniciar 90 veces, y después exigía al usuario renovar su licencia mediante el envío de 189 dólares por correo postal a PC Cyborg Corp. El cifrado utilizado era bastante sencillo de descifrar, por lo que no resultaba una gran amenaza para aquellos que estaban familiarizados con la informática.

En los 10 años siguientes surgieron algunas variantes, pero hasta el año 2004 no entró en escena una auténtica amenaza de ransomware, cuando GpCode empleó un cifrado RSA débil para secuestrar archivos a cambio de un rescate.

En 2007 WinLock lideró el surgimiento de un nuevo tipo de ransomware que, en lugar de cifrar archivos, bloqueaba los ordenadores de sobremesa de los usuarios. WinLock se hacía con el control de la pantalla de la víctima y mostraba imágenes pornográficas. Después exigía un rescate a través de SMS de pago para eliminarlas.

Con el desarrollo de la familia Reveton de programas de ransomware en 2012 surgió una nueva forma de ransomware: ransomware de organismos policiales. A las víctimas se les impedía el uso de sus ordenadores de sobremesa y aparecía una página de aspecto oficial que incluía las credenciales de organismos policiales como el FBI y la Interpol. El ransomware denunciaba que el usuario había cometido un crimen como el hackeo de un ordenador, la descarga de archivos ilegales o incluso estar en posesión de pornografía infantil. La mayoría de las familias de ransomware de organismos policiales exigía el pago de una multa que iba de 100 a 3000 dólares con una tarjeta prepago como UKash o PaySafeCard.

Los usuarios de a pie no sabían cómo actuar y realmente pensaban que estaban siendo objeto de una investigación por parte de un organismo policial. Esta táctica de ingeniería social, actualmente conocida como culpa implícita, hace que el usuario se cuestione su propia inocencia y, en lugar de declarar una actividad de la que no se siente orgulloso, prefiere pagar el rescate y pasar página.

En 2013, CryptoLocker reintrodujo en el mundo el ransomware de cifrado; pero, esta vez, era mucho más peligroso. CryptoLocker empleó cifrado de nivel militar y almacenó la clave necesaria para desbloquear los archivos en un servidor remoto. Eso hizo que fuera prácticamente imposible para los usuarios recuperar sus datos a menos que pagaran el rescate. Este tipo de ransomware de cifrado sigue usándose hoy en día y ha demostrado ser una herramienta increíblemente eficaz para conseguir dinero para los ciberdelincuentes. Los brotes de ransomware a gran escala, como WannaCry en mayo de 2017 o Petya en junio de 2017, emplearon el ransomware de cifrado para hacer caer en la trampa a usuarios particulares y empresas de todo el mundo.

A finales de 2018, Ryuk apareció en el panorama del ransomware con numerosos ataques contra publicaciones de noticias estadounidenses, así como contra la autoridad de aguas y saneamiento de Onslow (Carolina del Norte, EE. UU.). En un interesante giro de los acontecimientos, los sistemas contra los que se dirigieron estos ataques fueron primero infectados con Emotet o Trickbot, dos ladrones de datos troyanos que ahora se utilizan para transmitir otros tipos de malware como, por ejemplo, Ryuk. Adam Kujawa, director de Malwarebytes Labs, considera que Emotet y TrickBot se están utilizando para encontrar objetivos de gran valor. Una vez infectado el sistema y marcado como un buen objetivo para el ransomware, Emotet/TrickBot vuelve a infectar el sistema, esta vez con Ryuk.

Ransomware Mac

Para no quedar fuera del juego del ransomware, los creadores de malware para Mac publicaron el primer ransomware para sistemas operativos Mac en 2016. Llamado KeRanger, el ransomware infectaba una aplicación denominada Transmission que, cuando se iniciaba, copiaba archivos maliciosos que permanecían ejecutándose disimuladamente en segundo plano hasta que surgían y cifraban los archivos. Afortunadamente, poco después de que se detectara el ransomware Apple publicó una actualización del programa antimalware integrado XProtect que impedía al ransomware infectar los sistemas de los usuarios. No obstante, el ransomware para Mac ha dejado de ser algo teórico.

Ransomware móv.

No fue hasta la llegada del infame CryptoLocker y otras familias similares en 2014 que el ransomware empezó a verse a gran escala en dispositivos móviles. Normalmente el ransomware para móviles hace aparecer un mensaje que indica que el dispositivo ha sido bloqueado debido a algún tipo de actividad ilegal. El mensaje dice que se desbloqueará el teléfono una vez que se pague una tasa. A menudo el ransomware para móviles se introduce a través de una aplicación maliciosa y requiere que usted arranque el teléfono en modo seguro y elimine la aplicación infectada para poder recuperar el acceso a su dispositivo móvil.

¿A quién atacan sus creadores?

Cuando se introdujo (y posteriormente se reintrodujo) el ransomware, sus primeras víctimas fueron sistemas particulares (es decir, personas normales y corrientes). Sin embargo, los ciberdelincuentes empezaron a ser conscientes de todo su potencial cuando desplegaron el ransomware para las empresas. El ransomware tuvo tanto éxito contra las empresas, llegando incluso a detener la producción y provocar pérdidas de datos y de beneficios, que sus creadores dirigieron la mayoría de sus ataques contra ellas. Hacia finales del 2016, el 12,3 % de las detecciones empresariales globales fueron ransomware, frente a solo un 1,8 % de detecciones de usuarios particulares a nivel internacional. En 2017 el 35 % de las pequeñas y medianas empresas habían experimentado un ataque con ransomware.

Geográficamente hablando, los ataques con ransomware se centran todavía en los mercados occidentales, siendo el Reino Unido, EE. UU. y Canadá los tres países más afectados. Al igual que sucede con otros actores maliciosos, los creadores de ransomware van detrás del dinero, por lo que suelen buscar zonas con un alto porcentaje de uso de PC y una cierta riqueza. Cabe esperar que el ransomware (y otras formas de malware) aumente también en Asia y Sudamérica a medida que los mercados emergentes de esas zonas aceleran su crecimiento económico.

Qué hacer si hay infección

La regla número uno si se da cuenta de que se ha infectado con ransomware es no pagar nunca el rescate. (Este es ahora el consejo respaldado por el FBI). Todo lo que conseguiría sería animar a los ciberdelincuentes a lanzar ataques adicionales contra usted o contra otras personas. No obstante, es posible recuperar algunos archivos cifrados mediante desencriptadores gratuitos.

Pero seamos claros: No todas las familias de ransomware disponen de desencriptadores creados para ellas debido, en muchos casos, a que el ransomware usa algoritmos de cifrado avanzados y sofisticados. E incluso si existe un desencriptador, no está siempre claro que sea para la versión correcta del malware. Y no querrá cifrar aún más sus archivos usando el script de descifrado equivocado. Por tanto, debe prestar mucha atención al mensaje de rescate en sí, o incluso solicitar el consejo de un especialista en seguridad/TI antes de intentar nada.

Otras formas de hacer frente a una infección con ransomware son descargar un producto de seguridad conocido para la desinfección y ejecutar un análisis para eliminar la amenaza. Puede que no recupere todos sus archivos, pero puede estar seguro de que la infección se ha solucionado. En el caso del ransomware que bloquea las pantallas, puede que necesite realizar una restauración completa del sistema. Si eso no funciona, puede intentar ejecutar un análisis desde un CD de arranque o unidad USB.

Si desea intentar derrotar una infección con ransomware de cifrado, deberá permanecer especialmente atento. Si observa que el sistema se ralentiza sin ningún motivo aparente, apáguelo y desconéctelo de Internet. Si, una vez que lo arranque de nuevo, el malware sigue activo, no podrá enviar ni recibir instrucciones desde el servidor de comando y control. Eso significa que sin una clave o forma de obtener un pago, el malware permanecerá inactivo. En ese momento, descargue e instale un producto de seguridad y ejecute un análisis completo.

Cómo protegerse del ransomware

Los expertos en seguridad están de acuerdo en que el mejor modo de protegerse frente al ransomware es evitar la infección.

Aunque hay métodos para tratar una infección con ransomware, en el mejor de los casos son soluciones imperfectas, y a menudo requieren unos conocimientos técnicos que el usuario de a pie no posee. Por tanto, esto es lo que recomendamos a los usuarios para evitar las consecuencias de los ataques por ransomware.

El primer paso en la prevención del ransomware es invertir en un excelente programa de seguridad informática, algún programa con protección en tiempo real diseñado para frustrar los ataques con malware avanzado, como pueda ser el ransomware. También debe buscar características que protejan los programas más vulnerables frente a las amenazas (una tecnología anti-exploits) y al mismo tiempo impidan que el ransomware secuestre sus archivos (un componente anti-ransomware). Los clientes que utilizaron la versión Premium de Malwarebytes for Windows, por ejemplo, estuvieron protegidos de los principales ataques de ransomware de 2017.

A continuación, y aunque sea algo fastidioso, debe crear copias de seguridad de los datos regularmente. Nuestra recomendación es emplear un almacenamiento en la nube que incluya cifrado de alto nivel y autenticación multifactor. Sin embargo, también puede comprar unidades USB o discos duros externos en los que puede guardar archivos nuevos o actualizados, pero no olvide desconectar físicamente estos dispositivos del ordenador después de realizar la copia de seguridad ya que, en caso contrario, se podrían infectar también con el ransomware.

Después asegúrese de que sus sistemas y el software estén siempre actualizados. El brote de ransomware del WannaCry se aprovechó de una vulnerabilidad en el software de Microsoft. Aunque la compañía había publicado un parche para solucionar el problema en marzo de 2017, muchos no instalaron la actualización y quedaron indefensos frente al ataque. Sabemos que es difícil mantener siempre al día una lista creciente de actualizaciones para el conjunto cada vez mayor de programas de software y aplicaciones que utiliza en su vida diaria. Por eso, le recomendamos que habilite las actualizaciones automáticas.

Finalmente, esté siempre informado. Una de las formas más habituales en la que se infectan los ordenadores con ransomware es a través de ingeniería social. Reciba formación ( y proporciónesela a sus empleados si es el propietario de la empresa) sobre cómo detectar malspam, sitios web sospechosos y otras estafas. Y, sobre todo, utilice el sentido común. Si algo parece sospechoso, probablemente lo sea.

Manténgase al día de las últimas novedades sobre ransomware en Malwarebytes Labs.

# data[].attributes.attachment_link.title
Ransomware: qué es y cómo eliminarlo | Malwarebytes

# data[].attributes.attachment_link.description
Todo lo que necesita saber acerca del ransomware: qué es, de dónde proviene y como protegerse frente a él. Lea más para descubrir todo lo que necesita saber acerca del ransomware.