Source: https://iotec.com.ar/category/seg/
Timestamp: 2020-03-29 06:13:31+00:00

Document:
El Trabajo remoto en la Empresa o teletrabajo
El teletrabajo ha sido una explosión impresionante sobre todo debido a la pandemia de coronavirus que obligo a las empresas a optar entre otorgar licencias a sus empleados o implementarlo a la fuerza. Pero es importante entender que el teletrabajo fracasa en entornos forzados y muy probablemente tu empresa no esté preparada para el teletrabajo.
En el este articulo vamos a hablar de cómo los jefes, los empleados, los freelancers y básicamente cualquier profesional, ya sea que manejes un equipo o que tú estés en un equipo de trabajo, puedan implementar el teletrabajo sin fracasar y que esta sea una oportunidad para llevar tu empresa a un nuevo nivel, con trabajadores remotos desde oficinas, coworking o desde sus casas.
Por supuesto vamos a comentarte las diferentes herramientas las empresas usan y como el uso correcto de este software puede hacer toda la diferencia. Te adelanto que si no tiene algún sistema de gestión documental muy probablemente tu empresa ya lo está haciendo mal, también quiero hablarles de los elementos humanos que hacen que el teletrabajo salga mal como por ejemplo no tener un contrato de trabajo, y no hable de un contrato con la empresa sino con su familia. No entres en pánico no es tan complicado como crees y muy probablemente te va a abrir la mente a un mundo increíble, no es justo que la forma en la cual las empresas se acerquen al teletrabajo esté conectada con un pánico mundial debido a cosas fuera de tu control, pero está en nuestro control hacer que todo esto salga bien.
Es más difícil para los jefes, que para los trabajadores del teletrabajo
Es más difícil para los jefes, para los fundadores o para los ejecutivos lidiar con el mundo del teletrabajo que para las personas que hacen trabajos creativos. Esto es porque los jefes vivimos en una agenda basada en reuniones, calendarios, comunicación, en ayudar a las personas de nuestros equipos de forma directa. También hay una razón importante por la cual esto ocurre y es que, probablemente, si ustedes fueron los fundadores de sus empresas aun recuerden cómo era cuando la empresa cabía entre cuatro paredes con decisiones se tomaban a ultra alta velocidad y de repente enfrentarse a algo como esto donde ya no hay nadie, y eso es muy muy pesado. Hay una serie de principios que si los sigues como jefe vas a poder no solamente sobrevivir sino muy probablemente mejorar tu cultura de trabajo remoto.
El principio número 1 es el trabajo asincrónico:
En una empresa tradicional en donde todos están viéndose cara a la cara, si haces una pregunta obtienes una respuesta y continuar con el proceso. Todo esto ocurre de una manera serial, pero tienes que empezar a pensar en que todos los procesos de tu empresa van a migrar a un mundo paralelo donde tienes que ver varias cosas al mismo tiempo. Al principio creerás que esto es un poco más lento, pero en realidad cuando se acostumbran son menos cambios y menos back and forth y los resultados serán más eficientes.
El segundo principio es el de la fuente de la verdad y es extremadamente importante:
En una empresa normal cuando tienes una oficina un problema típico es que la verdad está distribuida entre los diferentes ejecutivos o empleados de tu compañía lo que significa que cuando quieres una respuesta levantas el teléfono y preguntas.
Normalmente, la gran habilidad de los ejecutivos es que saben quién tiene la respuesta. Pero esto no es una buena forma de manejar una empresa remota porque en un mundo asíncrono no puede tener una respuesta inmediata de un humano para ello tú necesitas una sola fuente de verdad. Por ejemplo, a estas alturas tú empresa debería tener un sistema de comunicación en tiempo real no basado en correo electrónico ya que las empresas que sólo tienen correo electrónico no sobreviven a un mundo de trabajo remoto.
Es conveniente tener cosas como Slack, RocketChat, Mattermost, opsgenie o algunas otras herramientas de chat y por el amor a todo lo puro y hermoso de este mundo no usen whatsapp para comunicarse.
Whatsapp mata la comunicación en tiempo real y acaba la productividad no basen su comunicación en grupos de whatsapp. Pero ninguno de los nombrados es una buena fuente de verdad porque son un sistema caótico. Solo son una buena fuente de comunicación e interacción cultural que puede ayudarte con el sentimiento de aislamiento social implícito del trabajo remoto. Y esto nos lleva al 3er
Principio de la gestión documental
Contar con una buena base de datos colaborativa de archivos con un sistema muy fuerte de permisos e índices, o lo que se llama un knowledge management systems o sistemas de manejo del conocimiento. Este es el momento en donde tu empresa ya debería tener muy claro cuál es su misión y cuáles son sus valores, si ustedes tienen escrito por allí en algún documento, o en la pared pintado la misión de la empresa y los valores y es una estas misiones que tus empleados o tu equipo de trabajo no pueden mencionar escribiste una mala misión o tienes unos malos valores. Es importante que todas las personas del equipo lo tengan claro, si tú no tienes una misión clara y unos valores claros tu cultura en un mundo remoto se va a romper. Para ello tienes que tener mente el principio número 4.
El principio numero 4 es
No crear ciudadanos de segunda clase:
Es posible que haya más personas que vayan a la oficina de los que están remoto y muy posiblemente cuando tengas que resolver un problema y la persona con la que realmente quería hacerlo no está mejor lo hago más rápido con quién está en la oficina, ahí estás creando ciudadanos de segunda clase.
Un ejemplo típico de ciudadanos de segunda clase es este; imagina que tienes un equipo de diez personas y haces una llamada en video llamada, pero de esas diez personas tres están en la oficina y esos tres se reúnen todos en un computador mientras que el resto está distribuido en su propia máquina esto hace que los tres que están distribuidos en una sola computadora empiecen a charlar mientras están muteados (Y yo no opino lo mismo, y yo creo que es otra cosa, etc.) y no están enfocados, si una sola persona está en remoto todos deberían estar en su propia laptop o en su propia computadora enfocados en la charla, no puedes crear ciudadanos de segunda clase porque lo que estás haciendo es discriminarlos y siempre deberían tener audio e imagen impecable.
El principio número 5 es
Aprender a escribir con datos:
Resumir al extremo con un máximo de 30 palabras, quita adjetivos. Nunca envíen su primer draft con lo primero que escriben. Antes de darle Enter volverlo a leer y rehacerlo al 50% el tamaño. Solo existen cuatro posibles respuestas a una pregunta, si, no, los datos que te pidieron o no lo sé, pero te lo averiguo y genero un compromiso de follow ask.
Como consejo final para todos los jefes empresarios emprendedores fundadores ejecutivos líderes gerentes no les teman a los pijamas, témanle a no dejar ir el control. Muchos de ustedes le temen al trabajo remoto porque creen que es un trabajador que va a trabajar en pijamas de la casa, que no se va a despertar, eso no debería ser un problema porque es irrelevante. Parte del temor del trabajo remoto y el teletrabajo es el control que tienes sobre tu equipo que cómo se visten, a qué hora llegan cómo se comportan y demás, pero eso es irrelevante, lo único que importa es el rendimiento la comunicación efectiva pragmática y asertiva y que toda la gente esté bien.
Confía en los adultos en los que contrataste o contrata mejores adultos
Y en ese sentido práctica una compasión agresiva lleva tu compasión a un nivel mucho más alto.
Ten en mente que tus empleados van a estar lidiando con sus niños, porque tampoco van a estar en el colegio, con sus parejas, con que se rompió un tubo en la casa, con que en ocasiones internet no va a estar tan estable, con que sienten el temor de que como ellos están trabajando remoto de otras personas que está yendo a la oficina. De pronto los van a despedir porque ya no van a estar ahí porque como ya no aparecen cara a cara en el puesto de trabajo entonces no van a ser considerados para promociones o ascensos las personas van a tener temor y el trabajo número uno de un líder es absorber la incertidumbre hasta somos seres humanos.
Uno de los problemas del trabajo remoto en la empresa es que se pierde la “serendipia”.
La vida es una combinación de dos cosas, los objetivos y los resultados de alta calidad. Pero la realidad es mucho más compleja y cuando ustedes por primera vez están probando el teletrabajo o trabajo remoto van a enfrentarse con las cosas que pierden al estar socialmente aislados.
Principalmente se pierden las expresiones faciales los tonos de voz los gestos sociales y los ritos culturales. Estos son parte de lo que nos hace una sociedad como decir hola, saludar, salir a comer, tener llamadas o encontrarse en el pasillo.
A esto se llama “serendipia”, que son esos momentos en donde de repente me encuentro a alguien con quien no habló hace rato en el ascensor charlamos, se nos ocurre una idea y esa idea se vuelve un proyecto increíble.
Esos ritos dejan de existir, pero podemos crearlos con un setup mínimo y muy sencillo, solo se necesita una webcam decente, un micrófono y una fuente de luz correcta. Es muy importante que puedan verse, que el micrófono sea impecable, simplemente no usen el micrófono de la laptop tengan un micrófono impecable y trabajar un entorno de silencio en particular cuando tengas videollamadas. Estas son muy importantes para mantener una cultura sólida en el trabajo remoto. Y por supuesto internet estable.
El contrato de teletrabajo con la familia
Como último punto que muchos ignoran al preparar un entorno de trabajo es que los trabajadores hagan un contrato de trabajo con su familia.
Todos los integrante de la familia debe saber que esos días en los que va a estar en su casa no podrán contar con usted.
No va a poder atenderlos si necesitan que alguien vaya al mercado a comprar pan, que si se rompió algo, si hay que limpiar, o el hijo está necesitando cualquier cosa, no será su primera opción porque simplemente está trabajando y necesita minimizar las interrupciones con la familia.
Al principio la familia va a pensar que está en modo sábado o domingo y que puede hacer lo que hacen un sábado o un domingo. Es necesario tener un entorno aislado de preferencias un cuarto acondicionado de la casa y que tengan el contrato claro desde el primer día no. “Yo no estoy disponible para labores familiares, estoy trabajando”
Como evitar la infección de RANSOMWARE
Cada vez es más común enterarnos que una empresa que debió pagar ‘rescate’ por sus datos” o que la “Organización Pública no puede prestar atención porque su información fue secuestrada”. Las organizaciones están preparadas para enfrentar distintos tipos de incidentes físicos como cortes de energía e inundaciones, pero sigue sin saber como evitar la infección de RANSOMWARE en su infraestructura y son vulnerables a un enlace malicioso o un archivo adjunto. Debido a esto, muchas organizaciones luchan contra el malware y en particular contra el RANSOMWA.
Esta guía está destinada a ser una completa guía de defensa basda en una lista de verificación con el fin de evitar la infección de ransomware y, en última instancia, crear procedimientos adecuados para la recuperación de la información. Dada la prevalencia de los sistemas operativos Windows como objetivo (de más del 90%) del ransomware, la guía está orientada en gran medida hacia dicho entorno y, aunque fue diseñada para ser agnóstica, no siempre se podrán aplicar todos los controles en todos los casos.
Introducción a como evitar la infección de ransomware
Un ransomware (del inglés ransom, rescate y ware, software) es un tipo de malware que en primer lugar restringe o bloquea el acceso a determinados componentes o archivos del sistema infectado, y en segundo lugar pide un “rescate” para liberarlos.
Algunos tipos de ransomware cifran[1] archivos sensibles del sistema operativo y otros cifran archivos del usuario, ofimática, bases de datos, etc. coaccionando al propietario a pagar el rescate que permitirá descifrarlos. Luego del cifrado, los archivos originales se eliminan de forma segura para que no puedan ser recuperados por métodos tradicionales.
El ransomware afecta a empresas, gobiernos, infraestructuras críticas e incluso a usuarios domésticos. En consecuencia, los daños incluyen:
Pérdida temporal o permanente de información sensible o confidencial;
Interrupción de las operaciones de la organización;
Pérdidas financieras incurridas para restaurar los sistemas y archivos, o en el peor de los casos, por el pago del rescate;
Potencial daño a la reputación de la organización;
Responsabilidad penal o civil (que será analizado en el apartado de aspectos legales).
Esta imagen muestra un proceso en el que no se pudo evitar la infección de RANSOMWARE
Imagen 1 – Proceso de cifrado de un ransonware
El ransomware suele cifrar la información en todas las unidades, tanto las locales del sistema operativo como las mapeadas a otros equipos. Esto incluye cualquier unidad asignada a discos externos, USB, unidades de red y en la nube. Esta situación se vuelve crítica cuando el equipo infectado está conectado a un servidor de archivos o a un sistema responsable de realizar backup, ya que se cifrarán los archivos originales y las respectivas copias de seguridad.
En general, el cifrado de los ransomware actuales suele ser imposible de revertir ya que se utiliza una combinación de algoritmos de criptografía simétrica y asimétrica, y cada archivo es cifrado con una clave única. Finalmente, el malware deja una “nota de rescate” en el escritorio del usuario y/o en archivos en distintas carpetas del sistema (en inglés o en varios idiomas), de forma tal que la víctima conozca el procedimiento para recuperar sus archivos secuestrados.
Ante todo, se recomienda NO PAGAR
En algunas ocasiones, los errores de programación introducidos en el malware permiten desarrollar una aplicación para encontrar la contraseña, descifrar y recuperar los archivos, sin pagar. Pero, con excepción de aquellos tipos de malware que tienen errores en su desarrollo, la única forma de descifrar los mismos es pagando el rescate para obtener las contraseñas correspondientes.
Algunos ransomware conocidos y ampliamente difundidos son:
Alphacrypt – CryptoWall – Cerber – GandGrab – Chimera – Locky – CryptorBit – LowLevel04 – CryptoDefense – OphionLocker – CryptoLocker – Petya – Nemucod – NotPetya – Ransom32 – TeslaCrypt – Torrentlocker – VaultCrypt – WannaCry – CryptXXX
Esta página, creada por Mosh, mantiene una lista actualizada de los ransomware conocidos, sus principales características y las extensiones de archivos utilizadas por los mismos. A continuación, se muestra una línea de tiempo, simplemente para dar una idea del nivel de crecimiento que han logrado los ransomware en los últimos años.
Imagen 3 – Línea de tiempo de ransomware – Fuente: F-Secure https://labsblog.f–secure.com/2017/04/18/ransomware–timeline–2010–2017/
Actualmente el ransomware se puede encontrar tanto en sistemas operativos de escritorio como Windows, Linux y Mac OS, como así también en sistemas operativos móviles como ser Android, iOS y Windows Mobile. Los dispositivos de IoT (Internet of Thing) también están siendo alcanzados por esta amenaza, y sus fabricantes tambien aprender como evitar la infección de RANSOMWARE en televisores, refrigeradores y hasta en automóviles.
La presente guía tiene como objetivo dar a conocer distintas contramedidas que se pueden utilizar para evitar la infeccion de ransomware, disminuir el riesgo de potenciales infecciones o, dado el caso, intentar disminuir su impacto mediante la recuperación de los archivos afectados.
Ransomware: una guía de aproximación para el empresario (INCIBE)
El negocio del ransomware
Un negocio como cualquier otro
La motivación de la mayoría de los ciberdelincuentes es clara: ganar dinero. Ésta, es la misma motivación de una organización con fines de lucro (y mafiosa) y, de hecho, las bandas criminales se asemejan cada vez más a ellas en cuanto a su funcionamiento.
Si se analiza brevemente, dentro del negocio del ransomware existen distintos grupos de ciberdelincuentes los cuales compiten entre sí en cuanto a la calidad, precio, reputación e innovación de sus productos. Poseen áreas de atención al cliente, las cuales son consideradas el factor más importante de su negocio, y sus productos/servicios van lentamente migrando hacia la nube, como es el caso del Ransomware–as–a–Service (RaaS) -por analogía al Software as a Service (SaaS)–. Continuamente, los atacantes están buscando aumentar su rentabilidad y disminuir los riesgos a los que se exponen utilizando servicios que le garanticen el anonimato.
Si bien el dinero no guía a todos los atacantes, como ser grupos de Hacktivismo o Ciberterrorismo, el grado de profesionalización y organización de los mismos sigue siendo alto.
El negocio del ransomware existe porque hay un mercado cada vez más demandante del servicio. Por un lado, los ciberdelincuentes ganan dinero distribuyendo sus códigos maliciosos y cobrando los correspondientes rescates. Por el otro, ganan dinero vendiendo sus propios ransomware para que un tercero pueda utilizarlos, de la misma manera que una empresa legítima de software vende sus productos. Un tercer modelo implica que el proveedor del servicio de ransomware cobra a sus clientes un porcentaje de los rescates ($) pagados por las víctimas que no pudieron evitar la infección.
Al igual que en las organizaciones legítimas, este es un negocio que promueve la innovación y la mejora continua de sus productos y servicios. En el caso del ransomware, como cualquier otro software (legítimo o no), su evolución fue naturalmente hacia la nube. A su vez, los ciberdelincuentes seguirán aprovechando los avances tecnológicos como oportunidades, como ser el auge de las tecnologías móviles e IoT y cualquier innovación tecnológica que depare el futuro, para seguir creciendo y perfeccionando sus ataques.
Como todo mercado, el del ransomware es guiado por la oferta y la demanda de productos, y debido a que la cantidad de productos de ransomware no deja de subir, éstos se vuelven cada vez más accesibles. Así mismo, los ciberdelincuentes buscan la manera de diferenciarse de la competencia haciendo campañas de marketing profesionales, como es el caso de ransomware Philadelphia, de manera de lograr ventajas competitivas que le permitan mantener o aumentar su cuota de mercado.
Teniendo en cuenta la evolución que ha tenido el ransomware a lo largo del tiempo y que muchas empresas no saber como evitar la infección de RANSOMWARE, se puede afirmar que el negocio se encuentra en una etapa de neto crecimiento, la rentabilidad del mercado es cada vez mayor y la cantidad de productos y servicios van perfeccionando la calidad de los ataques, a la par que lo hacen las herramientas y servicios de anonimato que le permiten a los delincuentes tomar menores riesgos a cambio de proteger sus -cada vez mayores- ganancias económicas.
The Business of Hacking: Business innovation meets the business of hacking – HP
Ransomware as a Service, demuestra la capacidad comercial de los ciberdelincuentes
Estadísticas alarmantes dan a conocer la epidemia mundial de Ransomware
Las balas de plata no existen para evitar la infección. . .
Ninguna de las siguientes medidas es efectiva por sí sola y deben utilizarse en conjunto como parte de una estrategia de seguridad en capas y por niveles, de forma tal que cada una de ellas contribuya a hacer más robusto y seguro el sistema y la red.
1. Hacer backup periódico de la información
El backup es una medida reactiva, no va a evitar la infección de ransomware, pero es tan importante que se ha decidido incluirla primero en la lista. La única y más importante herramienta contra el ransomware son las copias de seguridad.
Las copias de seguridad deben ser realizadas off-site, y las unidades utilizadas para realizar el backup no deben estar mapeadas en la red para evitar que los archivos de respaldos sean alcanzados por el ransomware.
Así mismo, los procesos de backup y recuperación deben ser probados periódicamente y deben estar apropiadamente documentados. Y los usuarios de la organización deberían ser concientizados respecto a dichos procesos, lo cual se relaciona con el punto a continuación.
Guía práctica de backup para usuarios finales
NIST SP 800–34 – Contingency Planning Guide for Federal Information Systems
NIST SP 800–184 – Guide for Cybersecurity Event Recovery
2. Concientizar y entrenar a los usuarios
Una de las principales puertas de entrada del ransomware son los usuarios con hábitos y comportamientos negligentes, debido a la falta de información sobre como evitar la infección de las amenazas actuales.
Por este motivo, se recomienda llevar adelante un proceso de concientización y entrenamiento de todos los usuarios de la organización. El objetivo es que comprendan los riesgos asociados al uso de recursos informáticos e Internet. Ante todo es importante que desarrollen hábitos de comportamientos que les permitan realizar un uso responsable y seguro de los mismos.
El proceso para concientizar sobre como evitar la infección de RANSOMWARE debería ser acordado por el área de RRHH y de Seguridad de la Información de la organización, o en su defecto una consultora especializada en el tema, y este debe ser un proceso proactivo y de mejora continua. Esto último, indica que además de planear e implementar un proceso de concientización, se debe estar en condiciones de evaluar periódicamente los hábitos y comportamientos de los usuarios para así poder, a partir de los resultados obtenidos, realimentar y mejorar dicho proceso.
Cómo desarrollar una capa de seguridad orientada al usuario
3. Aplicar un modelo de mínimo privilegio
Si un usuario ejecuta todos los procesos con la mínima cantidad de privilegios posible, será más difícil para un software malicioso infectar el equipo o propagarse a otros.
El uso de permisos administrativos facilita la ejecución de aplicaciones dañinas y la instalación de malware. Un usuario “administrador” (o “root”) sólo debería ser utilizado cuando sea estrictamente necesario.
Cada usuario, además, debería ingresar a los sistemas a través de su identificación unívoca de usuario y contraseña. Si se loguea de esta manera y se cumple el modelo del mínimo privilegio, sólo tendrá acceso a la información y datos que necesita, dentro de su perfil y a ningún directorio sensible del sistema operativo, lo cual minimiza el impacto de una posible infección.
Finalmente, y para simplificar este concepto, se resume en decir que la cantidad de usuarios “administrador/root” debería ser la mínima indispensable dentro de una organización para evitar la infección de RANSOMWARE
Guía para implementar el modelo de mínimo privilegio en Windows Server 2016, Windows Server 2012 R2, Windows Server 2012
Principio del mínimo privilegio en Oracle Linux
Seguridad de ficheros en Linux
4. Segmentar la Red
La segmentación de la red a través de VLAN[2] y ACL[3] permite controlar el tráfico entre redes de distinta relevancia (por ejemplo, la LAN de usuarios y la LAN de los servidores). Segmentar una red no evita que un ataque de ransomware tenga acceso a los sistemas, pero será de mucha ayuda para limitar / evitar la infección y lograr que el malware permanezca aislado sólo en el segmento de red que ha comprometido, y así no se extienda por toda la organización. Es particularmente importante para las organizaciones que mantienen sistemas legados, que ya no pueden recibir actualizaciones de seguridad.
Así como puede realizarse la segmentación física/lógica de la red, también es posible segmentar infraestructuras virtualizadas a través de tecnologías de segmentación propias de este tipo de entornos (como VMware NSX y Microsoft Hyper–V Network Virtualization).
5. Revisar recursos compartidos y unidades externas
Periódicamente se deben realizar revisiones de recursos compartidos como unidades de disco, impresoras o carpetas, y tambien unidades externas (pendrives, tarjetas de memoria, discos rígidos, etc.) conectadas a los equipos, con el objetivo de determinar si es necesario que permanezcan compartidos o no y, de ser necesario establecer los permisos mínimos para un correcto desempeño.
En caso de detectar dispositivos que no correspondan o que no sean utilizados, deberán ser desconectados/deshabilitados, de forma tal que, se pueda evitar la infección por propagación dentro de la red de la organización, minimizando el impacto en otros equipos.
Administración de almacenamiento y recursos compartidos en Windows Server
Montar y desmontar una unidad extraíble automáticamente en Windows 7 con Mountvol
6. Utilizar soluciones antivirus
Es recomendable utilizar (al menos) dos antivirus: uno en dispositivos ubicados en el perímetro de la red -firewall y correo corporativo- y otro para los clientes internos y estaciones de trabajo. Es más, para evitar el pago de licencias adicionales, se puede utilizar un producto pago y uno gratuito u Open Source.
Nota: En las estación de trabajo, no deben coexistir 2 antivirus al mismo tiempo.
Debido al dinamismo del malware, es normal que los antivirus se “tomen” un promedio de 48 hs para reaccionar ante un nuevo tipo de amenaza como es el ransomware actual. Cuanto más tiempo pase desde la aparición de un nuevo tipo de malware, mayor es la posibilidad de detección por parte del producto.
Ningún antivirus es infalible, pero tener dos o más productos en distintos niveles de la organización multiplica la posibilidad de detección.
Hace ya algunos años que la mayoría de los antivirus tienen la capacidad de analizar el interior de los archivos comprimidos en busca de malware. Estos archivos serán analizados siempre y cuando el archivo no posea contraseña.
En el caso de Windows 10 (ediciones 2018 en adelante), se puede utilizar la protección de carpetas específica contra ransomware, configurando esta opción dentro del Centro de Seguridad de Windows Defender.
Imagen 5 – Centro de seguridad de Windows Defender
● Protección contra ransomware en Windows 10
7. Utilizar antispam, firewall y filtro de contenido
A continuación, se mencionan diferentes herramientas y algunas recomendaciones de filtrado que ayudaran a proteger la infraestructura y evitar que la amenaza llegue a los usuarios.
El filtro de contenido se puede realizar en forma manual desde el cliente de correo como también desde el servidor de correo corporativo, firewall, proxy o UTM, dependiendo lo que la organización decida.
Filtrado a nivel de firewall
Generalmente, el ransomware debe comunicarse con un centro de Comando y Control (C&C) a través de Internet, para enviar las contraseñas de cifrado y al mismo tiempo recibir instrucciones. El uso de firewall es fundamental (aunque tampoco es una herramienta infalible) en el bloqueo de este canal de comunicación entre el malware y su C&C.
Para el caso del ransomware, por lo tanto, es importante hacer foco en el filtrado de conexiones salientes (sin descuidar las conexiones entrantes) para evitar que se comunique con dicho C&C.
Los firewalls actuales nos permiten configurar las llamadas listas blancas y negras de sitios webs, así como también las aplicaciones que se conectan a Internet. A través de listas blancas, se pueden permitir dominios/puertos utilizados, por ejemplo, para actualizaciones de software y de los sistemas operativos que maneja la organización.
Los firewalls, del tipo appliance, nos permiten configurar opciones de tráfico de red, así como listas blancas y listas negras de sitios webs, y aplicaciones que se conectan a Internet. A través de los filtros de contenido y las listas negras se pueden bloquear los sitios utilizados para propagar el malware y los archivos ejecutables del ransomware, que intentan conectarse al C&C. En cambio, con las listas blancas se puede permitir sólo dominios utilizados para las actualizaciones del software y del sistema operativo de la organización
Filtrado web (proxy)
Se debe bloquear la conexión a sitios web:
Según su geo-localización, como por ejemplo el tráfico proveniente de Asia y otros países de Europa del Este.
Según su dominio de nivel superior. En Spamhaus se encuentra un listado de dominios sospechosos por naturaleza.
Según el contenido o la finalidad del sitio. Por ejemplo, spam, phishing, evasión de proxy, pornografía, y otras categorías de sitios web considerados innecesarios para las operaciones normales de la organización.
Cuando sea posible, servicios de correo electrónico personal (Gmail, Outlook, Yahoo), sitios de intercambio de archivos (Drive, Dropbox, OneDrive), redes sociales, mensajería instantánea, entre otros. De ser necesario, se pueden agregar excepciones especiales a una cantidad acotada de personas, de acuerdo a su responsabilidad dentro de la organización.
Filtrado de nodos TOR
Si se dispone de un Proxy, Firewall o cualquier otro sistema de seguridad perimetral, será posible añadir reglas para bloquear accesos hacia nodos de la red TOR.
Para facilitar el bloqueo, existe una lista de nodos hoja dependiendo de su IP pública, y también se pueden agregar una lista de direcciones, que se actualiza cada 30 minutos y permite identificar nodos TOR.
Si se administra un servidor web, se puede efectuar este mismo tipo de restricción mediante los archivos de configuración propios del webserver.
Bloquear accesos desde TOR
Blocking Tor Browser in Cisco ASA
Block TOR en Forefront TMG
Los módulos que se deberían configurar en los servidores o gateway de correo (en un caso ideal), son los módulos:
Antispam, para filtrar o bloquear cualquier tipo de correo basura.
Filtrado del contenido, para analizar y bloquear malware o archivos ejecutables, analizar archivos comprimidos, bloquear URLs maliciosas, entre otras.
El servicio antispam, debe configurarse para bloquear (como mínimo) cualquier tipo de archivo ejecutable o comprimido. Existen soluciones gratuitas y de pago e incluso algunos productos antivirus ofrecen la posibilidad de incorporar estos filtros a su solución tradicional de detección. Dos soluciones antispam Open Source son Radical Spam y Mail Cleaner.
En determinados dispositivos, se dispone del módulo de DLP (Data Loss Prevention) para prevenir que información confidencial/importante de la organización sea enviada hacia el exterior de la misma.
8. Mostrar las extensiones de los archivos
En el caso de utilizar sistema operativo Windows, se debe tener en cuenta que, de manera predeterminada, oculta las extensiones para tipos de archivos conocidos (.EXE, .TXT, .SCR, etc.). Esto es un problema porque, un método tradicional de propagación de malware consiste en utilizar extensiones dobles para engañar al usuario. Por ejemplo, si el archivo se llama file.pdf.exe o archivo.docx.scr, Windows mostrará file.pdf o archivo.docx.
Para evitar la infección de ransomware es recomendable entonces activar la visualización de la extensión de los archivos para que sea más fácil detectar archivos maliciosos con doble extensión.
Esta medida debería ser contemplada a su vez dentro del proceso de concientización y entrenamiento, mencionado previamente, para que los usuarios sepan qué es una extensión, qué extensiones son peligrosas, y, efectivamente, que un archivo con doble extensión es un archivo potencialmente riesgoso. De otra manera, no servirá de nada mostrar las extensiones ocultas de un archivo si un usuario igualmente termina haciendo doble clic sobre el mismo.
Cómo mostrar u ocultar las extensiones de nombre de archivo en el Explorador de Windows
Mostrar extensiones a través de GPO
9. Filtrar archivos con extensiones peligrosas
El filtro de contenido se puede realizar desde el cliente de correo o bien desde el servidor de correo corporativo, el firewall, el proxy o el UTM, dependiendo de lo que la organización decida.
Inicialmente, para evitar la infección de ransomware se deberían bloquear al menos los siguientes tipos de archivos:
.BAT .LN ..CMD .MSI .COM .PIF .CPL .PS1 .DLL .SCR .EXE .VBE .VBS .JS .JSE .JAR .ZIP .RAR .7z (y otros comprimidos)
Archivos adjuntos de emails con extensiones peligrosas
10. Inventariar y controlar aplicaciones
Es recomendable realizar relevamientos periódicos de las aplicaciones utilizadas por los usuarios, para adquirir una visibilidad completa del software instalado en toda la infraestructura de la organización.
De esta manera será posible determinar la presencia de herramientas no autorizadas o innecesarias que podrían estar conectándose a internet y convirtiéndose, por lo tanto, en una fuente de riesgo para la organización. De la misma forma, podrá detectarse la ausencia de actualizaciones en el software autorizado, y podrá actuarse en consecuencia. Las actualizaciones se tratan en profundidad en el siguiente punto de esta guía.
En el caso de Microsoft por ejemplo, AppLocker es una funcionalidad incorporada por defecto en Windows Server 2008 R2 y Windows 7. Permite crear reglas para permitir o denegar la ejecución de aplicaciones basándose en las identidades de los archivos y especificar qué usuarios o grupos pueden ejecutar esas aplicaciones. Por lo tanto, se recomienda habilitar AppLocker y, especificar las aplicaciones y herramientas conocidas que podrían causar un incidente en la red.
Uso de Applocker
OCS– Software de gestión de inventario de activos (hardware y software)
NIST SP800–167 – Guide to Application Whitelisting
11. Instalar actualizaciones del sistema operativo y aplicaciones
El aprovechamiento de vulnerabilidades y exploits es un factor común en la mayoría del malware. Los delincuentes se aprovechan de los bugs y falta de actualizaciones en el sistema operativo y en aplicaciones tradicionales como navegadores (Internet Explorer, Edge, Firefox, Chrome y Safari), Java, Flash Player y Adobe Reader, entre los más populares.
Todas las aplicaciones instaladas deberían actualizarse inmediatamente, ya sea a través de una configuración/herramienta automática o manualmente a través del sitio oficial del fabricante.
Se debe tener en cuenta que ciertos navegadores comenzaron a bloquear por defecto Java y Flash Player desde el año 2017 y, debido a la gran cantidad de vulnerabilidades que se les han hallado, cuando sea posible se debería desinstalar Java, Flash Player y Adobe Reader. En el caso de las dos primeras, en general no son necesarias y la última podría ser reemplazada por una equivalente, tal como Foxit Reader.
Para usuarios avanzados podría ser posible filtrar Javascript, Java, Flash y otros plugins el navegador a través de la extensión NoScript (para Firefox) y ScriptSafe (Chrome).
Guía práctica de actualización de Windows
12. Deshabilitar ejecución de archivos temporales para evitar la infección de ransomware
Al evitar el uso de permisos administrativos, los archivos descargados por el usuario se almacenan en carpetas locales y temporales de su perfil. En Windows, algunas de ellas son:
%WinDir%\SysWow\
El malware suele ejecutarse casi siempre en alguno de estos directorios. Por lo tanto, se deben bloquear los permisos de ejecución sobre los mismos para que los archivos dañinos no se puedan ejecutar. Para bloquear el acceso a estos directorios, se pueden utilizar las directivas de restricción de software local o las GPO de Active Directory (”secpol.msc”).
Por ejemplo, se podría bloquear la siguiente lista:
%WinDir%\SysWow\*.exe
A esta lista se pueden incorporar los tipos de archivos (y extensiones) mencionados anteriormente.
En la siguiente imagen, se muestra una regla de configuración local donde se restringe la ejecución de archivos .exe en el directorio %AppData%\.
Imagen 6 – Configuración de seguridad
Aun así, en el caso de tener la necesidad de ejecutar aplicaciones legítimas desde estos directorios, se debe crear una excepción para la regla correspondiente.
Los usuarios de Linux deberían tener las mismas consideraciones en el directorio “/tmp” y con el perfil propio del usuario (“~/”). En el caso de Mac OS, además se debería proteger “~/Library/”, en donde este sistema operativo almacena los archivos de configuración de las aplicaciones instaladas.
Archivos temporales en Windows
13. Deshabilitar escritorio remoto
En aplicaciones de escritorio remoto como RDP (nativo de Windows), VNC o TeamViewer, es común la infección a través del aprovechamiento de vulnerabilidades y el uso de contraseñas débiles. Para evitar la infección es recomendable deshabilitar estas aplicaciones y de requerirse un acceso remoto, se recomienda la implementación de una VPN, cuya configuración se limite sólo a los equipos necesarios dentro de la red corporativa.
En el marco de un modelo de defensa en profundidad, se propone fortalecer (proceso de hardening) las conexiones RDP con el cifrado de las comunicaciones a través de certificados digitales basados en PKI (X.509), preferentemente emitidos por una entidad certificante (CA) externa de confianza (Symantec, Comodo, Goddady, etc). Otra posibilidad es usar Remote Desktop Web Client o Remoto Desktop Service (RDS).
En primer lugar, establecer una contraseña robusta;
En segundo lugar, habilitar el doble factor de autenticación (2FA) (cuando sea posible);
Y también, utilizar las últimas versiones disponibles con todas las actualizaciones y parches.
Ejemplo de ransomware propagado por Teamviewer
Cómo deshabilitar Escritorio remoto mediante Directiva de grupo
Segundo factor de autenticación en Teamviewer
Autenticación en RDP
Segundo factor de autenticación en VNC
14. Restaurar el sistema
Los sistemas operativos Windows tienen la funcionalidad “Restaurar sistema”, la cual permite recuperar el sistema operativo a un estado anterior a un incidente. Quien administre un dominio, a través de una GPO podrá habilitar/deshabilitar el servicio Volume Shadow Copy (“vssvc.exe” – “Instantáneas de volumen” en español) en los equipos de red que se considere apropiado proteger.
Sin embargo, es importante hacer notar que, el ransomware, también utiliza dicho servicio para eliminar las copias de seguridad, por lo tanto, será útil sólo en el caso que el malware no las haya eliminado. De todas formas, la mejor recomendación es tenerlo habilitado, para aumentar las probabilidades de recuperar el sistema afectado.
Dado que Linux no dispone de un servicio nativo como Windows, una alternativa similar es utilizar Timeshift, rsnapshot, BackInTime o TimeVault. En el caso de Mac OS se puede utilizar la aplicación Time Machine, que permite hacer copias de seguridad o restaurar completamente el sistema operativo.
Guía sobre CTBLocker (I)
Guía sobre CTBLocker (y II)
15. Desactivar las macros y ActiveX en las herramientas de ofimática
Una de las técnicas de propagación utilizada por el ransomware, son los documentos adjuntos maliciosos de ofimática (DOCX, XLSX, ODT, etc.) enviados como adjuntos a través de correos electrónicos. Estos documentos contienen macros que son ejecutadas automáticamente al abrir el documento.
Posteriormente, la macro descarga y ejecuta un archivo EXE, que es el verdadero troyano / ransomware que debemos evitar y es este el que al fin de cuentas se encarga de hacer la infección del sistema.
Incluso, en el último tiempo han aparecido otras técnicas (macro–less) que hacen posible la ejecución de malware sin necesidad de abrir una macro en el documento.
En conclusión, nunca se debería abrir un archivo de ofimática que haya sido recibido por correo electrónico, ya sea porque le resulta sospechoso (por ej. escrito en otro idioma), porque no lo espera o porque es un remitente desconocido y, si se abre, nunca se debe permitir la ejecución de macros, siempre que sea posible denegarlo. En última instancia, también es válido comunicarse con el remitente para confirmar la veracidad del documento recibido.
Por su parte, los ActiveX permiten realizar distintos tipos de acciones sobre el sistema operativo, lo cual también podría ser utilizado para infectarlo.
Se recomienda desactivar las macros y ActiveX a través de GPO o manualmente en la herramienta ofimática utilizada.
Cómo evitar la infeccion de ransomware en macros mediante Políticas de Grupo en Office 2016
GPO to enable Excel 2007 and 2010 Macro’s
16. Deshabilitar servicios de scripting y consolas
Se han popularizado campañas de spam que contienen archivos adjuntos comprimidos como ZIP y RAR con archivos VBS (VisualBasicScript) o JS (JavaScript). Si el usuario ejecuta el script adjunto, posteriormente se descarga y ejecuta el malware (.EXE) que suele ser un ransomware.
Los sistemas operativos Windows, por defecto abren archivos de scripts con la aplicación Windows Based Script Host (WSH). Por lo tanto, la recomendación para evitar la infección de ransomware es deshabilitar el servicio en cuestión a través de una política de grupo (GPO) o localmente. De la misma forma se recomienda deshabilitar o desinstalar Windows Power Shell y CMD ya que la mayoría de los usuarios no requieren estas herramientas.
Para los casos donde no sea posible deshabilitar dichos servicios, se recomienda – previo análisis para evitar falencias en el funcionamiento de los sistemas/procesos de la organización – configurar la apertura de los archivos de scripts con un editor de texto.
To run scripts using the Windows–based script host
17. Bloquear publicidad y ventanas emergentes para evitar la infección de RANSOMWARE
Es común encontrar malware incrustado en publicidades de sitios web, ya que estos tercerizan sus espacios para mostrar publicidad relacionada con el contenido de la página web. Este técnica se denomina Malvertising (Malware + Advertising) y, por lo tanto, con tan solo visitar un sitio con estas características, se puede infectar el sistema de la víctima de forma automática.
La medida de protección a aplicar, es instalar un complemento en el navegador para bloquear las ventanas emergentes y la publicidad. Dos bloqueadores efectivos y gratuitos son Adblock y Adblock Plus, los cuales funcionan en cualquier navegador y pueden ser instalados a través de una GPO. Además, se puede complementar la funcionalidad de los bloqueadores, configurando en el navegador el bloqueo de las ventanas emergentes.
Más información acerca de como bloquear las ventanas emergentes en:
18. Desactivar Autorun/Autoplay
Desde el lanzamiento de Windows Vista (año 2006), el servicio de
“Autorun/Autoplay” de medios de almacenamiento externos, como USB y CD, se encuentra desactivado por defecto, pero en versiones anteriores se encuentra activado. En algunas ocasiones (todavía), es posible encontrar malware que se propaga a través de dispositivos USB utilizando esta función y por lo tanto, debe ser desactivada.
A través del uso de GPO o manualmente en un equipo local, se puede desactivar este servicio, de forma tal que el archivo autorun no se ejecute automáticamente cuando se inserta un dispositivo externo.
● Desactivar Autorun en Windows desde la GPO
19. Apagar conexiones inalámbricas
En los dispositivos móviles (teléfonos, tablets y notebooks), cuando sea posible se debe deshabilitar el uso de redes inalámbricas (bluetooth, infrarrojo y Wi-Fi) porque se disminuye el riesgo de propagación de malware a través de dispositivos que se conectan automáticamente y sobre los que generalmente no se tiene un control adecuado.
20. Instalar herramientas de terceros
Las herramientas anti-ransomware son una medida adicional de seguridad que funcionan a la par de las soluciones antivirus. Los proveedores de gran parte de estas herramientas son empresas de seguridad especializadas en antivirus que dejan estas herramientas disponibles a la comunidad de manera gratuita. En general, las mismas han surgido como vacuna de alguna variante de ransomware y luego fueron evolucionando, hasta convertirse en una solución aplicable a diversas variantes.
Este tipo de soluciones, mayoritariamente reaccionan ante un comportamiento anómalo propio del funcionamiento de los distintos tipos de ransomware. Otras, crean carpetas en la unidad de disco C con caracteres especiales, como señuelo, de modo que, al iniciar el proceso cifrado, el código malicioso arrancará por los archivos de dichas carpetas, y en consecuencia le dará tiempo a la herramienta de detectar y detener el cifrado.
En otros casos, es posible seleccionar los directorios a proteger del ransomware para evitar que los archivos contenidos sufran una infección y sean cifrados. De esta manera, se consigue una protección proactiva.
Algunos ejemplos de este tipo de herramientas son:
AntiRansom es una aplicación de seguridad desarrollada especialmente por Security by Default para detectar este tipo de malware en Windows. Si bien se ha discontinuado no deja de ser interesante su revisión.
CryptoPrevent es una aplicación de seguridad para Windows diseñada originalmente por d7xTech para evitar la infeccion de CryptoLocker que surgió a fines de 2013 y actualmente proporciona protección contra una amplia gama de ransomware y otros tipos de malware.
BDAntiransomware es una “vacuna” lanzada por BitDefender para brindar protección contra versiones de las familias CTB-Locker, Locky y TeslaCrypt.
Latch Antiransomware Tool es una herramienta publicada por Eleven Paths que añade una capa de autorización sobre carpetas “protegidas”, de forma que deniega cualquier tipo de operación de escritura o borrado de los archivos. De la misma forma, Windows 10 permite un control similar sobre carpetas previamente definidas por el usuario.
Kaspersy NoRansom es un conjunto de herramientas para descifrar varios tipos de ransomware.
Avast ha publicado Ransomware Decryption Tools.
MalwareHunterTeam ha desarrollado la herramienta ID-Ransomware que identifica varios tipos de malware.
PowerShell y Bash también pueden utilizarse para detectar la modificación de ciertos archivos en Windows y Linux.
Lista de otras herramientas para ransomware particulares.
Por otro lado, es importante mencionar a la iniciativa NoMoreRansom lanzada por la National High Tech Crime Unit de la policía de Países Bajos, el European Cybercrime Centre de Europol y las compañías de ciberseguridad
Kaspersky Lab y McAfee, que tiene el objetivo de ayudar a las víctimas de ransomware a recuperar sus datos cifrados sin tener que pagar rescate.
NoMoreRansom también ha publicado una lista que permite buscar rápidamente el tipo de ransomware que ha afectado un sistema y comprobar si existe una solución o herramienta de descifrado disponible.
Herramientas de descifrado de NoMoreRansom ● Control de carpetas en Windows 10
21. Proteger el MBR
El MBR (Master Boot Record) consiste en código ejecutable almacenado en el primer sector (sector 0) de un disco duro, el cual inicia el arranque (Boot Loader) del sistema operativo. El MBR también contiene información sobre las particiones del disco y su sistema de archivo.
Teniendo en cuenta que el MBR se ejecuta antes que el propio sistema operativo, puede ser manipulado por un ransomware para ganar persistencia en el equipo. Por ejemplo HDDCryptor, Petya y Satana explotan esta vulnerabilidad.
Para prevenir la modificación del sector 0 de todos los dispositivos conectados a un sistema, se puede utilizar la herramienta MBRFilter, la cual brinda una protección a nivel del sistema operativo.
22. Aislar el equipo infectado
En el caso de sospechar haber ejecutado un ransomware, desconectar la red y apagar el equipo puede disminuir la tasa de archivos infectados. Esto no es una solución, pero es preferible tener algunos archivos cifrados y no todos. Sin embargo, se debe prestar especial atención a este procedimiento porque algunas variantes de ransomware eliminan de manera parcial los archivos luego de cada reinicio.
Como medida adicional, se puede retroceder la hora en el reloj de la BIOS porque algunos ransomware dan un tiempo limitado para realizar el pago. Obviamente esto no ayuda a recuperar los archivos cifrados.
Es decir, este procedimiento representa un riesgo porque que el sistema podría no volver a arrancar por los daños ocasionados por el malware.
23. Deshabilitar o eliminar protocolos obsoletos
En las organizaciones suelen encontrarse activados protocolos obsoletos, no recomendados por las buenas prácticas internacionales (por ej. FTP, TELNET, etc.) o que la organización no utiliza y nadie se ha percatado de esta situación.
Estos protocolos deberían ser reemplazados por versiones actualizadas para solucionar vulnerabilidades de seguridad, o directamente retirados debido a que no son requeridos en los procesos normales de negocio.
Un ejemplo de esta situación es la implementación del protocolo SMBv1 en ambientes Windows. Cabe recordar que SMBv1 es uno de los vectores de infección utilizados por el ransomware Wannacry para diseminarse a través de la red. Mantener esta versión del protocolo se justifica en muy pocos casos:
Cuando aún existen equipos con Windows XP o Server 2003, en virtud de un acuerdo de soporte personalizado;
existe software de administración antiguo o programas legados que exigen a los usuarios navegar a través de una lista maestra de “vecindad de red” (network neighborhood);
existen impresoras multifunción con firmware antiguo, usadas con el fin de “escanear para compartir”.
Ninguna de estas cosas debería afectar al usuario final o al negocio. A menos que los administradores lo permitan o no gestionen las mitigaciones correspondientes.
https://blogs.technet.microsoft.com/filecab/2016/09/16/stopusing–smb1/
https://support.microsoft.com/es–ar/help/2696547/how–to–detectenable–and–disable–smbv1–smbv2–and–smbv3–in–windows–and
24. Gestionar sistemas operativos obsoletos
Se considera “obsoleto” a cualquier software sin soporte del fabricante o cuyo ciclo de vida está próximo a expirar.
En algunos casos, como cajeros automáticos, ambientes industriales o aplicaciones embebidas, no es posible reemplazar el hardware y/o el sistema operativo “viejo”, con lo cual migrar a una versión más actual de la plataforma no suele ser una opción inmediata. Por ende, estos casos deben monitorearse en forma puntual y someterse a eventuales cambios, tales como evitar que se conecten a Internet, habilitar un firewall local, deshabilitar puertos o servicios ociosos, a fin de evitar la infección de ransomware.
La eliminación del malware se puede realizar manualmente o a través de un antivirus. En cambio, la recuperación de los archivos cifrados depende del tipo de ransomware y versión del mismo ya que, a medida que este tipo de malware se ha ido perfeccionando, sus creadores han ido corrigiendo errores y además han agregado nuevas funcionalidades que dificultan que los archivos sean recuperados.
Las primeras versiones de CrypLocker, TeslaCrypt, Locky y AlphaCrypt se podían recuperar utilizando las Shadow Copies de Windows y la herramienta ShadowExplorer, pero las versiones actuales eliminan estas copias y ya no se pueden utilizar.
Para las dos primeras versiones de Locky y TeslaCrypt era posible utilizar una herramienta de recuperación, pero versiones siguientes corrigieron errores y ya no es posible realizar este procedimiento.
Con las tecnologías actuales (dejando de lado la computación cuántica) no es posible romper el cifrado de 128+ bits simétricos y 1024+ bits asimétricos utilizados por el ransomware. Por ejemplo
Para un algoritmo simétrico, se necesitan un par de horas para obtener una contraseña de 20 bits y años para una clave de 128 bits: (2128 = 340282366920938463463374607431768211456 claves posibles)
Para un algoritmo asimétrico, una clave de 512 bits puede romperse fácilmente (en unos meses), pero una clave de 1024 o 2048 bits no es posible hacerlo en un tiempo razonable para el negocio.
La recuperación de los archivos eliminados de forma segura, posterior al cifrado, tampoco suele ser posible ya que el “borrado seguro” sobrescribe N veces la información, de forma que cualquier esfuerzo por reconstruir los archivos se vuelve infructuoso, no se puede aplicar a todos los archivos cifrados o no es viable en un tiempo razonable para aplicar en múltiples sistemas afectados.
De todos modos, antes de darlo todo por perdido, se pueden probar herramientas como R–Studio, Photorec o Recuva (Windows) y Foremost o TestDisk (Linux) que podrían permitir la recuperación de algunos archivos.
Cómo hacer borrado seguro de datos
Si todo lo anterior falla, y sólo si la organización decide hacerlo, se puede efectuar el pago del rescate. El pago no asegura resultados positivos ni la recuperación de los archivos, ya que siempre se estará negociando con delincuentes.
Además, pagar para descifrar los archivos, no significa que se haya eliminado la infección o incluso puede suceder que luego de recuperar la información, la misma sea cifrada nuevamente por el mismo ransomware asi como tampoco se va a poder evitar la infección futura de sus archivos.
El pago debe realizarse dentro de un plazo que generalmente no supera la semana luego de la infección. Este tiempo puede depender de una exigencia del delincuente o porque el sitio web, donde se brindan las instrucciones de pago, desaparece al ser dado de baja por la justicia o por el mismo criminal.
En algunos casos es posible recuperar algunos pocos archivos de forma gratuita como “prueba de vida”, para probar que el delincuente realmente dispone de las claves para descifrar los archivos.
Imagen 7 – Página con instrucciones para el pago de rescate
El rescate generalmente se exige en Bitcoin (u otra criptomoneda como Monero), lo cual hace muy difícil rastrear al delincuente y creador del malware. La cantidad de Bitcoin exigidos por los delincuentes depende del tipo de malware y puede ir desde unos pocos a cientos o miles de dólares.
Nota: La cotización de Bitcoin es muy variable (ha fluctuado entre 0,1 y 20.000 dólares desde 2008) pero su tendencia alcista hace que sea un negocio perfecto para el delincuente.
El lugar de pago también varía, pero generalmente se realiza en sitios de la Deep Web, lo cual también imposibilita el rastreo del delincuente.
Para el pago, se deben seguir las instrucciones presentadas en la página web o pantalla de bloqueo y enviar la cantidad exigida a la “Bitcoin Address”, que es una cadena de 26 a 35 caracteres y que identifica la billetera del delincuente.
Luego del pago, el delincuente debería enviar por correo electrónico (u otro medio) una aplicación ejecutable (el descifrador) y las contraseñas necesarias para descifrar los archivos.
● Ransomware: ¿Debes elegir si pagar o no un rescate? Te ayudo a decidirlo
Ya se ha mencionado que entre las distintas consecuencias de una infección de ransomware podemos encontrar:
pérdidas financieras incurridas para restaurar los sistemas y archivos, o en el peor de los casos, por el pago del rescate; ● potencial daño a la reputación de la organización; ● responsabilidad penal o civil.
En el presente apartado, nos dedicaremos a analizar los distintos tipos de responsabilidades jurídicas que pueden derivarse de un caso de infección de ransomware.
Los ataques de ransomware tienen cierta complejidad, así como también consecuencias en la responsabilidad penal. En materia de delitos informáticos, en la República Argentina la Ley Nº 26.388 ha modificado y agregado determinados tipos penales al Código Penal Argentino, incluyendo algunos de ellos que -de acuerdo al caso concreto- podrían ser aplicados a un ataque de ransomware.
En relación al bien jurídico afectado, en principio un ataque de ransomware afectaría dos de los tres pilares básicos de la seguridad de la información, que son la disponibilidad y la integridad de la información. Esta afirmación, sería cierta siempre y cuando sólo se analicen las consecuencias del ataque en los sistemas de información.
Sin embargo, si se elige tener una mirada más amplia sobre el hecho en sí, se podrían encontrar otros bienes jurídicos afectados, como ser el propio patrimonio de la organización, en el caso que la información afectada algún tipo de valor comercial para la víctima. Además, si se decidió por el pago del rescate, existe otro tipo de daño económico más directo causado por la erogación que implica recuperar la información secuestrada. Incluso, suponiendo la difusión pública del incidente, podríamos considerar la afectación de la imagen y la marca como otro eventual daño del mismo delito.
A continuación, dejamos el listado de algunos de los tipos penales (Argentina) que podrían ser aplicables:
Daño informático (art. 183 2do párrafo): En la misma pena -prisión de quince días a un año- incurrirá el que alterare, destruyere o inutilizare datos, documentos, programas o sistemas informáticos; o vendiere, distribuyere, hiciere circular o introdujere en un sistema informático, cualquier programa destinado a causar daños. (Párrafo incorporado por art. 10 de la Ley N° 26.388, B.O. 25/6/2008)
Denegación de Servicios (art. 197): Será reprimido con prisión de seis (6) meses a dos (2) años, el que interrumpiere o entorpeciere la comunicación telegráfica, telefónica o de otra naturaleza o resistiere violentamente el restablecimiento de la comunicación interrumpida. (Artículo sustituido por art. 12 de la Ley N° 26.388, B.O. 25/6/2008)
Extorsión (art. 168): Será reprimido con reclusión o prisión de cinco a diez años, el que con intimidación o simulando autoridad pública o falsa orden de la misma, obligue a otro a entregar, enviar, depositar o poner a su disposición o a la de un tercero, cosas, dinero o documentos que produzcan efectos jurídicos.
Estafa (art. 172): Será reprimido con prisión de un mes a seis años, el que defraudare a otro con nombre supuesto, calidad simulada, falsos títulos, influencia mentida, abuso de confianza o aparentando bienes, crédito, comisión, empresa o negociación o valiéndose de cualquier otro ardid o engaño.
Tipo especial de estafa (art. 173 inc. 16): El que defraudare a otro mediante cualquier técnica de manipulación informática que altere el normal funcionamiento de un sistema informático o la transmisión de datos. (Inciso incorporado por art. 9° de la Ley N° 26.388, B.O. 25/6/2008)
Nota: el lector debería tener en consideración la adaptación de las figuras penales vigentes en el país donde ha ocurrido el incidente.
Como se puede observar del listado anterior, en Argentina existen distintas posibilidades desde lo penal para tipificar un caso de ransomware. Si bien el tipo penal básico aplicable sería el de cracking o daño informático, dependiendo de la estrategia probatoria y a las evidencias con las que se cuenten en el caso, podría aplicarse una o más figuras penales.
En un caso interesante de jurisprudencia española (Ver Texto Completo), de fecha marzo 2016, se condena a una banda dedicada a la creación y propagación de ransomware, demostrando precisamente la amplitud de tipos penales que es posible aplicar a casos concretos. Este caso tuvo lugar a partir de la investigación realizada a nivel internacional y los usuarios afectados recibieron mensajes en los que aparecía el membrete falsificado de la policía española, solicitándoles el pago de una cantidad de 100 Euros por la presunta comisión de determinados ilícitos.
De dicha investigación se detuvo a 10 personas (7 de nacionalidad rusa y 3 de nacionalidad ucraniana), que fueron acusados por:
Un delito continuado de estafa, de los artículos 248, 250.6º y 74 del Código Penal Español (CPE), en concurso medial con el artículo 77, con un delito de daños informáticos del artículo 264, apartados 2 y 3.1 del referido cuerpo legal.
Un delito de blanqueo de capitales, del artículo 301 del CPE.
Un delito continuado de falsedad en documento mercantil, de los artículos 392.1 y 390.1º, 2º y 74 del CPE.
Un delito de pertenencia a organización criminal, del artículo 570 bis, apartados 1 y 2 c) del CPE y
Un delito contra la intimidad, del artículo 197.2 del CPE.
Se destaca sobre la investigación realizada para identificar y detener a la banda de cibercriminales, que fue posible gracias a la denuncia de 390 víctimas (cuyos datos incluso constan en el texto completo del fallo), que, tras ser víctimas del ataque, decidieron realizar la correspondiente denuncia formal ante los órganos competentes y colaborar con la información que hizo posible llevar adelante la investigación.
Como puede observarse, desde el punto de vista del derecho penal material, existen múltiples tipos penales posible aplicar en estos casos, dependiendo de las prueba que se tengan desde la justicia. Sin embargo, los mayores desafíos para la justicia son los aspectos investigativos y probatorios, toda vez que más allá de los desafíos propios que implica la preservación y recolección de evidencia digital, la mayoría de las bandas de cibercriminales dedicadas al ransomware, operan desde diferentes países, haciendo necesario llevar adelante una investigación de índole internacional, solicitando cooperación a distintas empresas y Estados, para que sea posible identificar a los delincuentes y poder así, aplicar las responsabilidades penales que correspondan. A estos aspectos procesales, deberíamos sumar los posibles obstáculos de investigación que implica la utilización de técnicas antirastreo o antiforenses utilizadas por las bandas de cibercriminales más organizadas y complejas.
En este contexto, en diciembre de 2017, a través de la Ley Nº 27.741 Argentina ha sancionado la aprobación del CONVENIO SOBRE CIBERDELITO del CONSEJO DE EUROPA (más conocido como el Convenio de Cibercrimen de Budapest), el cual permite acceder a algunas herramientas de cooperación internacional que podrán ser de utilidad para las investigaciones complejas que este tipo de delitos demandan.
Se recomienda a quienes han sido víctimas de un ataque de ransomware, realizar la denuncia formal lo más rápido posible ante una fiscalía competente
Se recomienda a quienes han sido víctimas de un ataque de ransomware, realizar la denuncia formal lo más rápido posible ante una fiscalía competente (dependiendo del lugar de residencia de la víctima), a fin de documentar la existencia del incidente y permitir a las fuerzas de la ley llevar adelante (o al menos analizar la viabilidad de) una investigación penal para dar con los autores del mismo. Adicionalmente a la denuncia, se recomienda evitar todo tipo de manipulación de los sistemas que recibieron una infección de ransomware, a fin de no realizar una contaminación de la evidencia digital.
En el caso de no querer o poder realizar formalmente la denuncia, se recomienda al menos reportar el incidente al Observatorio de Delitos Informáticos de Latinoamérica (ODILA) que se encarga de realizar un seguimiento y estadísticas sobre la existencia de delitos informáticos en Latinoamérica, a través de la medición de la cifra negra de estos delitos.
A diferencia del apartado anterior, donde se desarrollan las posibles responsabilidades penales que podrían aplicarse a quienes están detrás de un ataque de ransomware, aquí se intenta realizar un breve análisis sobre la posible responsabilidad civil de la propia organización que fue afectada por un ataque de este tipo, entendiendo que dicho incidente de seguridad habría sido posible a partir del incumplimiento de obligaciones legales (contractuales o normativas) en materia de seguridad de la información.
La pregunta clave aquí es: ¿Existe responsabilidad de la organización que no pudo evitar una infección de ransomware y que en consecuencia de ello genera daños a sus clientes finales?. Es decir, se plantea el hipotético caso donde un usuario (EMPRESA B) es afectado por las consecuencias de un ataque de ransomware que tuvo la organización (EMPRESA A) prestadora de algún tipo de servicio (públicos o privados).
Entre los posibles daños que sufre la EMPRESA B se podría mencionar la falta de disponibilidad en el servicio, la pérdida o daño de información de uso comercial, la divulgación de información confidencial, etc. En definitiva, consecuencias informáticas que a su vez se traducen en consecuencias de índole económico, cuya gravedad dependen del tipo de actividades que desarrolle la empresa -que podría ser desde una clínica que se queda sin acceso a información de salud de sus pacientes, una entidad bancaria que no puede operar, o un municipio que no puede prestar sus servicios básicos, hasta un estudio jurídico-contable cuyas operaciones confidenciales con sus clientes son divulgadas-.
. . . se debe analizar la existencia de obligaciones legales en materia de seguridad de la información como podrían ser las establecidas en la Ley Nº 25.326 de Protección de Datos Personales (Argentina), particularmente detalladas en la Resolución 47/2018. Otro ejemplo de normativa que establece obligaciones en materia de seguridad de la información, es la Comunicación “A” 4609 del Banco Central de la República Argentina, aplicable para el caso de las entidades financieras. Aquellas organizaciones que han emprendido algún proyecto de seguridad de la información que tiene como modelo la Norma ISO 27001, podrán encontrar que la principal tarea en el dominio de “Compliance” es precisamente la identificación de toda la normativa aplicable a la organización, respuesta que dependerá exclusivamente del tipo de organización, la actividad que desarrolle y las jurisdicciones aplicables.
En Estados Unidos se ha considerado las consecuencias del ransomware en el ámbito de la salud, donde la normativa aplicable (HIPAA) a este tipo de información establece obligaciones legales a tener en cuenta para estos casos. Incluso existe un debate acerca de si un ataque de este estilo genera, o no un breach. (Se define a “Breach” como “The acquisition, access, use, or disclosure of Personal Health Information (PHI) in a manner not permitted under the [HIPAA Privacy Rule] which compromises the security or privacy of the PHI.”).
En general se entiende a un ataque ransomware como un breach. Y cada vez que esto haya sucedido, la PHI tuvo que haber sido accedida por un tercero que no debería haber tenido ese control. Generando así, una divulgación (disclosure) no permitida por la HIPAA Privacy Rule.
Saliendo de la primera categoría de normativas aplicables, en donde dependerá exclusivamente del país, del tipo de actividad desarrollada y, en algunos casos, del tipo de organización (pública o privada). Existe una segunda categoría, que podría ser una fuente de obligaciones, el SLA. Este, es una obligación asumida voluntariamente en la cual la organización (EMPRESA A) se compromete a respetar determinados estándares mínimos de seguridad de la información, o en su caso, a mantener los servicios en un nivel mínimo de prestación
En la mayoría de los contratos, se pueden encontrar cláusulas relacionadas con las obligaciones asumidas en materia de seguridad, como estos ejemplos:
Cláusula de Seguridad en AWS Amazon: (3.1 Seguridad de AWS). Sin limitación a lo dispuesto en la Sección 10 o a sus obligaciones contenidas en la Sección 4.2, implementaremos medidas adecuadas y razonables diseñados para ayudarle a asegurar Su Contenido contra pérdida, acceso o revelación accidental o ilícita.
Cláusula de Seguridad de Netflix: Contamos con medidas administrativas, logísticas, físicas y de gestión razonables para proteger su información personal contra pérdidas, robos y acceso no autorizado, uso y modificación. Lamentablemente, ningún sistema de seguridad es 100% seguro. De acuerdo con esto, no podemos garantizar la seguridad de su información.
Por consiguiente podemos observar que la obligación de la empresa proveedora, es implementar las medidas de seguridad razonables de protección. Desde este punto, y considerando el hipotético caso que la EMPRESA A ha sido víctima de un ataque de ransomware que afecta los intereses y provoca daños en la EMPRESA B, volvemos a realizar la pregunta que dio comienzo a esta sección:
¿Es responsable, la EMPRESA A, por los daños ocasionados?
En primer lugar, la respuesta da lugar a un nuevo interrogante: ¿Puede demostrar y probar la EMPRESA A que ha sido diligente en el tratamiento de la información, adoptando todas las medidas de seguridad adecuadas y razonables para evitar la infección tras un incidente de seguridad de esta magnitud (ransomware)?.
Con la intención de no extendernos demasiado, se puede concluir en la importancia cada vez mayor que tiene a nivel mundial el concepto de diligencia debida en el cuidado y el tratamiento de la información, de forma que ante un incidente de seguridad (filtración, pérdidas o daños en la información), aquella organización que quiera evitar algún grado de responsabilidad civil por la infección de ransomware, deberá acreditar, con la correspondiente documentación en materia de seguridad (así como la prueba de la existencia en los controles implementados), que existió un obrar de forma diligente y que se habían tomado medidas de seguridad adecuadas y razonables para esa información.
Fue el protagonista de los últimos 3 años y lo sera en el 2020.
Desde el lado defensivo, técnicamente no es tan sencillo evitar la infección de RANSOMWARE. Hay que implementar una estrategia de seguridad en capas progresiva de manera que el impacto para el normal funcionamiento de la organización sea lo más tenue posible.
Otro punto fundamental, que aún no estamos acostumbrados a identificar, es el tema legal que implican este tipo de ataques. Ser conscientes de las implicancias penales y civiles, es de suma importancia para estar al tanto de la situación actual en Argentina y cómo podría impactar a las partes involucradas.
El presente trabajo, ha sido desarrollado con el objetivo de brindar a la comunidad una guía simple a la hora de enfrentar la problemática del ransomware. Todos los puntos de esta guía han sido resumidos y redactados en un lenguaje más simple posible, de la forme que la misma pueda ser leída de manera fluida y en un tiempo de lectura mínimo.
[1] En este documento se utiliza “cifrar” como sinónimo de “encriptar”.
[2] VLAN: Método para crear redes independientes dentro de una misma red.
[3] ACL: Es la forma de determinar los permisos de acceso a un objeto para lograr la separación de privilegios.
El articulo original de esta guía se encuentra publicado en https://www.owasp.org/images/b/b0/Owasp-guia-evitar-ransomware_es.pdf y distribuido bajo licencia CC BY-SA 4.0 internacional, https://creativecommons.org/licenses/by-sa/4.0/deed.es_ES

References: artículo 77
 artículo 264
 artículo 301
 artículo 570
 artículo 197
 Resolución