Análisis detallado de cómo responder a un ataque de ransomware y salir airoso de él

La anatomía de un ataque de ransomware

El director de operaciones de una gran empresa de servicios profesionales descubrió hasta qué punto se ha vuelto insidioso el ransomware. La empresa realizaba copias de seguridad. Contaba con una estrategia de recuperación ante desastres viable. Aun así, el ransomware infectó su empresa y estuvo a punto de paralizarla. Solo gracias al uso de HYCU por parte de su empresa y a los esfuerzos del equipo de soporte de HYCU, su empresa se recuperó de este ataque de ransomware casi devastador.

El contexto

El director de operaciones (COO) creía que su gran empresa de servicios profesionales estaba preparada para responder a cualquier tipo de ataque, incluido un ataque de ransomware. Llevaba más de 20 años trabajando en la empresa y conocía a la perfección su entorno informático, incluidas su estrategia de copias de seguridad y su preparación ante desastres.

Con sede en el sureste de Estados Unidos, la empresa funcionaba con la plataforma Nutanix Enterprise Cloud. Albergaba la mayor parte de sus aplicaciones en Nutanix y gestionaba más de 50 servidores, más de 10 millones de archivos y más de 30 TB de datos. Dedicada al ámbito médico, también almacenaba numerosos registros sujetos a la normativa HIPAA.

Para proteger estos datos y aplicaciones, la empresa adoptó un enfoque doble. En primer lugar, utilizaba software de ciberseguridad para detectar y prevenir ataques de ransomware. Para las copias de seguridad, utilizó HYCU para Nutanix, realizando copias de seguridad incrementales diarias y copias de seguridad completas semanales.

La empresa también replicaba todos sus datos en un segundo centro de datos situado a más de 100 millas de distancia. Esta arquitectura garantizaba que la empresa pudiera realizar una conmutación por error y una recuperación rápidas, tanto a nivel local como remoto. El director de operaciones no se imaginaba hasta qué punto el ransomware podría penetrar en estas defensas e incluso utilizarlas en su contra.

Señales de alerta del ransomware

El ataque de ransomware contra la empresa mostró pocas señales de alerta tempranas hasta que se desencadenó. Las primeras alertas aparecieron en sus registros el viernes anterior al inicio del ataque. El software de ciberseguridad con el que contaba la empresa mostró indicios de actividad sospechosa. Sin embargo, ninguna de estas alertas alcanzó un nivel suficiente como para llamar la atención de nadie o provocar una respuesta.

Las investigaciones posteriores revelaron la causa principal del ataque. Un archivo de Word adjunto a un correo electrónico entró en la empresa. En él se encontraba incrustada una macro. Al abrirse este archivo de Word, se introdujo en el entorno el virus de malware RYUK, que inició un ataque en dos frentes.

La primera fase del ataque propagó el malware por toda la red de la empresa al infectar servidores de archivos y de Windows. Esta infección implantó un ejecutable que se activó durante la segunda fase. A continuación, el virus original se eliminó a sí mismo. Esto dificultó el diagnóstico posterior del origen del ataque y contribuyó a ocultar los orígenes y la identidad del virus.

Se desata el caos… un domingo

El mundo del director de operaciones comenzó a desmoronarse alrededor de las 11 de la mañana de un domingo, cuando el virus RYUK cobró vida. Aunque no había nadie en la oficina, el virus se ejecutó asumiendo los mismos permisos de seguridad que el usuario de cada dispositivo. Esto le otorgó al virus un amplio acceso a los recursos de dicho sistema, así como a la red.

«El ataque de ransomware dejó solo un archivo legible. Este incluía un enlace a la dirección de correo electrónico del pirata informático para negociar el pago de un rescate».

El ataque continuó detectando y cifrando las unidades conectadas a la red y las unidades locales a las que podía acceder. A continuación, cifró todos los archivos y datos del servidor local o del ordenador personal. En cada dispositivo infectado, ese ransomware solo dejó un archivo legible: un archivo HTML. Este archivo incluía un enlace a la dirección de correo electrónico del pirata informático, a la que la víctima podía dirigirse para negociar el pago de un rescate.

Sin una salida viable

Para cuando sonó el buscapersonas del director de operaciones, ya parecía demasiado tarde. Todos los ordenadores con Windows, portátiles, servidores y archivos de red estaban cifrados. Para agravar la situación, los procesos que la empresa tenía implantados replicaban los datos cifrados a su centro de recuperación ante desastres. Esto impidió a la empresa llevar a cabo una recuperación remota.

Luego, para colmo de males, el ransomware cifró todos los archivos de copia de seguridad almacenados en unidades de red compartidas. A pesar de sentirse cada vez más desesperado, el director de operaciones exploró las únicas cuatro opciones de las que disponía.

«Una investigación más exhaustiva reveló que el contratista que se había ofrecido a ayudar a descifrar los datos bien podría ser una tapadera de los piratas informáticos que habían cifrado sus datos».

1. Se puso en contacto con la dirección de correo electrónico del pirata informático utilizando su propia dirección de correo anónima para averiguar la cuantía del rescate solicitado.
2. Revisó sus cintas de copia de seguridad para determinar qué datos, si los había, podía recuperar.
3. Contrató a un proveedor que afirmaba ayudar a las empresas a recuperarse de un ataque de ransomware facilitándoles el descifrado de sus datos.
4. Se puso en contacto con su proveedor de copias de seguridad, HYCU, para ver si
   podría ayudar a su empresa a recuperar sus datos.

Caminos que no llevan a ninguna parte

Las respuestas recibidas sobre las tres primeras opciones confirmaron sus peores temores. Los piratas informáticos respondieron a su correo electrónico con una petición de rescate de 92 bitcoins (aproximadamente 1 millón de dólares estadounidenses). Aunque el director de operaciones estaba casi dispuesto a pagar algo, 1 millón de dólares no era una opción.

Las cintas de copia de seguridad ofrecían cierta esperanza, pero no mucha. La empresa solo guardaba en cintas alrededor del 60 % de sus datos, y solo realizaba copias de seguridad mensualmente. Además, se tardaría semanas en recuperar los datos de las cintas y reconstruir las aplicaciones. El director de operaciones consideraba el uso de las cintas como fuente de recuperación únicamente como último recurso, sin mucha confianza en que funcionara si se utilizaba.

El contratista encargado del descifrado no le tranquilizó en absoluto y le hizo sospechar. Como mínimo, cobraba 10 000 dólares por descifrar los datos, suponiendo que su software de descifrado funcionara. Sin embargo, una investigación más exhaustiva reveló que el contratista bien podría ser una tapadera de los piratas informáticos que habían cifrado sus datos. Por lo tanto, descartó esta opción.

HYCU: el primer rayo de esperanza

El primer rayo de esperanza llegó el domingo por la noche, cuando su equipo encontró un archivo sin cifrar en la máquina virtual (VM) de HYCU. El ransomware había cifrado todas las copias de seguridad almacenadas en los filers de red. Sin embargo, HYCU conservaba un único archivo generado por el sistema en su máquina virtual (VM) host que el ransomware no había infectado ni cifrado.

El director de operaciones y su equipo se pusieron en contacto con HYCU poco después de detectar este archivo sin cifrar. Querían averiguar si había alguna forma de utilizar este archivo para la recuperación.

Una noche de lo más dura

Una vez contactado, el equipo de soporte de HYCU dio prioridad al asunto. El reto radicaba en que el archivo almacenado en la máquina virtual de HYCU no estaba pensado inicialmente ni formateado para la recuperación.

El software de copia de seguridad de HYCU utilizaba este archivo para almacenar datos en caché antes de crear los archivos de copia de seguridad almacenados en el servidor de red. Aunque no estaba cifrado, al principio no estaba claro si HYCU podría acceder a este archivo y utilizarlo para la recuperación.

Mientras el personal de soporte técnico de HYCU trabajaba en el problema, los minutos se convirtieron en horas. Entre bastidores, HYCU fue pasando el problema de un equipo de soporte a otro en todo el mundo. De este modo, siempre había personas con una perspectiva nueva trabajando en el problema. HYCU también recurrió a miembros de su equipo de ingeniería para diagnosticar el problema.

«El director de operaciones nunca vio al equipo de soporte de HYCU admitir la derrota. Más bien, fue testigo de su determinación para trabajar en el problema junto con su equipo hasta que se resolvió».

Para cuando llegó el lunes, HYCU había diagnosticado y resuelto el problema. HYCU logró descomprimir este archivo, acceder a los datos que contenía y restaurar todas las máquinas virtuales de la empresa.

Eternamente agradecido

El director de operaciones no podía ni empezar a expresar lo eternamente agradecido que se sentía. HYCU había sacado el proverbial conejo de la chistera y había ayudado a recuperar los datos de su empresa. Reconoció lo vital que había sido que HYCU le hubiera facilitado ese archivo para su recuperación. De lo contrario, su empresa habría tardado meses en recuperarse por completo y reconstruir su entorno informático.

Aunque la empresa habría sobrevivido, habría supuesto un importante revés. Ni siquiera podía empezar a cuantificar las pérdidas potenciales de la empresa en términos de dinero y tiempo.

El director de operaciones nunca vio al equipo de soporte de HYCU admitir la derrota. Por el contrario, fue testigo de su determinación para trabajar y dedicarse por completo al problema junto con su equipo hasta que se resolvió. Cuando HYCU terminó, el director de operaciones reconoció: «Fue un milagro recuperar todos nuestros sistemas y datos».

Acerca de DCIG

DCIG potencia el sector de las tecnologías de la información con análisis prácticos que capacitan a las personas de las organizaciones para llevar a cabo evaluaciones tecnológicas. DCIG ofrece análisis y comentarios independientes, bien fundamentados y perspicaces sobre las tecnologías de la información. DCIG desarrolla de forma independiente y concede licencias de acceso a sus «Guías del comprador» y a los «Informes de los 5 principales». Asimismo, elabora contenidos por encargo en forma de entradas de blog, libros blancos para ejecutivos, podcasts, informes de inteligencia competitiva, seminarios web, libros blancos y vídeos. Para obtener más información, visite www.dcig.com.