Para celebrar el décimo episodio del podcast Strive, he publicado un episodio ampliado que trata sobre un ciberataque real, en el que se abordan algunos de los temas que he tratado en episodios anteriores.
Investigué este ataque personalmente durante mi etapa trabajando en análisis forense y modelado de ataques, antes de incorporarme a Commvault. Los nombres de las empresas se han mantenido en el anonimato por razones obvias, pero este ejemplo te permitirá comprender un poco mejor cómo se desarrolla una brecha de seguridad en el mundo real.
Un atacante interno
Esta brecha de seguridad se produjo cuando el equipo de TI detectó una actividad inusual en la red. Todo comenzó con unas cuantas alertas de un sistema de detección de intrusiones que señalaban posibles anomalías en la red. Al principio, parecía una falsa alarma. Pero a medida que las alertas se hacían más frecuentes, el equipo se dio cuenta de que se enfrentaban a algo un poco más grave.
Las alertas que vio el equipo de TI fueron un ejemplo de «demasiado poco, demasiado tarde» en este caso. La actividad consistía en tráfico de red generado por delincuentes que ya se comunicaban con su malware a través de comandos y control, lo que a veces se denomina C2.
Los atacantes iniciaron su campaña contra esta organización unos tres meses antes, con correos electrónicos de phishing diseñados para parecer comunicaciones internas legítimas.
Y eso fue todo lo que hizo falta, por supuesto: que un solo empleado hiciera clic en el enlace malicioso incrustado. Un troyano de acceso remoto, un RAT, permitió a los atacantes establecer un punto de apoyo en la red corporativa, y la fase de preparación del ataque quedó completada.
A continuación, utilizando una herramienta llamada Mimikatz, los delincuentes extrajeron las credenciales de la memoria del sistema, obteniendo así acceso administrativo a la red corporativa. Ahora podían moverse lateralmente por la red, aprovechando otras vulnerabilidades en los sistemas sin parches para afianzarse aún más en la red.
A continuación, comenzaron a ejecutar de forma remota varios comandos en distintas máquinas y servidores de todo el entorno informático, con el fin de seguir preparándose para un ataque de ransomware.
Una vez que obtuvieron el control total y recopilaron toda la información necesaria sobre la organización objetivo —lo que en este caso supuso unos tres meses de reconocimiento—, los atacantes desplegaron un ransomware conocido como Ryuk, famoso por su capacidad para cifrar redes completas con gran rapidez.
El impacto del ataque fue inmediato y devastador. Las aplicaciones empresariales críticas se paralizaron en cuestión de minutos. La organización ya no podía acceder a datos críticos como sistemas esenciales, información de clientes, registros financieros y documentos internos.
A continuación, los atacantes dejaron una nota de rescate en la que exigían un pago considerable en bitcoins para descifrar los datos. Ante esta situación, la organización puso en marcha su plan de respuesta ante incidentes. Comenzaron a aislar los sistemas afectados para evitar que el ransomware Ryuk se propagara aún más y contrataron a expertos en ciberseguridad para llevar a cabo una investigación exhaustiva.
La empresa afectada decidió NO pagar el rescate y, en su lugar, recurrir a las copias de seguridad del sistema y a técnicas de Recovery. El proceso de Recovery resultó complejo y llevó mucho tiempo. La organización tuvo que reconstruir gran parte de su infraestructura informática, prácticamente desde el hardware.
Pasos básicos para la recuperación
El primer paso que dio la organización fue la contención, aislando los sistemas infectados para evitar que el ransomware se propagara aún más. A continuación vino la erradicación, la tarea de eliminar el software malicioso y limpiar la red en la medida de lo posible utilizando herramientas antimalware avanzadas.
Tras varios días trabajando en la contención y la erradicación, por fin pudo comenzar el proceso de restauración. Por desgracia, algunas copias de seguridad críticas se vieron comprometidas por el ransomware. Y el proceso de restauración fue extremadamente lento.
Se tardó ocho días en determinar cuáles eran los últimos puntos de recuperación limpios para la mayoría de las aplicaciones empresariales críticas. Se perdieron muchos datos recientes y la empresa estuvo a punto de llegar a un punto crítico antes de que se pudieran recuperar por completo los sistemas críticos.
Una vez que los sistemas críticos volvieron a estar operativos, se inició un proceso de supervisión rigurosa. En este caso, fue necesario implementar soluciones de supervisión mejoradas para intentar detectar cualquier indicio de actividad maliciosa residual.
Todo ello dependía de una comunicación exhaustiva con las partes interesadas, tanto internas como externas, sobre la propia infracción y las medidas que se estaban tomando para mitigar sus efectos.
Lecciones aprendidas de la infracción
Este incidente pone de relieve varias lecciones fundamentales para las organizaciones de todos los tamaños:
En primer lugar, es esencial impartir formación periódica sobre ciberseguridad a los empleados. El escepticismo hacia el correo electrónico y los posibles intentos de phishing podrían haber frustrado la brecha inicial tres meses antes de que se detectara el indicador de compromiso.
Es absolutamente fundamental disponer de copias de seguridad actualizadas, almacenadas fuera de línea, inmutables y que no puedan verse comprometidas. Y, por supuesto, la realización de pruebas periódicas de dichas copias de seguridad habría garantizado, en este caso, que se pudiera confiar en ellas ante esta emergencia. La realización de pruebas periódicas de restauración en una sala limpia habría ahorrado a esta organización una gran cantidad de tiempo de Recovery.
La implementación de la autenticación multifactorial habría reducido significativamente los riesgos asociados al robo de credenciales que hemos observado.
El uso de técnicas avanzadas de detección de amenazas y anomalías podría haber ayudado a identificar y mitigar las amenazas de forma temprana y casi en tiempo real.
La recuperación total de la organización llevó varios meses, durante los cuales operaron con una capacidad significativamente reducida. El coste financiero fue inmenso, no solo en términos de gastos de recuperación, sino también en pérdidas comerciales y daño a la reputación.
Este ataque sirve como un claro recordatorio de las amenazas siempre presentes que rodean a todas nuestras empresas y de la necesidad de estar alerta y preparados. Los ciberdelincuentes evolucionan constantemente sus tácticas, y debemos ir un paso por delante para proteger nuestras empresas y nuestros datos. Echa un vistazo al episodio completo aquí.
