Cómo el Menor Privilegio podría haber salvado a Acer

Los ataques de ransomware siguen pagándose caros. Primero Emotet, después Ryuk… Las organizaciones de todo el mundo viven con el miedo de que sus datos sean filtrados o perdidos a manos de grupos delictivos. ¿El último ataque que se convirtió en titular? REvil. ¿Su víctima? El gigante de la informática Acer.

¿Qué ha pasado con ACER y el ransomware REvil?

REvil fue noticia por primera vez el 18 de marzo de 2021 cuando el grupo delictivo que estaba detrás del ransomware publicó imágenes de documentos robados o exfiltrados a la dark web como prueba de su hackeo. Tanto las fuentes de REvil como las de Acer han confirmado el ataque. La filtración de datos parece incluir documentos como hojas de cálculo con las finanzas de la empresa, saldos bancarios y comunicaciones de bancos, todo ello para conseguir pedir un rescate sin precedentes. Los datos de Acer suponen el mayor rescate de la historia hasta la fecha, con la friolera de 50 millones de dólares que se espera que la empresa entregue a finales de marzo sino quiere sufrir las consecuencias.

Doble extorsión: cifrado y exfiltración del ransomware REvil

Aunque puede que la petición de rescate de REvil esté batiendo récords, este grupo tan solo sigue el ejemplo de la última tendencia en malware. La doble extorsión es un nuevo método que no solo utiliza una técnica para perjudicar a las organizaciones objetivo, sino que emplea dos estrategias.

El método del ransomware clásico es sencillo. En primer lugar, logra acceder a su infraestructura, después cifra sus datos y, finalmente, pide un rescate a cambio de la clave necesaria para recuperarlos. No obstante, la doble extorsión complica aún más el asunto: no solo pide un rescate por los datos, sino que también amenaza con provocar un mayor daño económico o a su reputación si las exigencias no son satisfechas.

En 2020, los expertos del sector observaron un aumento considerable en la cantidad de ataques de doble extorsión, y se espera que el número continúe incrementando de manera exponencial en 2021.

El ransomware REvil existe desde hace algún tiempo y ha ido evolucionando desde su primera aparición. Al principio aprovechaba la vulnerabilidad CVE-2018-8453 para obtener privilegios, pero más recientemente REvil se ha adaptado a las debilidades actuales. Las investigaciones de expertos acerca del ataque a Acer sugieren que el grupo delictivo pudo haber aprovechado las vulnerabilidades de Microsoft Exchange ProxyLogon para obtener acceso a la red del gigante informático. Es muy probable que las recientes debilidades de Exchange CVE-2021-26855 y CVE-2021-27065 fueran el vector de ataque para la entrada de REvil a la red de Acer.

Estas conocidas vulnerabilidades constituyen puntos débiles en el sistema de una empresa y dejan expuestos a los servidores on-premise de Microsoft Exchange. El ransomware, como REvil, se aprovecha de estas debilidades para obtener acceso a la infraestructura de TI, realizar movimientos laterales en la red y autoelevar privilegios para obtener acceso a sistemas y datos confidenciales. Sin privilegios, el ransomware no puede lograr su objetivo de acceder y cifrar los datos que resultan interesantes a la hora de obtener un rescate.

Detenga el ransomware con Endpoint Privilege Management (EPM)

Securice todos los endpoints de su empresa, ya sean estaciones de trabajo de empleados, máquinas industriales de IoT, servidores o cualquier otro elemento: esto es fundamental para proteger a su organización del malware e incluso de ransomwares como REvil. Con frecuencia, los sistemas de seguridad de endpoints dependen de las últimas actualizaciones y estos solo pueden defenderse de las amenazas que conocen y para las que han desarrollado métodos de detección. El problema es que el ransomware actual no solo está en constante evolución, sino que es demasiado inteligente para ser detectado por el software antivirus tradicional. En WALLIX creemos que los problemas modernos requieren soluciones modernas y proactivas.

Si se hubiera implementado el Principio del Menor Privilegio, REvil no habría llegado muy lejos, ya que lo primero que el ransomware intenta hacer es escalar privilegios. De hecho, en primer lugar, lo que hace es intentar explotar la vulnerabilidad de escalada de privilegios CVE-2018-8453, y si eso no funciona, prueba otras técnicas. Esto se debe a que, antes de cifrar, intenta eliminar aplicaciones, procesos del sistema y copias de seguridad. Es en esta etapa que WALLIX BestSafe podría haber detectado a REvil.

Sin embargo, la aplicación de un modelo de privilegios mínimos puede resultar complicada si no se dispone de la solución adecuada. La gestión de privilegios de endpoints WALLIX BestSafe simplifica el proceso. Con tecnología avanzada de listas blancas/negras/grises y un enfoque granular para la gestión de privilegios a nivel de aplicación y proceso, incluso si un ransomware logra ingresar a la red de una organización, este se neutralizará inmediatamente por su incapacidad para elevar privilegios, acceder a datos o ejecutar procesos de cifrado. No es necesario disponer de un modelo exhaustivo de privilegios mínimos, ya que WALLIX BestSafe permite a los administradores de TI eliminar los privilegios de las aplicaciones aunque los usuarios que las ejecutan sean usuarios administradores.

Cómo detener al ransomware

Últimamente, cada pocos meses aparece en los titulares otro gran ataque de ransomware. Y este mes no es una excepción, como podemos ver con el ataque masivo de ransomware a Acer, una empresa informática conocida y consolidada que ha visto cómo sus datos y los de sus clientes se han puesto en riesgo. A pesar de que la empresa ha declarado que está mejorando su infraestructura de ciberseguridad, una vez más se demuestra que priorizar la seguridad de acceso privilegiado es de vital importancia. Después de todo, con una solución EPM como WALLIX BestSafe, REvil habría intentado ejecutarse sin privilegios y habría fracasado. Todo esto mientras el usuario sigue siendo un administrador con plenos derechos.

¿Está listo para proteger a su organización del malware, ransomware y criptovirus?  Pruebe WALLIX BestSafe gratis durante 30 días.