Ransomware puede paralizar empresas y robar sus datos sin bloquear archivos

Los ataques informáticos conocidos como ransomware están utilizando nuevas formas de extorsión que no requieren bloquear los archivos de una empresa para causar daños. En su lugar, los delincuentes pueden tomar el control de los equipos, interrumpir las operaciones y robar información para exigir un pago a cambio de no divulgarla.

La compañía de ciberseguridad Kaspersky advirtió sobre esta modalidad tras analizar un ataque relacionado con el ransomware Payload. En el caso investigado, los atacantes utilizaron herramientas de administración de la propia organización para bloquear computadoras, cambiar los fondos de pantalla y mostrar mensajes de rescate en los equipos conectados a la red.

Esta práctica se conoce como extorsión sin cifrado. A diferencia del ransomware tradicional, que bloquea los archivos para impedir que la víctima acceda a ellos, esta modalidad busca presionar a la empresa mediante la interrupción de sus actividades y el robo de información confidencial.

Cómo entraron los atacantes a la red

Según el análisis, los delincuentes habrían conseguido contraseñas y datos de acceso con permisos elevados, posiblemente mediante phishing, una técnica que utiliza mensajes o páginas falsas para engañar a las personas y obtener sus credenciales.

Con esos datos, ingresaron a la red corporativa mediante conexiones remotas. Después, manipularon Active Directory, un sistema que permite administrar usuarios, computadoras y permisos dentro de una organización.

Los atacantes crearon, además, una configuración maliciosa que les permitió deshabilitar cuentas de administradores locales, modificar las pantallas de los equipos y distribuir mensajes de rescate.

También sustrajeron información de la empresa y publicaron los datos en la dark web o web oscura, según el informe de la compañía.

Qué consecuencias puede tener para las empresas

Eduardo Chavarro, director para las Américas del Equipo Global de Respuesta a Incidentes de Kaspersky, explicó que estos ataques pueden afectar al mismo tiempo los equipos, los accesos y los procesos necesarios para mantener una empresa en funcionamiento.

Chavarro advirtió que las interrupciones pueden provocar pérdidas de ingresos, problemas para cumplir compromisos con clientes y proveedores, y gastos para recuperar los sistemas afectados.

Cómo pueden protegerse las empresas

Ante esta modalidad de ataque, los especialistas de Kaspersky recomiendan reforzar la seguridad de las cuentas y los sistemas de administración de las redes corporativas.

Entre las medidas sugeridas figuran:

• Proteger las cuentas administrativas: limitar quiénes tienen permisos especiales y activar la autenticación multifactor, que requiere más de una forma de verificar la identidad.
• Revisar cambios inesperados: vigilar modificaciones inusuales en los permisos y las configuraciones de los sistemas.
• Preparar un plan de respuesta: establecer quién debe actuar ante un ataque y cómo aislar los equipos afectados.
• Detectar actividades sospechosas: prestar atención a comportamientos extraños dentro de la red, aunque se utilicen programas legítimos.
• Mantener sistemas de protección y vigilancia: utilizar herramientas que permitan identificar amenazas y responder a posibles intrusiones.