Los grupos dedicados al ransomware continúan mejorando sus técnicas. El ransomware ‘Lockbit’ dificulta la labor de los especialistas en ciberseguridad al incorporar nuevas opciones y la práctica del dumping de credenciales, mientras que el recién llegado ‘Play’ usa técnicas de autopropagación.
Durante los primeros diez meses de 2022, los usuarios atacados con ransomware dirigido se han duplicado en comparación con el mismo periodo de 2021, un crecimiento sorprendente que indica que los grupos dedicados a lanzar ransomware han continuado con sus técnicas. Así lo indica el último informe de Crimeware de Kaspersky, que revela la aparición de nuevas variantes de ransomware. Concretamente, lo largo de 2022, Kaspersky ha detectado más de 21.400 cepas.
De acuerdo con las soluciones de seguridad de Kaspersky, la cantidad de usuarios afectados por ransomware dirigido representó el 0,026% del total de los incidentes por malware en 2022, frente al 0,016% de 2021.
Ataques más dirigidos y destructivos
Los cibercriminales están continuamente buscando oportunidades para realizar ataques con ransomware de precisión para lograr sus objetivos, como revelan las nuevas actividades del notorio ‘LockBit’ y el recién llegado ‘Play’.
El ransomware ‘Lockbit’ sigue siendo uno de los más populares, innovadores y de rápido desarrollo utilizados en la actualidad. Dificulta la labor de los especialistas en seguridad cibernética al incorporar nuevas opciones y la práctica del dumping de credenciales. Esta técnica permite hacerse con el dominio del equipo infectado y crear un canal para restablecer las credenciales del sistema operativo.
En cuanto a ‘Play’, es una variante de ransomware que dificulta el análisis. El ransomware solicita a las víctimas, a través de la nota de rescate, que contacten con los ciberdelincuentes a través de una dirección de correo electrónico. Lo que llama la atención de los analistas es que contiene una funcionalidad encontrada recientemente en otras variantes avanzadas de ransomware: la autopropagación. Los atacantes encuentran un bloque de mensajes de servidor (SMB) y realizan una conexión. A renglón seguido, ‘Play’ intenta montar el SMB mencionado anteriormente y distribuir y ejecutar el ransomware en el sistema remoto.
“Los desarrolladores de ransomware vigilan de cerca lo que hacen sus competidores. Si uno realiza una implementación de una determinada funcionalidad con éxito, existe una gran probabilidad de que otros lo repliquen. Esto hace que el ransomware sea más interesante para quienes lo utilizan. La autopropagación de ransomware es un claro ejemplo de esto. Cada vez más y más grupos de ransomware inventan técnicas que hacen los ataques más dirigidos y destructivos. Otra cosa que no podemos dejar de recordar es la necesidad de hacer copias de seguridad periódicas y almacenarlas offline”, asegura Jornt van der Wiel, experto en seguridad de Kaspersky.