El Ransomware es un software malicioso que, al infectar nuestro equipo, le da al ciberdelincuente la capacidad de bloquear un dispositivo desde una ubicación remota y encriptar nuestros archivos, quitándonos el control de toda la información y datos almacenados.

Descarga Panda Dome

El virus lanza una ventana emergente en la que nos pide el pago de un rescate, dicho pago se hace generalmente en moneda virtual (bitcoins por ejemplo). Uno de los ransomware más famosos es WannaCry, que se propagó rápidamente en 2017 y afectó a miles de dispositivos en todo el mundo. Este malware bloquea el acceso a los archivos del usuario y muestra un mensaje que informa sobre la encriptación de datos. Para recuperar el acceso a su información, las víctimas deben pagar un rescate en criptomonedas. WannaCry se destacó por explotar una vulnerabilidad en el sistema operativo Windows, lo que permitió que se propagara de manera masiva y afectara tanto a individuos como a grandes organizaciones.

La vergüenza, la necesidad de recuperar los datos y la presión ante un mensaje alarmante y desconocido, son algunos de los factores que provocan que algunos de los afectados por este tipo de virus terminen pagando el rescate de su ordenador. Los hackers están viendo mucho negocio detrás de esta forma de actuar y plantean modelos de negocio basados en acciones de infecciones usando ransomware. En Panda Security queremos darte las claves para tanto evitar infectarte como recuperar tu ordenador sin pagar nada.

¿Cuáles son los tipos de ransomware?

Los tres enfoques más comunes en los que los cibercriminales hacen uso del ransomware son el ciber-robo, la extorsión y el sabotaje de instalaciones civiles o militares, entre otros. A continuación explicamos detalladamente los tipos de ransomware más conocidos.

Ransomware de cifrado o Filecoders

Este tipo de ransomware bloquea y encripta los archivos del usuario. La única manera de recuperarlos es pagando un rescate. Es especialmente peligroso porque, una vez que los archivos están encriptados, no hay software de seguridad ni restauración del sistema que pueda recuperarlos sin la clave de desencriptación, que solo se obtiene pagando. Sin embargo, no hay garantías de que los ciberdelincuentes devuelvan los archivos una vez recibido el pago. Además, suelen imponer un plazo para el pago, amenazando con dañar, destruir o bloquear permanentemente los archivos si no se cumple.

A continuación, algunos ejemplos notables de codificadores de archivos:

CryptoLocker: Una de las primeras cepas de ransomware de cifrado ampliamente reconocidas, CryptoLocker cifra archivos en el sistema de un usuario y exige un pago en Bitcoin por la clave de descifrado.

WannaCry: Este ransomware aprovechó una vulnerabilidad en Windows y se propagó rápidamente por las redes en 2017, cifrando archivos y exigiendo el pago de rescates en Bitcoin.

Locky: Distribuyéndose principalmente a través de correos electrónicos de phishing, Locky cifra varios tipos de archivos y los renombra con una extensión única, exigiendo un rescate para recuperarlos.

Ryuk: Dirigido a grandes organizaciones, Ryuk cifra archivos y exige importantes rescates, a menudo utilizando sofisticados métodos para infiltrarse en las redes.

Sodinokibi (REvil): Operando como un ransomware-as-a-service (RaaS), Sodinokibi cifra archivos y también amenaza con filtrar los datos robados si no se paga el rescate.

Maze: Conocido por su estrategia de doble extorsión, Maze cifra archivos y roba información confidencial, amenazando con publicar los datos a menos que se pague el rescate.

Dharma: Este ransomware cifra los archivos del sistema infectado y exige el pago de la clave de descifrado, a menudo dirigido a empresas a través de vulnerabilidades RDP.

Egregor: combina el cifrado de archivos con el robo de datos, y amenaza con publicar los datos robados si no se paga el rescate, dirigiéndose tanto a particulares como a empresas.

Ransomware de bloqueo o Screenlockers

Este ransomware bloquea completamente la pantalla del dispositivo infectado, dejándolo inutilizable. Aparece una ventana con un mensaje, aparentemente de instituciones oficiales, informando al usuario que ha sido descubierto infringiendo la ley y que debe pagar una multa para desbloquear el dispositivo. Sin embargo, ninguna entidad oficial actuaría de esta manera; no exigirían pagos ni utilizarían estos métodos.

Estas amenazas son más comunes en dispositivos móviles Android y en computadoras con Windows debido a su gran base de usuarios. No obstante, los dispositivos Apple también pueden ser objetivos de este ataque. 

Estos son algunos tipos comunes de screenlockers:

Virus de la Policia: Este tipo de bloqueador de pantalla muestra un mensaje que dice ser de las fuerzas de seguridad, alegando que se ha detectado actividad ilegal en el dispositivo del usuario. El virus de la Policia a menudo exige una multa para desbloquear el sistema.

Bloqueadores de pantalla de Android: Muchos dispositivos Android son susceptibles a los bloqueadores de pantalla que pueden bloquear a los usuarios de sus teléfonos mostrando mensajes emergentes persistentes o bloqueando la pantalla de inicio. También pueden hacerse pasar por las fuerzas del orden o mostrar falsas alertas.

WinLock: Esta variante de bloqueador de pantalla se dirige a los usuarios de Windows mostrando un mensaje a pantalla completa que impide el acceso al escritorio. Puede afirmar que el ordenador del usuario está infectado con virus o involucrado en actividades ilegales.

Reveton: Reveton, un conocido bloqueador de pantalla que aparece como un aviso de las fuerzas de seguridad, es conocido por apoderarse de la pantalla del usuario, imposibilitando el acceso a archivos o aplicaciones sin pagar un rescate.

Kryptik: Esta variante de ransomware puede actuar como un bloqueador de pantalla, mostrando un mensaje que impide a los usuarios acceder a su escritorio hasta que se pague un rescate. A menudo utiliza tácticas de ingeniería social para asustar a los usuarios.

Falso ransomware del FBI: Este tipo imita las advertencias del FBI, alegando que el ordenador del usuario ha estado involucrado en actividades delictivas. Bloquea la pantalla y exige un pago para «borrar» los cargos.

Bloqueadores de pantalla similares a Cryptolocker: Algunas cepas de ransomware imitan a ransomware conocidos como CryptoLocker, pero se centran en bloquear la pantalla en lugar de cifrar archivos, a menudo utilizando tácticas de intimidación similares.

Secuestradores de navegadores: Aunque no son bloqueadores de pantalla tradicionales, algunos programas maliciosos secuestran el navegador del usuario y muestran mensajes a toda página que bloquean la navegación hasta que se paga un rescate.

Scareware

Este es el tipo más inofensivo de ransomware, ya que se presenta como un software antivirus que falsamente asegura haber encontrado problemas en el dispositivo y ofrece soporte técnico falso a cambio de un pago. Aunque ignorar este tipo de ransomware puede resultar en una avalancha de ventanas emergentes y mensajes de alerta, los archivos del usuario permanecen seguros.

Algunos scareware funcionan como screenlockers, bloqueando el dispositivo hasta que se realice el pago.

Ejemplos de scareware más comunes:

Antivirus falso: Este es quizás el tipo más común de scareware. Ciertos programas afirman detectar virus o malware en el sistema del usuario y le incitan a pagar por una versión completa para eliminar estas amenazas inexistentes.

Windows Police Pro: Este scareware muestra mensajes alarmantes sobre supuestas infecciones de malware e insta a los usuarios a pagar por sus servicios de eliminación, que son innecesarios.

Security Toolbar: Una táctica común de scareware consiste en extensiones del navegador que afirman mejorar la seguridad, pero en su lugar muestran advertencias exageradas sobre amenazas para inducir miedo y provocar compras.

Reveton: Aunque se conoce principalmente como ransomware, también actuaba como scareware bloqueando las pantallas de los usuarios con mensajes que afirmaban que estaban siendo investigados por actividades ilegales, presionándoles así para que pagaran un rescate.

Leakware o Doxware

Este ransomware amenaza con publicar datos personales del usuario si no paga el rescate. Los atacantes no suelen enfocarse en archivos específicos; en su lugar, explotan la existencia de información privada (como nombres de usuario, contraseñas, cuentas bancarias, números de tarjetas, etc.) en el dispositivo para causar pánico en el usuario.

Estas son algunas de las variantes de doxware (leakware) más famosas que han saltado a los titulares por sus tácticas e impactos:

Maze: Una de las primeras variantes de ransomware en incorporar el doxing, Maze cifra archivos y roba datos confidenciales, amenazando con filtrarlos si no se paga el rescate. Ganó notoriedad por sus objetivos de alto perfil, incluidas grandes empresas.

Sodinokibi (REvil): Esta variante de ransomware-as-a-service (RaaS) no sólo cifra archivos, sino que también exfiltra datos sensibles, amenazando con hacerlos públicos si no se paga un rescate. Ha atacado a numerosas organizaciones de todo el mundo.

Clop: Similar a Maze y Sodinokibi, el ransomware Clop cifra datos y amenaza con revelar información sensible. Se sabe que se ha dirigido a varios sectores, como la sanidad y las finanzas.

LockBit: Esta familia de ransomware opera con un modelo RaaS y se sabe que roba datos confidenciales de las víctimas, amenazando con publicarlos si no se paga el rescate. Lockbit se ha dirigido a varios sectores, entre ellos el sanitario y el manufacturero.

Netwalker: Esta variante de ransomware se centra en robar datos confidenciales de las organizaciones antes de cifrar sus archivos. Amenaza con publicar los datos en un sitio de filtraciones si no se paga el rescate.

Conti: Conocido por sus tácticas agresivas, el ransomware Conti no sólo cifra archivos, sino que también roba datos, amenazando con filtrar información sensible sobre las víctimas.

Pysa: Este ransomware ha estado implicado en ataques a instituciones educativas y amenaza con liberar datos confidenciales robados a las víctimas a menos que se pague un rescate.

DarkSide: Infame por su ataque al Colonial Pipeline en 2021, DarkSide cifra archivos y roba datos, amenazando con filtrar información sensible si no se paga el rescate.

Ransomware como servicio (RaaS)

El RaaS (Ransomware as a Service) no es un tipo de ransomware en sí mismo, sino un modelo de negocio muy popular en la dark web. En este modelo, ciberdelincuentes novatos, en lugar de escribir su propio código malicioso, llegan a un acuerdo con terceros que desarrollan el software ransomware para ellos. Los desarrolladores del ransomware reciben una parte del rescate pagado por las víctimas.

Algunos RaaS son bastante conocidos, como por ejemplo los ya citados REvil (Sodinokibi), Maze, LockBit, Darkside, Conti y Netwalker. 

Aquí otros ejemplos de Ransomware como servicio:

GandCrab: Este RaaS fue muy rentable antes de su cierre en 2019. Utilizaba un modelo de suscripción y ofrecía a los afiliados diversas herramientas para lanzar ataques.

Phobos: Esta variante de RaaS se ha dirigido a empresas y particulares, cifrando archivos y exigiendo rescates en criptomoneda. Se sabe que operaba a través de una interfaz fácil de usar para los afiliados.

Clop: El ransomware Clop es parte de un modelo RaaS que se dirige a las organizaciones con el robo y cifrado de datos. Se le ha relacionado con múltiples violaciones de datos y elevadas peticiones de rescate.

Hive: Un RaaS relativamente más nuevo, Hive ha sido noticia por sus tácticas agresivas y ataques de alto perfil. Se centra en robar datos antes de cifrarlos y amenaza con filtrarlos.

¿Cómo actúa el Ransomware?

El Ransomware se camufla dentro de otro archivo o programa apetecible para el usuario que invite a hacer clic: archivos adjuntos en correos electrónicos, vídeos de páginas de dudoso origen o incluso en actualizaciones de sistemas y programas en principio fiables como Windows o Adobe Flash. 

Una vez que ha penetrado en el ordenador, el malware se activa y provoca el bloqueo de todo el sistema operativo y lanza el mensaje de advertencia con la amenaza y el importe del “rescate” que se ha de pagar para recuperar toda la información. El mensaje puede variar en función del tipo de ransomware al que nos enfrentemos: contenido pirateado, pornografía, falso virus… Para potenciar la incertidumbre y el miedo de la víctima, en ocasiones incluyen en la amenaza la dirección IP, la compañía proveedora de internet y hasta una fotografía captada desde la webcam.

Consecuencias de un Ciberataque con Ransomware

Si no se cuenta con medidas de seguridad informática adecuadas, un ciberataque con ransomware puede tener serias repercusiones.

Bloqueo de Dispositivos

El ransomware puede bloquear el acceso a los dispositivos infectados y, en caso de estar en una red, podría propagarse a otros equipos conectados. Aunque los archivos no se vean afectados directamente, el dispositivo se volverá inutilizable a menos que se pague el rescate solicitado por el atacante. Sin embargo, pagar el rescate no garantiza que el acceso será restaurado.

Bloqueo y Pérdida de Datos

Cuando un ordenador es infectado con crypto ransomware, los archivos se encriptan, impidiendo su acceso. Los ciberdelincuentes demandan un pago para liberar los archivos. Algunas víctimas que pagan consiguen recuperar su información, pero otras no reciben la clave de desencriptación incluso después de pagar, resultando en la pérdida definitiva de los datos.

Difusión de Información

Este tipo de ataque puede llevar a la difusión de información confidencial, no solo personal, sino también datos críticos de una empresa, como documentos del personal y detalles financieros.

Pérdida Económica

Los ciberdelincuentes suelen exigir grandes sumas de dinero como rescate. La urgencia por recuperar la información puede llevar a las empresas a realizar estos pagos, lo cual puede tener un impacto significativo en su capital financiero.

¿Cómo prevenir un ataque de ransomware?

Para prevenir un ataque de ransomware, es esencial abordar de manera prioritaria los problemas que pueden causar estos incidentes, ya que la prevención es siempre más eficaz y menos costosa que la recuperación.

  1. Realiza copias de seguridad frecuentes: Asegúrate de que tu sistema y tus datos estén siempre actualizados y respaldados regularmente.
  2. Instala software de seguridad: Utiliza un antimalware y un firewall, como Apolo, para detectar y neutralizar comportamientos sospechosos en tiempo real.
  3. Implementa autenticación multifactor: Usa herramientas con autenticación multifactor para mantener tus archivos encriptados, lo que dificulta que el ransomware los identifique y bloquee.
  4. Bloquea anuncios en tu navegador: Un bloqueador de anuncios puede ayudarte a evitar la publicidad maliciosa y las descargas no deseadas.
  5. Sé cauteloso con el contenido que recibes: Revisa detenidamente los correos electrónicos y mensajes en plataformas de mensajería para identificar contenido sospechoso.
  6. Capacita a tu equipo: Educa a tu personal sobre los riesgos del ransomware y las mejores prácticas para evitarlos.

El ransomware puede atacar tanto a individuos como a empresas de cualquier tamaño. Comprender cómo funciona, los diferentes tipos de ransomware y las estrategias de prevención te permitirá ser más efectivo en protegerte contra estos ataques.

Quizá te interese: Guía de supervivencia para secuestros digitales: cómo combatir un ‘ransomware’ (II)

Medidas de protección avanzadas contra Ransomware

Existen medidas de protección avanzadas contra ransomware que puedes implementar para blindar tu información y minimizar el riesgo de un ataque exitoso. También analizamos las soluciones que proponen sistemas como Android y Apple para luchar contra el ransomware.

1. Copias de seguridad robustas y segmentadas:

  • Realiza copias de seguridad regulares: Implementa un sistema de copias de seguridad automatizadas y frecuentes, con una cadencia adecuada a tus necesidades.
  • Segmenta tus copias de seguridad: Separa las copias de seguridad por tipo de datos, departamento o sistema, para facilitar la restauración en caso de un ataque.

2. Protección de endpoints y redes:

  • Implementa soluciones de seguridad endpoint: Instala software antivirus y antimalware de última generación en todos tus dispositivos, además, asegúrate de mantenerlos actualizados.
  • Activa firewalls y sistemas de detección de intrusiones (IDS/IPS): Implementa firewalls de última generación y sistemas IDS/IPS para detectar y bloquear intentos de intrusión y ataques de ransomware.

3. Control de accesos y gestión de identidades:

  • Utiliza autenticación multifactor (MFA): Implementa MFA para agregar una capa adicional de seguridad al acceso a sistemas y cuentas sensibles.

4. Planes de recuperación ante desastres:

  • Desarrolla un plan de respuesta ante incidentes: Define los pasos a seguir en caso de un ataque de ransomware, incluyendo la contención, la erradicación y la recuperación.
  • Prueba tu plan de recuperación: Realiza pruebas periódicas de tu DRP para asegurarte de que es efectivo y está actualizado.
  • Mantén tu plan de recuperación actualizado: Actualiza tu plan de respuesta ante incidentes regularmente para reflejar los cambios en tu entorno tecnológico y las nuevas amenazas.

5. Soluciones de protección específicas contra ransomware:

  • Implementa soluciones antiransomware: Existen soluciones de seguridad específicas diseñadas para detectar, bloquear y prevenir ataques de ransomware.
  • Mantén estas soluciones actualizadas: Asegúrate de que las soluciones antiransomware estén siempre actualizadas con las últimas definiciones y firmas de malware.

6. Android 15 y su propuesta para luchar contra el malware:

  • Cuando se instala una aplicación desde una fuente desconocida, se restringe que se le puedan otorgar permisos de accesibilidad y de acceso a las notificaciones.
  • El sistema operativo advierte a los usuarios si su conexión móvil no está cifrada. Esto significa que sus llamadas y mensajes de texto podrían interceptarse en texto sin formato.
  • Además cuenta con protección adicional contra aquellas aplicaciones que interceptan contraseñas de un solo uso cuando se accede a las notificaciones de otras aplicaciones.

7. Protección contra el malware en macOS, XProtect: 

Apple cuenta con tres capas de defensa:

  • La primera capa para evitar el arranque o ejecución de malware. App Store o Gatekeeper combinado con la certificación de apps.
  • La segunda que bloquea la ejecución de malware en sistemas de usuarios. Gatekeeper, la certificación de apps y XProtect.
  • Y por último la capa que soluciona en caso de que se haya ejecutado algún malware: XProtect.

Si a pesar de tomar todas las medidas oportunas, tu equipo sufre el ataque de un ransomware, en Panda Security te ayudamos a desinfectar tu ordenador y recuperar toda la información. Contacta con nuestros profesionales y ellos te ayudarán a recuperar tu dispositivo.

FAQs – Preguntas Frecuentes sobre Ransomware

¿Cómo se propaga el ransomware?

El ransomware puede propagarse a través de varios métodos, entre ellos:

  • Correos electrónicos de phishing con archivos adjuntos o enlaces maliciosos.
  • Aprovechamiento de vulnerabilidades en software o sistemas operativos.
  • Descargas maliciosas desde sitios web comprometidos.
  • Ataques de protocolo de escritorio remoto (RDP).

¿Qué debo hacer si soy víctima de un ransomware?

Si te infectas con ransomware:

  • Desconecte el dispositivo afectado de Internet para evitar que siga propagándose.
  • No pague el rescate, ya que no garantiza la recuperación de sus archivos y puede fomentar nuevos ataques.
  • Solicite ayuda a profesionales de la ciberseguridad o a las fuerzas de seguridad.
  • Restaure los archivos a partir de copias de seguridad, si dispone de ellas.
  • Denuncie el incidente a las autoridades.

¿Es posible recuperar los archivos tras un ataque de ransomware?

En algunos casos, los archivos pueden recuperarse mediante copias de seguridad o herramientas de descifrado proporcionadas por expertos en ciberseguridad. Sin embargo, si no se dispone de copias de seguridad y no se paga el rescate, la recuperación puede resultar difícil.

¿El pago del rescate garantiza la recuperación de los archivos?

Pagar el rescate no garantiza recuperar el acceso a los archivos. Muchas víctimas han informado de que no han recibido las claves de descifrado tras el pago, y también puede animar a los atacantes a atacar a más víctimas.

¿Cuánto suelen pedir los atacantes de ransomware?

Los importes de los rescates pueden variar mucho, desde unos pocos cientos a varios millones de dólares, dependiendo del perfil de la víctima, la sensibilidad de los datos y la capacidad de pago percibida.