"¡Me han cifrado los archivos y me piden dinero para descifrarlos!". 5 Consejos para evitar un "Cryptolocker"

Ni sé cuántos correos llevo ya este año recibidos con un mensaje similar al del título. Gente desesperada porque han sido víctimas de un Ransomware que se ha ejecutado en su sistema operativo y le ha cifrado las fotos de su familia, los documentos de la contabilidad de la empresa familiar, los archivos con las contraseñas para acceder a servicios de Internet que ya no saben cómo recuperar o los trabajos de investigación de una vida. La cantidad de información que tenemos útil y valiosa para nosotros mismos en nuestros equipos es muy alta y mucho más valiosa de lo que te puedas imaginar en un momento dado. Es como cuando pierdes a alguien, no vas a saber cuánto querías a esa persona hasta que la echas de menos porque notas que ya no está, que se fue para siempre.

Figura 1: "Lo que el viento {cibercrimen} se llevó de mi vida"

Eso es lo que intenta hacer un Ransomware, es decir, quitarte algo que tú necesites y pedirte dinero a cambio de devolvértelo. Es un secuestro exprés en el que el mafioso se va a aprovechar de que tienes descuidado algo valioso para ti y te va a hacer pagar por ello. Estos Ransomware, en el pasado han podido ser analizados por los ingenieros de seguridad para encontrar de localizar el algoritmo y las claves de cifrado utilizados en cada instalación y generar un descifrador universal. Así ha sido a lo largo de muchos años, pero... solo era cuestión de que alguien lo hiciera bien para que pudiera liarse parda.

Figura 2: Mensaje dejado por uno de los ransomware distribuidos

En este caso, el despliegue de la última familia de CryptoLocker está haciendo estragos a nivel mundial. Muchos son los usuarios que están siendo infectados y, tras ver, el hilo de los acontecimientos a día de hoy no ha sido posible localizar una solución para descifrarlos más que pagar - algo que alienta a este tipo de negocios de fraude online en el futuro -. La transición económica del pago es a través de BitCoins y por la DeepWeb, para que ser menos traceable.

Figura 3: Para conseguir la clave de cifrado se introduce el ID del cifrado y se reciben las instrucciones

Llegado hasta este punto, haz un ejercicio de reflexión interna e intenta pensar qué harías ahora mismo si te robaran el equipo informático que tienes delante, del portátil o el disco duro & pendrives que llevas tirados en la mochila. Si después de pensar durante 5 minutos en qué tienes ahí, e intentar sentir cómo sería tu día siguiente sin ellos llegas a la conclusión de que es importante, toma medidas.

Medidas para protegerse contra un ataque de ransomware

Si has llegado hasta este punto, y quieres evitar en la medida de lo posible que esto te pueda pasar a ti - o que te vuelva a pasar -, te dejo una serie de recomendaciones para evitar que seas extorsionado con este tipo de prácticas mafiosas:

1.- Mantén todo el software de tu sistema actualizado: Normalmente estos fallos se aprovechan de exploits que suelen estar parcheados - no siempre, ya que a veces cuentan con algún 0day de Flash, Java o similares que explotan durante unos días todo lo que pueden -, a través de kits de explotación que ponen en servidores web hackeados o que distribuyen a través de campañas de malvertising.  

Figura 4: Una imagen de un antiguo panel de control de BlackHole con los explotis y las víctimas 

Cuantos menos bugs sin parchear tengas mejor. Actualiza tu Windows, pero también Java, Adobe Flash, VLC, todos tus navegadores de Internet, etcétera. Mantén todo tu software al día o entrégalo al enemigo. 

2.- Pon un Antimalware profesional con protección en tiempo real: Es una pena que mucha gente ponga en riesgo su vida digital por no tener un antimalware profesional de primer nivel como Intel Security, Kaspersky, ESET, Bitdefender, Symantec o similares con protección en tiempo real. En Tiempo Real, examinando conexiones de Internet, pendrives o cualquier conexión al sistema. No son ni mucho perfectos, pero te garantizo que si lo tienes los malos tendrán que mutar mucho el bicho para que te pille.

3.- Fortifica tu sistema: Muchas de las veces los engaños son tan tontos como incitarte a que instales un programa, como si fueran codecs de vídeo o similares, así que cuantos menos permisos tengas en tu sistema mejor. Configura el UAC al máximo nivel en Windows,  no utilices la cuenta de administrador para navegar por Internet y restringe el acceso a archivos importantes con listas ACL a cuentas privilegiadas que usas solo para acceder a ellos y no para navegar. Aplicar Máxima Seguridad en Windows es la idea.  

Por supuesto, fortifica tu navegador de Internet, así que revisa la configuración de los plugins para evitar que se ejecuten automáticamente. Revisa la configuración de los plugins en tu sistema y si son seguros o no. Puedes utilizar Browser Check para saber cómo está el navegador que estás usando ahora mismo.

Figura 5: Browser Check

4.- Haz un backup en discos desconectados y cifrados: Hazte una buena política de backups y cúmplela a raja-tabla. Usar un disco externo para los archivos importantes es una buena opción. Por supuesto, no los dejes conectados y con acceso para que cualquier ransomware que entre te los cifra también, así que desconecta el disco cuando acabes la copia.  Si no has hecho backup, revisa las Shadow Copies de Windows, para ver si hay alguna copia del sistema.

5.- Copia de seguridad en Cloud: Asegúrate que las copias de seguridad se hagan desde cuentas privilegiadas y que no puedan borrar los archivos de copias anteriores. Es decir, que hagan copias de seguridad pero que no puedan borrar las existentes. La política de borrado de copias de seguridad hazla en el servidor de Cloud con otro acceso. Así, si en algún momento se hace una copia de los archivos cifrados, podrás tener la copia anterior.

Nota sobre el Sentido Común como arma defensiva

Por último, me gustaría hacer una reflexión para todos esos que recomiendan "Sentido Común" como única medida de protección. El sentido común no te va a defender de un 0day, una campaña de malvertising o un ataque de waterholing a una web que visitas habitualmente. En esos casos el sentido común es que tengas tu equipo fortificado para ello y que no pienses que no necesitas haber robustecido tu sistema informático.

Como en todo lo que concierne a la seguridad informática, no hay garantía absoluta de que estas medidas sean del todo efectivas para el 100% de los casos, pero seguro que en muchos de los que estáis jodidos con estos extorsionadores podríais haber continuado tu vida sin tener que pagar el secuestro y además te ayudarán a vivir después de un posible robo/perdida del equipo o de que se te rompa porque... las cosas pasan.

Descifrar algunos ransomware

Un hacker ha compilado todas las soluciones conocidas para recuperar los ficheros de estos Cryptolockers en una herramienta llamada Ransomware Response Kit, así que prueba eso.

- Solución 1: Probar con las Shadow Copies de Windows
- Solución 2: Probar a descifrar una variación de Cryptolocker conocida como TeslaCrypt
- Solución 3: Probar a ver si funciona con solución que Kaspersky ha publicado con una herramienta para descifrar BitCryptor y CoinVault

Saludos Malignos!