Cómo proteger y recuperar su negocio del ransomware

Estados Unidos se está preparando para el impacto total de una epidemia mundial de ransomware basada en la cepa de malware Wanna Decryptor. Es importante proteger su empresa y sus datos de esta amenaza de rápida propagación, pero una vez que la hayamos superado, debe recordar que Wanna Decryptor es solo el ejemplo más ruidoso del problema del ransomware.

Hay tres cosas que debe saber sobre el ransomware: da miedo, está creciendo rápidamente y es un gran negocio. De acuerdo con el Centro de Quejas por Crímenes en Internet (IC3) del FBI, se recibieron más de 992 quejas relacionadas con CryptoWall entre abril de 2014 y junio de 2015, lo que resultó en más de $ 18 millones en pérdidas. Ese éxito maligno se refleja en la tasa de crecimiento del ransomware con el Índice de amenazas DNS de Infoblox, que informa un aumento de 35 veces en los nuevos dominios creados para el ransomware en el primer trimestre de 2016 (en comparación con el cuarto trimestre de 2015).

En general, el ransomware deja caer un muro encriptado entre una empresa y los datos internos y las aplicaciones que la empresa necesita para operar. Pero estos ataques pueden ser mucho más graves que simplemente la inaccesibilidad de los datos. Si no está preparado, su negocio podría detenerse.

Solo pregúntele al Hollywood Presbyterian Medical Center. Mucho antes de Wanna Decryptor, el hospital aprendió una dolorosa lección cuando el personal perdió el acceso a sus PC durante un brote de ransomware a principios de 2016. El hospital pagó el rescate de $ 17, 000 después de que los empleados pasaron 10 días confiando en máquinas de fax y gráficos en papel. O pregúntele al Departamento de Policía de Tewksbury. En abril de 2015, pagaron el rescate para recuperar el acceso a los registros cifrados de arrestos e incidentes.

¿Cómo se infectan las empresas?

Si hay un lado positivo para Wanna Decryptor en cualquier nivel, es que sirve para demostrar, sin lugar a dudas, que la amenaza presentada por el ransomware es real. Ningún negocio o empleado es inmune a un posible ataque de ransomware. Es importante comprender cómo el ransomware infecta las computadoras antes de discutir cómo proteger a su empresa o cómo responder si se ve comprometido. Comprender el origen y el modo de infección proporciona información para mantenerse a salvo.

El ransomware generalmente proviene de una de dos fuentes: sitios web comprometidos y archivos adjuntos de correo electrónico. Un sitio web legítimo que se ha visto comprometido puede alojar un kit de exploits que infecta su máquina, generalmente a través de un exploit de navegador. La misma metodología puede ser utilizada por un sitio web de phishing. Una descarga automática instala ransomware y comienza a cifrar sus archivos.

En el caso de un archivo adjunto de correo electrónico malicioso, se engaña a los usuarios para que abran el archivo adjunto, que luego instala el ransomware. Esto puede ser tan simple como un mensaje de correo electrónico falso con un archivo adjunto ejecutable, un archivo infectado de Microsoft Word que lo engaña para habilitar macros o un archivo con una extensión renombrada, como un archivo que termina en "PDF" pero es realmente un archivo EXE (Un ejecutable).

"En ambos casos, se utiliza algún tipo de ingeniería social para atraer al usuario a infectarse", dice Luis Corrons, Director Técnico de PandaLabs en Panda Security. "Esto brinda a las empresas una gran oportunidad para educar a sus usuarios para evitar estos riesgos, pero, desafortunadamente, la mayoría de las pequeñas empresas lo descuidan y pierden la oportunidad de ahorrarse un gran dolor de cabeza".

Actualmente, no hay una bala de plata para garantizar la seguridad de su organización frente al ransomware. Pero hay cinco pasos que cada empresa debe tomar que pueden reducir drásticamente sus posibilidades de infección y también aliviar el dolor en caso de que un ataque tenga éxito.

Preparar

Un componente clave para prepararse para un ataque de ransomware es desarrollar una estrategia de respaldo robusta y realizar respaldos regulares. "Las copias de seguridad sólidas son un componente clave de una estrategia anti-ransomware", dijo Philip Casesa, estratega de desarrollo de productos de ISC2, una organización global sin fines de lucro que certifica a los profesionales de seguridad. "Una vez que sus archivos están encriptados, su única opción viable es restaurar la copia de seguridad. Sus otras opciones son pagar el rescate o perder los datos".

"Debe tener algún tipo de respaldo, una solución de respaldo real de los activos que ha determinado que son esenciales para su negocio", continuó Casesa. "La copia de seguridad en tiempo real o la sincronización de archivos solo harán una copia de seguridad de sus archivos cifrados. Necesita un proceso de copia de seguridad sólido en el que pueda retroceder unos días y restaurar las aplicaciones y datos locales y del servidor".

Panda Security's Corrons ofrece una advertencia adicional: las copias de seguridad "son críticas en caso de que sus defensas fallen, pero asegúrese de haber eliminado completamente el ransomware antes de restaurar las copias de seguridad. En PandaLabs, hemos visto que el ransomware encripta los archivos de copia de seguridad".

Una buena estrategia a considerar es una solución de respaldo distribuida en niveles o distribuida que mantiene varias copias de los archivos de respaldo en diferentes ubicaciones y en diferentes medios (por lo que un nodo infectado no tiene acceso inmediato a los repositorios de archivos actuales y a los archivos de respaldo). Dichas soluciones están disponibles en varios proveedores de respaldo en línea de pequeñas y medianas empresas (SMB), así como en la mayoría de los proveedores de recuperación ante desastres como servicio (DRaaS).

Evitar

Como se mencionó anteriormente, la educación del usuario es un arma poderosa pero frecuentemente ignorada en su arsenal contra el ransomware. Capacite a los usuarios para que reconozcan las técnicas de ingeniería social, eviten los clickbait y nunca abran un archivo adjunto de alguien que no conocen. Los archivos adjuntos de personas que conocen deben verse y abrirse con precaución.

"Comprender cómo se propaga el ransomware identifica los comportamientos de los usuarios que deben modificarse para proteger su negocio", dijo Casesa. "Los archivos adjuntos de correo electrónico son el riesgo número uno de infección, las descargas automáticas son el número dos y los enlaces maliciosos en el correo electrónico son el número tres. Los seres humanos juegan un factor importante para infectarse con ransomware".

Capacitar a los usuarios para que consideren la amenaza del ransomware es más fácil de lo que piensas, especialmente para las PYMES. Claro, puede tomar la forma tradicional de un largo seminario interno, pero también puede ser simplemente una serie de almuerzos grupales en los que TI tiene la oportunidad de informar a los usuarios a través de una discusión interactiva, por el bajo precio de unas pocas pizzas. Incluso podría considerar contratar a un consultor de seguridad externo para que brinde la capacitación, con algunos videos complementarios o ejemplos del mundo real.

Proteger

El mejor lugar para comenzar a proteger su SMB del ransomware es con estas cuatro estrategias principales de mitigación: listas blancas de aplicaciones, parches de aplicaciones, parches de sistemas operativos (SO) y minimización de privilegios administrativos. Casesa se apresuró a señalar que "estos cuatro controles se encargan del 85 por ciento o más de las amenazas de malware".

Para las PYMES que aún dependen de antivirus de PC individuales (AV) para la seguridad, el cambio a una solución de seguridad de punto final administrado permite que TI centralice la seguridad para toda la organización y tome el control total de estas medidas. Eso puede aumentar drásticamente la efectividad antivirus y antimalware.

Cualquiera que sea la solución que elija, asegúrese de que incluya protecciones basadas en el comportamiento. Nuestros tres expertos coincidieron en que el antimalware basado en firmas no es efectivo contra las amenazas modernas de software.

No pagar

Si no se ha preparado y protegido contra el ransomware y se infecta, puede ser tentador pagar el rescate. Sin embargo, cuando se les preguntó si se trataba de un movimiento inteligente, nuestros tres expertos se unieron en su respuesta. Corrons se apresuró a señalar que "pagar es arriesgado. Ahora ciertamente está perdiendo su dinero y tal vez está recuperando sus archivos sin cifrar". Después de todo, ¿por qué un criminal se volvería honorable después de que le hayas pagado?

Al pagarles a los delincuentes, les está dando un incentivo y los medios para desarrollar un mejor ransomware. "Si paga, lo hace mucho peor para todos los demás", dice Casesa. "Los malos usan su dinero para desarrollar malware más desagradable e infectar a otros".

Es posible que proteger a las futuras víctimas no sea lo más importante cuando se trata de administrar un negocio con sus datos como rehenes, pero solo mírelo desde esta perspectiva: esa próxima víctima podría ser usted nuevamente, esta vez luchando aún más. malware efectivo que ayudó a pagar para desarrollar.

Casesa señala que "al pagar el rescate, ahora se ha convertido en un objetivo más maduro para los delincuentes porque saben que pagará". Usted se convierte, en términos de ventas, en un líder calificado. Al igual que no hay honor entre los ladrones, no hay garantía de que el ransomware se elimine por completo. El criminal tiene acceso a su máquina y puede desencriptar sus archivos y dejar el malware en él para monitorear sus actividades y robar información adicional.

Mantente productivo

Si el daño causado por el ransomware tiene que ver con la interrupción de su negocio, ¿por qué no tomar medidas para aumentar la continuidad del negocio al pasar a la nube? "El nivel de protección y seguridad general que obtiene de la nube es mucho mayor de lo que una pequeña empresa podría permitirse", señala Brandon Dunlap, CISO Global de Black & Veatch. "Los proveedores de la nube tienen escaneo de malware, autenticación mejorada y numerosas otras protecciones que hacen que las probabilidades de que sufran un ataque de ransomware sean muy bajas".

Como mínimo, mueva los servidores de correo electrónico a la nube. Dunlap señala que "el correo electrónico es un gran vector de ataque para el ransomware. Mueva eso a la nube donde los proveedores agrupan múltiples controles de seguridad como el escaneo de malware y DLP en el servicio". Se pueden agregar capas de seguridad adicionales, como la reputación del sitio basada en proxy y el escaneo de tráfico, a través de muchos servicios en la nube y pueden limitar aún más su exposición al ransomware.

Dunlap está entusiasmado con las protecciones que ofrece la nube contra el ransomware. "Estamos en un momento fantástico en la historia de la tecnología con una multitud de soluciones de baja fricción para muchos de los problemas que enfrentan las pequeñas empresas", dijo Dunlap. "Esto hace que las pequeñas empresas sean más ágiles desde una perspectiva de TI".

Si su máquina local se infecta con ransomware, es posible que ni siquiera importe si sus datos están en la nube. Limpie su máquina local, vuelva a crear una imagen, vuelva a conectarse a sus servicios en la nube y vuelva al negocio.

No esperes a que caiga el zapato

Esta no es una de esas situaciones en las que un enfoque de esperar y ver es su mejor táctica. Wanna Decryptor muestra claramente que el ransomware está ahí afuera; está creciendo a pasos agigantados, tanto en sofisticación como en popularidad entre los malos, y definitivamente te está buscando. Incluso después de que esta amenaza actual se desvanezca, es de vital importancia que tome medidas para proteger los datos y los puntos finales de la infección.

Cree copias de seguridad periódicas, capacite a los empleados para evitar infecciones, aplique parches a aplicaciones y sistemas operativos, limite los privilegios de administrador y ejecute software antimalware no basado en firmas. Si sigue este consejo, puede prevenir todas las infecciones, excepto las más agudas (y es probable que no estén dirigidas a las pequeñas y medianas empresas). En el caso de que un ataque atraviese sus defensas, tenga un plan claro y probado para que TI elimine la infección, restaure las copias de seguridad y reanude las operaciones comerciales normales.

Si no sigue estas mejores prácticas y se infecta, sepa que pagar el rescate no tiene garantías, lo califica como un imbécil para los delincuentes y les brinda los medios para desarrollar un ransomware aún más insidioso (y el incentivo para usarlo con la mayor frecuencia posible). No seas una víctima. En cambio, tómese el tiempo ahora para cosechar los beneficios más adelante: prepárese, prevenga, proteja y siga siendo productivo.