PYMES expuestas: el riesgo oculto tras los ataques de ransomware «WantToCry»

PYMES expuestas: el riesgo oculto tras los ataques de ransomware «WantToCry»

Introducción

En el panorama digital actual, los ataques de ransomware evolucionan a un ritmo alarmante, aprovechando vulnerabilidades que a menudo se pasan por alto para infiltrarse en los sistemas. Una de estas debilidades reside en la mala configuración de los servicios SMB (Server Message Block) , que permiten a los atacantes acceder sin autorización a datos confidenciales.

SMB, un protocolo ampliamente utilizado para compartir archivos y recursos a través de redes, suele quedar expuesto debido a credenciales débiles, software obsoleto y configuraciones de seguridad deficientes . Estas configuraciones erróneas crean un punto de entrada para que los ciberdelincuentes:

• Obtener acceso no autorizado a los sistemas.
• Moverse lateralmente dentro de las redes.
• Implementar cargas útiles maliciosas que cifran archivos críticos.

Las recientes actividades del grupo de ransomware WantToCry ponen de manifiesto la facilidad con la que los atacantes pueden explotar las vulnerabilidades de las pymes para llevar a cabo campañas de ransomware. A medida que las ciberamenazas se han vuelto más sofisticadas, proteger las configuraciones de las pymes ya no es una opción, sino una necesidad para salvaguardar los datos y la infraestructura críticos.

Huellas iniciales de WantToCry

Vectores de emergencia y ataque:

El grupo de ransomware WantToCry , activo desde diciembre de 2023 , ha intensificado sus operaciones en 2024 , atacando múltiples servicios de red, entre ellos:

• SMB (bloque de mensajes del servidor)
• SSH (Concha segura)
• FTP (Protocolo de transferencia de archivos)
• RPC (llamada a procedimiento remoto)
• VNC (Computación en red virtual)

Mediante ataques de fuerza bruta , el malware aprovecha una base de datos de más de un millón de contraseñas para comprometer sistemas con credenciales débiles o predeterminadas.

Una vez que obtiene acceso, el ransomware cifra de forma remota las unidades de red y los dispositivos NAS (almacenamiento conectado a la red) expuestos públicamente . El atacante deja una nota de rescate con los detalles para el pago.

Canales de comunicación de los actores de amenazas

Los operadores de WantToCry utilizan plataformas de mensajería cifrada para comunicarse con las víctimas. La nota de rescate suele incluir lo siguiente:

• ID de Telegram: https://t.me/want_to_cry_team
• Identificación de toxinas: 963E6F7F58A67DEACBC2845469850B9A00E20E4000CE71B35DE789ABD0BE2F70D4147D5C0C91

Características de WantToCry

WantToCry sigue un patrón clásico de ransomware : modifica las extensiones de los archivos y deja notas de rescate para exigir el pago.

• Cifrado de archivos: El ransomware cifra los archivos y agrega la extensión “.quiero_llorar” a cada archivo afectado.

• Nota de rescate: Un archivo de texto llamado “!quiero_llorar.txt” Se crea en los directorios afectados, proporcionando instrucciones para el pago del rescate y detalles de contacto.

Flujo de ejecución:

• Reconocimiento:

El atacante realiza una fase de reconocimiento de red para identificar sistemas con puertos SMB expuestos (comúnmente el puerto TCP 445). Este paso incluye el escaneo de servicios SMB accesibles y el análisis de las respuestas del sistema para identificar posibles objetivos con configuraciones de seguridad deficientes o vulnerabilidades sin parchear.

• Explotación mediante fuerza bruta:

Tras identificar servicios SMB abiertos, el atacante inicia un ataque de fuerza bruta contra el servicio SMB, utilizando un amplio diccionario de contraseñas de uso común. Este proceso busca obtener credenciales válidas y acceder sin autorización al sistema de la víctima.

• Acceso y configuración de unidades compartidas:

Una vez autenticado, el atacante enumera los recursos compartidos de red para identificar unidades compartidas sensibles o críticas. Estas unidades se asignan y configuran para acceso remoto a través de internet, lo que permite al atacante establecer una presencia persistente y prepararse para la ejecución de la carga útil.

• Ejecución de carga útil (cifrado sin huella local):

Este ransomware realiza su actividad de cifrado exclusivamente en las unidades compartidas externas, sin dejar rastros en el sistema local. El proceso de cifrado se realiza directamente en los archivos almacenados en las unidades compartidas, evitando la necesidad de descargar o procesar datos en el equipo de la víctima. Esto garantiza que el impacto del ransomware se extienda a todos los archivos y directorios accesibles a través de la unidad compartida, minimizando la probabilidad de detección o análisis forense en el sistema local.

Resumen del problema

SMB es un protocolo ampliamente utilizado para compartir archivos e impresoras en redes Windows. Si bien es esencial para la colaboración, dejar SMB expuesto sin la autenticación adecuada puede crear una puerta de entrada para los atacantes.

En estos casos, una IP pública asociada al sistema afectado tenía habilitado SMB y era accesible a través de internet sin autenticación . Esto permitía a usuarios no autorizados acceder a unidades compartidas de forma remota. Al explotarse, estas vulnerabilidades pueden eludir las defensas del sistema, lo que conlleva el cifrado de archivos y la posible pérdida de datos.

Detección

• Indicadores de compromiso (IOC)
  • 194 [.] 36 [.] 179 [.] 18
  • 194 [.] 36 [.] 178 [.] 133
• Ya tenemos Detección (HEUR:Trojan.Win32.EncrSD) en Lugar para la actividad de cifrado de unidad compartida.

Consecuencias de una mala configuración

Dejar SMB accesible públicamente sin autenticación puede tener graves consecuencias, entre ellas:

• Violaciones de datos: Acceso no autorizado a archivos confidenciales.
• Ataques de ransomware: Cifrado de archivos críticos, haciéndolos inaccesibles sin pago.
• Tiempo de inactividad operativo: Tiempos de recuperación prolongados que dan lugar a pérdidas financieras y de reputación.
• Mayor superficie de ataque: Una simple configuración incorrecta puede atraer a atacantes oportunistas.

Mejores prácticas para mitigar riesgos

Para evitar ser víctimas de ataques similares, las organizaciones deben implementar estas medidas de seguridad:

1. Antivirus: Asegúrese de que Seqrite / Curación rápida Se actualiza periódicamente con las últimas definiciones.
2. Deshabilitar el uso compartido de SMB cuando no sea necesario: Si SMB no se utiliza activamente, deshabilítelo para reducir la posible exposición.
3. Requerir autenticación para acceso SMB: Nunca deje recursos compartidos de SMB accesibles públicamente sin las credenciales adecuadas.
4. Restringir el acceso público: Utilice firewalls para bloquear el acceso externo a los puertos SMB (normalmente 445 y 139).
5. Configuraciones de auditoría periódica: Supervise y revise continuamente las configuraciones de red y uso compartido de archivos para garantizar que se alineen con las mejores prácticas de seguridad.
6. Habilitar sistemas de detección avanzados: Utilice herramientas como la monitorización basada en el comportamiento para detectar actividades sospechosas y anomalías.

Autor : Umar Khan A

Coautor : Niraj Lazarus Makasare, Dixit Ashokbhai Panchal, Sumit Patil, Matin Tadvi