El ransomware Ryuk ataca al SEPE

¿Qué es un ransomware?

El ransomware es un tipo de malware de extorsión mediante el cual los atacantes secuestran y cifran los archivos del ordenador de la víctima.

En este sentido, el propósito de un ransomware es exigir un pago monetario, generalmente a través de bitcoins, para el rescate de los archivos. Varían según el tipo de ransomware dependiendo del cobro de la extorsión donde incluyen opciones de pago alternativas, como las tarjetas de regalo de iTunes y Amazon o bitcoins. No obstante, el pago de un rescate por los datos no garantiza que los usuarios obtengan la clave de para recuperar el acceso a los datos de la máquina infectada.

Es decir, en ransomware es un tipo de ataque malicioso cuya finalidad es obtener un lucro económico cifrando todos los archivos personales de la víctima. Estos comprenden todo tipo de documentos de interés, tales como las fotografías, los archivos de vídeo o los documentos privados. Posteriormente exigen un rescate a cambio del desbloqueo de todos los archivos.

La clave del lucro económico de los ataques de tipo ransomware reside precisamente de obtener una cantidad variable de dinero por la venta de esta clave de descifrado, pudiendo oscilar entre cifras que abarcan desde los 300 dólares hasta rescates millonarios.

Este tipo de ataque puede llegar a causar daños devastadores cuando la víctima es una empresa o una institución. El llamado “secuestro digital” de forma popular no es una nueva técnica que haya surgido recientemente, el primero de este tipo de malware data de 1989. Sin embargo, las técnicas, tácticas y procedimientos se han ido sofisticando hasta ser uno de los ataques más temidos por parte tanto de las empresas como de las instituciones.

Vale, y ahora, ¿Cuál es el ransomware que ha atacado al SEPE?

Por lo que sabemos a través de los medios que han sido difusores de las noticias, se trata de el ransomware “Ryuk”. Tal y como aclaran los compañeros de Panda Security:

“Siguiendo el modus operandi del resto de ransomware, al acabar el cifrado de los archivos de sus víctimas, Ryuk deja una nota de rescate que indica que, para recuperar los archivos, es necesario realizar un pago de bitcoins contactando con la dirección indicada.

En la muestra analizada por Panda Security, el ransomware Ryuk llegó a los sistemas a través de una conexión en remoto lograda en un ataque RDP (Remote Desktop Protocol). El actor malicioso logró iniciar sesión de forma remota. Una vez que logró iniciar la sesión, creó un ejecutable con la muestra.

El ransomware Ryuk, como otros malware, trata de quedarse en nuestro sistema el mayor tiempo posible. Uno de sus sistemas para lograrlo es crear ejecutables y lanzarlos en oculto. Para poder cifrar los archivos de la víctima, también requiere tener privilegios. Por lo general, el ransomware Ryuk parte de un movimiento lateral o es lanzado por otro malware, como Emotet o Trickbot. Estos se encargan de escalar privilegios previamente para otorgarlos al ransomware.